Hinter den Kulissen
Zwei Installationswege. Ein deklariertes System.
Nixorium erzeugt aus der Laborkonfiguration vollständige NixOS-Systeme auf dem Controller. Leere Rechner nutzen PXE oder das offizielle NixOS-ISO über geprüftes USB/SSH; installierte Rechner erhalten separate Colmena-Updates. Die tägliche Arbeit läuft lokal.
LaborkonfigurationLaborkonfiguration + festgelegtes NixoriumEinstellungen · Module · öffentliche Schlüssel · Ressourcen
Controller
- 01Auswerten
- 02Bauen
- 03Bereitstellen
Clientsystemelokal installiert · als NixOS-Generationen aktiviert
01 · Betriebswege
Installieren, aktualisieren oder lokal starten.
Der Controller bereitet beide Verteilungswege vor, ist aber kein Remote-Desktop-Server für den Raum. Jeder installierte Rechner führt sein eigenes NixOS und seine eigenen Anwendungen aus.
Installation über PXE oder USB/SSH
PXE lädt den Installer für viele Rechner. USB/SSH prüft ein offizielles NixOS-ISO, wenn kein Netzwerkstart verfügbar ist. Beide Wege führen zum signierten System samt Abhängigkeiten und zur Disko-Prüfung.
Beide Installationswege verfolgen ↓Systemverteilung
Colmena verbindet sich per SSH, die Clients beziehen vorbereitete Store-Pfade von Harmonia, und NixOS aktiviert eine neue Generation.
Den Update-Weg verfolgen ↓Lokaler Start und Anwendungen
Der Rechner startet von seiner eigenen Festplatte und führt den Desktop lokal aus. PXE, USB-Installation, Colmena und die Klassenansicht sind am normalen Ausführen von Anwendungen nicht beteiligt.
Schülerdesktop ansehen →02 · Systemmodell
Framework und Laborkonfiguration getrennt.
Die Ersteinrichtung erzeugt die Laborkonfiguration: ein privates Repository mit festgelegtem Nixorium-Stand. Laboreinstellungen und Zugangsdaten werden getrennt vom öffentlichen Framework verwaltet.
- 01 · Live-Umgebung
Quelle und Festplatte des Controllers wählen
Der Controller startet vom offiziellen NixOS-ISO (Minimal oder Graphical) im UEFI-Modus mit Internetzugang. Die Ersteinrichtung bestimmt die gewählte Nixorium-Quelle, setzt die Konsolentastatur, erfasst Konten und regionale Einstellungen und lässt die zu löschende Festplatte bestätigen.
- 02 · Laborkonfiguration
Privates Repository des Computerraums anlegen
Die Konfiguration wird aus der Vorlage erzeugt und legt Nixorium als Quelle fest. Der installierte Rechner startet im reinen Controller-Modus mit den tatsächlichen Konten und regionalen Einstellungen; das Netz des Computerraums bleibt noch inaktiv.
- 03 · Laborverwaltung
Den Computerraum festlegen, sobald das Netz bereit ist
Nach dem Neustart erfasst Installation → Network boot (PXE) die Topologie, erstellt fehlende Schlüssel, aktiviert den Controller und bereitet die konfigurierten Clients vor. Private Schlüssel bleiben auf dem Controller.
Nixorium
Versionierte Module, Installer, Vorgaben und die Funktion zum Erzeugen aller Rechner.
Stand durch die Laborkonfiguration festgelegtIhr Computerraum
Laboreinstellungen, rechnerspezifische Anpassungen, Ressourcen, Passwort-Hashes und öffentliche Cache- und SSH-Schlüssel.
Private Schlüssel bleiben auf dem ControllerBenannte Systeme
Die ausgewerteten Konfigurationen und Artefakte für Installation und Verteilung.
