Sitzungsende: naechste Schritte fuer 2026-07-15 festgehalten

Wichtigster Punkt fuer die naechste Sitzung: Herb prueft laptop03 auf
Image-Reife, BEVOR das Master-Image erstellt wird. Danach Stick/Platte-
Schritte in fester Reihenfolge.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ANLEITUNG_NACH_KLONEN.md

@@ -1,110 +1,36 @@
 # Anleitung: Nach dem Klonen
 
-Diese Anleitung gilt NACHDEM du:
+Gilt fuer die **Erstinstallation per USB-Stick** (Weg 3 in
-- Das Image mit Clonezilla aufgespielt hast
+`CLONEZILLA_AUTOMATISCH.md`). Beim automatischen Jahres-Reimage von der
-- Das First-Boot-Script ausgefuehrt hast (`sudo ~/ansible-schule/files/first-boot-setup.sh laptopXX`)
+externen Platte ist NICHTS davon noetig — dort passiert alles von selbst.
 
----
+## Auf dem frisch geklonten Laptop (einmalig)
-
-## Auf dem Controller (laptop03)
-
-### Schritt 1: IPs aktualisieren
 
 ```bash
-cd ~/ansible-schule
+sudo ~/projekte/schul-laptops/files/first-boot-setup.sh laptopXX
-./update-ips.sh
 ```
 
-Das Script findet automatisch alle eingeschalteten Laptops im Netzwerk und traegt ihre IPs in die inventory.yml ein.
+Das Script setzt Hostname, SSH-Host-Keys und Machine-ID, entfernt den
+Admin-Key (ausser auf laptop03) und aktiviert den ansible-pull-Timer.
+**Das war's** — ab jetzt holt sich der Laptop alle 30 Minuten selbst
+Updates und Konfiguration aus Gitea, egal in welchem Netz er haengt.
 
-**Erwartete Ausgabe:**
+## Kontrolle (optional)
-```
-=== IP-Adressen aktualisieren ===
-
-laptop01:    192.168.x.x
-laptop02:    nicht erreichbar
-laptop03:    192.168.x.x
-...
-
-=== Fertig ===
-Aktualisiert: 5
-Nicht erreichbar: 11
-```
-
----
-
-### Schritt 2: Verbindung testen
 
 ```bash
-ansible all -m ping
+systemctl list-timers ansible-pull*     # Timer aktiv?
+journalctl -u ansible-pull -n 30        # letzter Pull-Lauf ok?
+cat /etc/schul-image-version            # installiertes Image
 ```
 
-**Erfolg sieht so aus:**
-```
-laptop03 | SUCCESS => { "ping": "pong" }
-laptop10 | SUCCESS => { "ping": "pong" }
-```
-
-**Fehler ignorieren** fuer Laptops die nicht eingeschaltet sind - das ist normal.
-
----
-
-### Schritt 3: Updates auf alle erreichbaren Laptops
-
-```bash
-ansible-playbook playbooks/update.yml
-```
-
-Oder nur auf bestimmte:
-
-```bash
-ansible-playbook playbooks/update.yml --limit laptop10,laptop11
-```
-
----
-
-## Schnellreferenz
-
-| Was | Befehl |
-|-----|--------|
-| IPs aktualisieren | `./update-ips.sh` |
-| Alle pingen | `ansible all -m ping` |
-| System-Update | `ansible-playbook playbooks/update.yml` |
-| Software installieren | `ansible-playbook playbooks/install-software.yml -e "packages=['vlc']"` |
-| Neustarten | `ansible-playbook playbooks/reboot.yml` |
-| Nur bestimmte Rechner | `--limit laptop05,laptop06` |
-
----
-
-## Problemloesungen
-
-### "nicht erreichbar" bei update-ips.sh
-
-- Ist der Laptop eingeschaltet?
-- Ist er im gleichen Netzwerk (WLAN/Kabel)?
-- Wurde das First-Boot-Script ausgefuehrt?
-
-### SSH-Fehler "Host key verification failed"
-
-```bash
-ssh-keygen -R 192.168.x.x
-```
-
-(Die IP durch die tatsaechliche IP ersetzen)
-
-### Ansible findet inventory nicht
-
-Immer aus dem richtigen Verzeichnis ausfuehren:
-
-```bash
-cd ~/ansible-schule
-```
-
----
-
 ## Checkliste neuer Laptop
 