Eine Quelle für den SollzustandDie Konfiguration legt die Nixorium-Quelle und Abhängigkeiten fest. Eine geänderte Einstellung bearbeitet keinen laufenden Rechner direkt. Sie ändert die Grundlage, aus der das betreffende System ausgewertet und gebaut wird.
lab-settings.jsonVerwaltete Topologie, lokale Rollennamen, Passwort-Hashes, Netzwerk, Sprache, Tastatur, Startseite und weitere typisierte Einstellungen.
lab-software.jsonPaketdeklarationen mit ausdrücklichem Geltungsbereich: gemeinsam, Controller, Client-Gruppe oder einzelner Client.
workspace-profile.jsonDer Schülerdesktop: Dock, Erscheinungsbild, VS-Code-Erweiterungen und -Einstellungen sowie Standardbrowser, bearbeitet im geführten TUI-Editor und bei jedem Start wiederhergestellt.
flake.lockDie genauen Versionen von Nixorium und NixOS-Paketen. Update Nixorium und Update system and packages ändern sie erst nach einer Prüfung.
modules/ + assets/Erweiterte Vorgaben für Arbeitsplätze, Entwicklung, Home-Profile, Rechner, Erscheinungsbild, Editor und Desktop, die der Computerraum selbst verwaltet.
keys/ + controller secretsAutorisierte öffentliche Cache- und SSH-Schlüssel können versioniert werden. Zugehörige private Schlüssel bleiben außerhalb der Commits auf dem Controller und werden über den verwalteten Ablauf installiert.
Ersteinrichtung des Controllers Verteilungs-Flake Konfigurationsschema Rechnergenerator
03 · Vorbereitung
Auswerten, bauen und bereitstellen.
- 01
Laborkonfiguration auswerten
Die Laborkonfiguration erzeugt eine benannte NixOS-Konfiguration für jeden Client, eine separate Controller-Konfiguration, eine Netzwerkstart-Umgebung, Colmena-Metadaten für die Verteilung und ein eigenständiges Installer-Paket.
- 02
Auf dem Controller bauen
Festgelegte Eingaben und gemeinsame Konfiguration erzeugen jedes Client-System mit allen Abhängigkeiten, PXE-Startartefakte und den zielunabhängigen USB/SSH-Ferninstaller.
- 03
Im LAN bereitstellen
Harmonia stellt signierte Nix-Store-Pfade bereit. PXE veröffentlicht seine kleine Startkette; USB/SSH überträgt einen geprüften Helfer in die Live-Sitzung des offiziellen NixOS-ISO. Die Clients beziehen vorbereitete Ergebnisse lokal, statt sie aus dem Internet aufzulösen und zu bauen.
04 · Netzwerkinstallation
Zwei Wege zur lokalen Installation.
PXE empfiehlt sich für viele Rechner. USB/SSH eignet sich für einen einzelnen, vor Ort identifizierten Rechner ohne Netzwerkstart. Beides ist keine normale Verteilung, und beide Wege überschreiben die ausdrücklich geprüfte Zielfestplatte.
WLAN kann je nach Hardware, Firmware und Netzwerkkonfiguration mit PXE inkompatibel sein. USB/SSH nutzt Ethernet oder WLAN: Der Controller muss den Live-Client über SSH erreichen und dieser den signierten Cache.
Den PXE-Weg verfolgen
- 01DHCP + ProxyDHCP
Netzwerkstart-Dienst finden
Der DHCP-Server der Schule vergibt weiterhin die Adressen. Der dnsmasq-Prozess von Nixorium beantwortet nur die Netzwerkstart-Anfrage und verweist die UEFI-Firmware auf den Controller.
- 02TFTP
Zu iPXE wechseln
Die Firmware erhält ein kleines UEFI-iPXE-Programm. iPXE bezieht anschließend das erzeugte Startskript vom selben Controller.
- 03HTTP
Installationsumgebung laden
Das Skript lädt den vorbereiteten NixOS-Kernel und die initiale RAM-Disk über HTTP. Diese enthält den zur Konfiguration gehörenden Installer-Quellcode.
- 04Disko + NixOS
Gewählten Arbeitsplatz installieren
Der Bediener identifiziert den PC und bestätigt die Zielfestplatte. Disko legt die deklarierte UEFI- und Btrfs-Partitionierung an; NixOS installiert die Konfiguration dieses PCs mit signierten Pfaden, die Harmonia bereitstellt.