-- [ ] Image mit Clonezilla aufgespielt
+- [ ] Image per Stick aufgespielt (nimmt automatisch das neueste)
-- [ ] First-Boot-Script: `sudo ~/ansible-schule/files/first-boot-setup.sh laptopXX`
+- [ ] `sudo files/first-boot-setup.sh laptopXX` ausgefuehrt
-- [ ] Auf Controller: `./update-ips.sh`
+- [ ] `journalctl -u ansible-pull` zeigt einen erfolgreichen Lauf
-- [ ] Testen: `ansible laptopXX -m ping`
+
+## Legacy: Push-Betrieb im Heimnetz
+
+Nur noetig, wenn du aktiv per Push arbeiten willst (funktioniert nicht im
+Schul-WLAN) — siehe README.md, Abschnitt „Legacy“ (`update-ips.sh`,
+`ansible-playbook playbooks/...`).

CHANGELOG.md

@@ -1,5 +1,24 @@
 # Changelog
 
+## 2026-07-13 — Umbau umgesetzt (Teile A–C)
+
+- **Server:** DNS `git.lehrstun.de` (A-Record via Server-Token angelegt),
+  Nginx-vHost mit Let's-Encrypt-Zertifikat → Gitea; Read-only-Deploy-Key
+  `ansible-pull-deploy` am Repo, privater Key unter `/root/.ssh/` auf laptop03.
+  Beide Pull-Wege (HTTPS + SSH 2222) Ende-zu-Ende getestet.
+- **Pull-Mechanik:** `local.yml`, `schul-pull.sh`, systemd-Timer (Boot + 30 min)
+  — laeuft auf laptop03, verwaltet sich selbst per Pull.
+- **Jahres-Reimage:** `reimage-check.service` (auf laptop03 deaktiviert),
+  GRUB-Eintrag „Schul-Neuinstallation“ (custom.cfg, GRUB_DEFAULT=saved),
+  `schul-reimage.sh` mit Mini-Menue und ocs-sr-Batch-Aufrufen. Per Pull verteilt.
+- **Doku:** README, CLONEZILLA_AUTOMATISCH, ANLEITUNG_NACH_KLONEN auf den neuen
+  Ablauf umgestellt.
+- **Offen:** Live-Dateien vom Stick, Image umbenennen, Stick-Update,
+  Reimage-Test (siehe [[CLAUDE]]).
+- **Sitzungsende:** Weiter am 2026-07-15. Erster Schritt dann: Herb prueft
+  laptop03 auf Image-Reife (was soll geklont werden?) — erst danach
+  Master-Image. Reihenfolge steht unmissverstaendlich in [[CLAUDE]].
+
 ## 2026-07-13 — Projektgruendung & Kurswechsel auf Pull
 
 - Alter git-loser Ordner `~/ansible-schule` (Jan/Feb 2026) nach

CLAUDE.md

@@ -1,6 +1,6 @@
 # schul-laptops — Projektstatus
 
-Status: aktiv · Stand: 2026-07-13
+Status: aktiv · Stand: 2026-07-13 · Pull-Mechanik LAEUFT auf laptop03, Reimage-Skripte verteilt — es fehlt nur noch der Hardware-Teil (Stick/Platte)
 
 ## Worum es geht
 
@@ -31,15 +31,38 @@ Benutzer auf den Laptops: `puettmann` (Admin, passwordless sudo), `schueler` (oh
 
 ## Blocker
 
-- Keine.
+- Keine Software-Blocker. Es fehlt nur Hardware am laptop03:
+  CLONEZILLA-Stick + Platte DEZNTRSICHERUNG (siehe naechste Schritte).
 
-## Naechste Schritte
+## Naechste Schritte — GENAU IN DIESER REIHENFOLGE (naechste Sitzung: 2026-07-15)
 
-- [ ] Teil A: Server — DNS `git.lehrstun.de`, Nginx-vHost, Deploy-Key
+**Als Erstes, BEVOR irgendein Image erstellt wird:**
-- [ ] Teil B: Pull-Mechanik (local.yml, schul-pull.sh, systemd-Units, first-boot)
+
-- [ ] Teil C: Jahres-Reimage (Clonezilla lokal, Boot-Check, Mini-Menue)
+1. [ ] **Herb prueft laptop03 auf Image-Reife.** Herb will kontrollieren, ob
-- [ ] Teil D: Aktivierung auf laptop03 + Verifikation
+   alles auf diesem Rechner ist, was geklont werden soll (Software, Einstellungen,
-- [ ] Master-Image erstellen, Rollout auf laptop01–16 (auch laptop10 neu)
+   schueler-Account). Die naechste Instanz soll ihn dabei aktiv unterstuetzen:
+   installierte Programme durchgehen, Home-Verzeichnisse auf Muell/Privates
+   pruefen (z.B. `~/RS41ng` bleibt — ist ok, wird mitgeklont), offene Fragen stellen.
+   **Kein Master-Image erstellen, bevor Herb das freigegeben hat!**
+
+**Danach (Stick + Platte muessen an laptop03 stecken):**
+
+2. [ ] Clonezilla-Live-Dateien vom Stick (Ordner `/live/`: vmlinuz, initrd.img,
+   filesystem.squashfs) nach `/boot/clonezilla/` kopieren
+3. [ ] Bestandsimage auf der Platte umbenennen: `schule-laptop` →
+   `schule-laptop-2026-02-01` (Datums-Schema, neuestes gewinnt)
+4. [ ] Stick-Menue (syslinux.cfg + grub.cfg auf dem Stick) auf
+   „neuestes Image“-Logik + `files/clonezilla/schul-reimage.sh` umstellen
+5. [ ] Reimage-Kette TROCKEN testen (auf laptop03 nur den Check, nie den Restore:
+   `sudo /usr/local/bin/reimage-check.sh` mit angesteckter Platte ausfuehren —
+   wegen Hostname-Schutz muss er ohne Aktion beenden; Logik ggf. mit
+   ueberschriebenem Hostname-Check auf einer Wegwerf-Kopie pruefen)
+6. [ ] Neues Master-Image erstellen: laptop03 neu starten, GRUB-Eintrag
+   „Schul-Neuinstallation“ → Taste `i` (IMAGE ERSTELLEN)
+7. [ ] ECHTER Reimage-Test auf laptop10 (Opfer-Laptop): Platte dran, einschalten,
+   warten — muss sich danach als laptop10 mit neuem Image melden
+8. [ ] Rollout auf laptop01–16 (Erstinstallation per Stick, Weg 3 in
+   `CLONEZILLA_AUTOMATISCH.md`)
 
 ## Hinweise
 

CLONEZILLA_AUTOMATISCH.md

@@ -1,99 +1,82 @@
-# Clonezilla Automatisiert - USB + Externe Festplatte
+# Clonezilla — Images erstellen & aufspielen
 
 ## Setup
 
-- **USB-Stick:** CLONEZILLA (7,6 GB) - enthält Clonezilla Live
+- **Externe Festplatte:** `DEZNTRSICHERUNG` (1,8 TB) — traegt die Images
-- **Externe Festplatte:** DEZNTRSICHERUNG (1,8 TB) - enthält das Image
+- **Images:** Ordner `schule-laptop-JJJJ-MM-TT` — es koennen mehrere liegen,
-- **Image-Name:** `schule-laptop`
+  **das neueste (Datumsname) gewinnt immer**
+- **USB-Stick:** `CLONEZILLA` — nur noch fuer die **Erstinstallation** und als
+  Rettung, falls ein Laptop gar nicht mehr bootet
+- Jeder Laptop merkt sich sein installiertes Image in `/etc/schul-image-version`
 