- 05Lokale Festplatte
Netzwerk-Installer verlassen
Nach der Installation startet der Rechner von seiner eigenen Festplatte. PXE dient der Installation und Neuinstallation, wird aber nicht für jeden normalen Start gebraucht.
Den Weg des offiziellen NixOS-ISO über SSH verfolgen
- 01Offizielles NixOS-ISO
Eine Live-Sitzung lokal starten
Der Bediener startet NixOS 26.05 (Minimal oder Graphical) im UEFI-Modus, stellt eine Verbindung per Ethernet oder WLAN her, setzt ein temporäres Passwort und liest IP und Ed25519-Fingerabdruck an der Konsole des Rechners ab.
- 02Festgelegte SSH-Identität
Physische und logische Identität verknüpfen
Der Controller prüft genau diesen Fingerabdruck vor der Passwortanmeldung, installiert einen operationsspezifischen Schlüssel und ordnet der Live-Sitzung einen konfigurierten Client zu.
- 03Signierter Harmonia-Cache
Genau ein System vorbereiten
Der Controller baut das gewählte System samt Abhängigkeiten. Der Live-Client akzeptiert nur signierte Pfade dieses Controllers und weicht nicht auf das Internet aus.
- 04Disko + NixOS
Eine Festplatte prüfen und überschreiben
Das Startmedium ist ausgeschlossen. Der Bediener wählt ausdrücklich eine geeignete Festplatte und bestätigt eine Prüfung, die an die Sitzung vor Ort, den logischen Rechner, den Versionsstand und die Festplatte gebunden ist.
- 05Neustart und Prüfung getrennt
Installiertes System starten
Nach der Installation entfernt der Bediener den USB-Stick oder senkt seine Startpriorität, gibt den Neustart gesondert frei und prüft Rechner und genauen Systemstand. WLAN-Zugangsdaten der Live-Sitzung werden nicht übernommen: Die Netzverbindung des installierten Systems muss vor der Prüfung eingerichtet sein.
Bei keinem der beiden Wege kontaktiert der Client das Internet.
PXE-Artefakte oder der entfernte Helfer sowie alle signierten Nix-Store-Pfade kommen über erlaubten lokalen Netzverkehr vom Controller. Der Controller braucht weiterhin Internet für die Ersteinrichtung und neue Eingaben. Nixorium meldet sich nicht an Captive Portals an und umgeht keine Netzregeln.
Quellcode des PXE-Dienstes Quellcode des Client-Installers Quellcode der Partitionierung
05 · Systemupdates
Mit Colmena verteilen.
Ist ein Rechner installiert, erreicht ihn die normale Systemverteilung per SSH unter seiner statischen Adresse im Computerraum. Die Installation über PXE oder USB/SSH wird dabei nicht wiederholt.
- 01ÄndernLaborkonfiguration bearbeiten oder aktualisieren
- 02BauenGewählte Systeme auf dem Controller erzeugen
- 03BereitstellenSignierte Store-Pfade über Harmonia bereitstellen
- 04VerteilenColmena erreicht einen Client oder die Laborgruppe über SSH
- 05AktivierenNixOS legt die neue Systemgeneration an
Die Konfiguration des Controllers wird separat angewendet. Anschließend wählt der Bediener einen oder mehrere konfigurierte Clients; es empfiehlt sich, zuerst einen typischen Arbeitsplatz zu testen.
Rechnerdefinitionen für Colmena Cache-Konfiguration der Clients NixOS-Generationen und Rollback
06 · Komponenten
Komponenten und Aufgaben.
Nixorium installiert und konfiguriert diese Komponenten als Teil der Abläufe im Computerraum.