-## Boot-Menü
+## Weg 1: Jahres-Reimage OHNE Stick (der Normalfall)
 
-Beim Booten vom USB-Stick erscheinen zwei Hauptoptionen:
+1. Platte `DEZNTRSICHERUNG` an den Laptop anstecken
+2. Laptop einschalten — mehr nicht
+3. Der Laptop erkennt beim Boot, dass ein neueres Image auf der Platte liegt,
+   und startet automatisch in die Image-Station (Clonezilla aus `/boot/clonezilla`,
+   laeuft komplett im RAM)
+4. Mini-Menue erscheint:
+   - **AUFSPIELEN** — vorausgewaehlt, startet nach 20 s von selbst
+   - **IMAGE ERSTELLEN** — diesen Rechner als neues Image sichern
+   - **Abbrechen** — normaler Neustart
+5. Beim Aufspielen bleibt der **Hostname erhalten** (laptop11 bleibt laptop11);
+   SSH-Host-Keys, Machine-ID und Versionsdatei werden automatisch neu gesetzt.
+   Danach: Poweroff. Fertig — kein first-boot-Script noetig.
 
-```
+Steckt die Platte beim naechsten Boot noch, passiert nichts mehr
->>> IMAGE AUFSPIELEN (Laptop bespielen) <<<   [Standard]
+(Versionsvergleich). **laptop03 (Master) bespielt sich nie selbst** —
->>> IMAGE ERSTELLEN (Laptop sichern) <<<
+dort ist der Boot-Check deaktiviert.
-```
 
-**Nach der Auswahl läuft alles automatisch** - keine weitere Eingabe nötig!
+## Weg 2: Neues Master-Image erstellen (auf laptop03)
-Der Computer fährt nach Abschluss automatisch herunter.
 
-## Workflow
+1. Platte anstecken, laptop03 neu starten
+2. Im GRUB-Menue **„Schul-Neuinstallation“** waehlen (Eintrag ist im normalen
+   Boot nicht sichtbar, ggf. `Esc`/`Shift` beim Boot halten)
+3. Im Mini-Menue **„IMAGE ERSTELLEN“** (Taste `i`) — Image heisst automatisch
+   `schule-laptop-<heutiges Datum>` und ist damit sofort das neueste
+4. Rechner faehrt herunter, wenn fertig
 
-### 1. Master-Image erstellen (einmalig)
+## Weg 3: Erstinstallation per USB-Stick
 
-1. Master-Laptop (laptop03) vorbereiten und testen
+1. Stick `CLONEZILLA` **und** Platte anstecken, per `F12` vom Stick booten
-2. USB-Stick und externe Festplatte anschließen
+2. „IMAGE AUFSPIELEN“ waehlen — nimmt automatisch das neueste Image
-3. Von USB booten (F12)
+3. Nach dem Poweroff booten und einmalig den Namen vergeben:
-4. **"IMAGE ERSTELLEN"** wählen
-5. Warten bis Computer herunterfährt
-6. Image liegt dann auf der externen Festplatte als Ordner `schule-laptop`
-
-### 2. Image auf andere Laptops aufspielen
-
-1. USB-Stick und externe Festplatte anschließen
-2. Von USB booten (F12)
-3. **"IMAGE AUFSPIELEN"** wählen (ist bereits vorausgewählt)
-4. Warten bis Computer herunterfährt (~5-10 Min mit SSD)
-5. First-Boot-Script ausführen:
    ```bash
-   sudo ~/ansible-schule/files/first-boot-setup.sh laptop05
+   sudo ~/projekte/schul-laptops/files/first-boot-setup.sh laptop05
    ```
+   Ab dann laeuft ansible-pull und der Laptop haelt sich selbst aktuell.
 