Auf schmalen Bildschirmen scrollen Sie seitlich, um alle Spalten zu sehen. Sie können auch die Tabelle fokussieren und die Pfeiltasten nutzen.
| Komponente | Aufgabe in Nixorium | Phase |
|---|---|---|
| Nix + NixOS | Eingaben festlegen, Module prüfen, vollständige Systeme bauen und aktivierte Generationen erhalten. | Definition und Bau |
| NixOS-Modulsystem + mkLab | Laborkonfiguration prüfen und die Konfigurationen für Controller, Clients, Netzwerkstart, Installer und Verteilung erzeugen. | Auswertung |
| Nix-Builder und Store | Vollständige Systeme und Startartefakte aus der festgelegten Definition auf dem Controller bauen. | Bauen |
| Harmonia | Signierte Nix-Store-Pfade vom Controller an Clients im lokalen Netzwerk ausliefern. | Installation und Update |
| dnsmasq, TFTP, HTTP und iPXE | UEFI-Clients zum vorbereiteten Kernel und zur RAM-Disk leiten, ohne den DHCP-Server der Schule zu ersetzen. | Installieren |
| OpenSSH + Ferninstaller | Ein offizielles NixOS-ISO prüfen, seinen Fingerabdruck vor Ort einem konfigurierten Client zuordnen und eine geprüfte Installation mit neustartfesten Nachweisen ausführen. | Installieren |
| Disko | Die deklarierte Partitionierung und die Dateisysteme auf der vom Bediener bestätigten Festplatte anlegen. | Installieren |
| Colmena + OpenSSH | Einen Client oder die Laborgruppe ansprechen und die entfernte Aktivierung vom Controller koordinieren. | Aktualisieren |
| NixOS-Generationen | Aktivierte Systemkonfigurationen festhalten, damit eine frühere Generation für ein Rollback verfügbar bleibt. Free disk space behält die zehn neuesten auf jedem Computer; das Bootmenü zeigt höchstens zehn. | Aktivierung |
| age | Die Controller-Sicherung mit einer Passphrase verschlüsseln: Konfiguration samt Git-Verlauf, private Schlüssel und Schlüssel vertrauenswürdiger Rechner. | Sicherung |
| Klassenansicht | Zeigt der Lehrkraft die Schülerbildschirme und überträgt Sperren, Bildschirmfreigabe und Dateiausgabe über den bestehenden SSH-Zugang; installiert oder verteilt keine NixOS-Systeme. | Unterrichtsbetrieb |
07 · Grenzen
Netzwerk- und Vertrauensgrenzen.
- Controller-Verbindung
- Internet ist für die Ersteinrichtung nötig und für neue Software-Eingaben, die noch nicht vorliegen.
- Client-Verbindung
- Vorbereitete Installationen und Updates benötigen kein direktes Internet, aber Zugriff auf den Controller über das erlaubte LAN.
- PXE-Adressierung
- Erzeugte Startartefakte verwenden die DHCP-Adresse des Controllers. Ändert sie sich vor einem Netzwerkstart, müssen diese Artefakte neu gebaut werden.
- USB/SSH-Identität
- Der Bediener muss vor Ort das offizielle NixOS-ISO starten, IP und Ed25519-Fingerabdruck am Rechner ablesen, die Festplatte wählen und sich um das Installationsmedium kümmern.
- Reguläre Verteilung
- Colmena erreicht installierte Clients per SSH unter ihren statischen Adressen im Computerraum.
- Start und Festplatte
- Der aktuelle Standard-Installer erfordert x86_64 UEFI und löscht die vom Bediener bestätigte Zielfestplatte.
- Vertrauen und Kontrolle
- Cache-Signaturen, Abgleich des Fingerabdrucks vor Ort, SSH-Schlüssel, Laborkonfiguration, Zielauswahl, Prüfung der Festplatte und Verteilung bleiben in der Verantwortung des Bedieners.
- Grenzen der Zugangsdaten
- Clients erhalten autorisiertes öffentliches Material. Private Cache- und SSH-Zugangsdaten bleiben auf dem Controller und außerhalb versionierter öffentlicher Quellen.
- Controller-Sicherung
- Die verschlüsselte Sicherung enthält alles, um den Controller zu ersetzen, ohne die Clients neu zu installieren. Datei und Passphrase getrennt aufbewahren: Wer beides hat, kann den Computerraum verwalten.
- Unterrichtsüberwachung
- Der Agent der Klassenansicht läuft in der Sitzung des Schülers über einen privaten Socket und öffnet keinen Netzwerkport. Der Controller erreicht ihn nur über seinen bestehenden SSH-Zugang, und GNOME zeigt seinen Freigabehinweis, solange der Bildschirm erfasst wird.