 ## Technische Details
 
-### Clonezilla-Parameter für Image erstellen
+- Alle `ocs-sr`-Aufrufe laufen im **Batch-Modus ohne Sicherheitsabfragen und
-```
+  ohne Nachpruefung** (`-batch -scs/-scr -icds -sfsck`, Entscheidung E-004 —
-ocs-sr -q2 -c -j2 -z5p -i 4096 -sfsck -senc -p poweroff savedisk schule-laptop sda
+  12x identische Hardware, Fehlerfaelle macht Herb von Hand)
-```
+- Restore: `ocs-sr -g auto -e1 auto -e2 -r -j2 -icds -k1 -scr -batch -p true restoredisk <image> sda`
-- `-q2` - Priorität: partclone > partimage > dd
+- Save: `ocs-sr -q2 -j2 -z5p -i 4096 -sfsck -senc -scs -batch -p true savedisk <image> sda`
-- `-z5p` - Kompression mit zstd (schnell, gut)
+- Menue/Ablauf: `files/clonezilla/schul-reimage.sh` (liegt auf jedem Laptop
-- `-i 4096` - Splitgröße 4GB
+  unter `/boot/clonezilla/`, wird per ansible-pull aktuell gehalten)
-- `-sfsck` - Filesystem-Check überspringen (schneller)
+- GRUB-Eintrag: `files/clonezilla/grub-custom.cfg` → `/boot/grub/custom.cfg`
-- `-p poweroff` - Nach Abschluss herunterfahren
+- Boot-Check: `files/reimage-check.sh` + `.service`
 
-### Clonezilla-Parameter für Image aufspielen
+## Voraussetzung: Clonezilla-Live-Dateien im Image
-```
-ocs-sr -g auto -e1 auto -e2 -r -j2 -icds -k1 -p poweroff restoredisk schule-laptop sda
-```
-- `-g auto` - Geometrie automatisch
-- `-e1 auto -e2` - MBR/Partitionstabelle wiederherstellen
-- `-r` - Partitionsgrößen anpassen
-- `-icds` - Bestätigung überspringen
-- `-k1` - Partitionstabelle der Zielfestplatte erstellen
-- `-p poweroff` - Nach Abschluss herunterfahren
 
-## Weitere Boot-Optionen
+`/boot/clonezilla/` braucht einmalig `vmlinuz`, `initrd.img` und
+`filesystem.squashfs` vom Clonezilla-Stick (Ordner `/live/`). Sie sind zu gross
+fuer git und kommen ueber das Master-Image auf alle Laptops. Fehlen sie, meldet
+der Pull-Lauf einen Hinweis im Journal.
 
-- **Clonezilla manuell** - Alle Optionen, für Experten
+## Problemloesungen
-- **Von Festplatte starten** - Normaler Boot
-- **Erweiterte Optionen:**
-  - Image aufspielen (in RAM) - USB kann nach Start entfernt werden
-  - Failsafe-Modus - Bei Boot-Problemen
-  - Memtest - RAM-Test
 
-## Problemlösungen
+- **„Mount failed“ / Platte nicht gefunden:** Label pruefen:
+  `sudo ntfslabel /dev/sdX1 DEZNTRSICHERUNG`
+- **Kein Image gefunden:** Liegt ein Ordner `schule-laptop-*` auf der Platte?
+- **Laptop bootet nach Reimage nicht:** Stick benutzen (Weg 3) — der Stick ist
+  die Rettungsleine und funktioniert immer
 
-### "Mount failed" für externe Festplatte
+## Zeiten (12x gleiche Hardware, SSD + USB 3.0)
-- Prüfen ob Festplatte das Label "DEZNTRSICHERUNG" hat
-- Festplatte neu formatieren und Label setzen:
-  ```bash
-  sudo ntfslabel /dev/sdX1 DEZNTRSICHERUNG
-  ```
 
-### Image existiert nicht (beim Aufspielen)
+| Aktion | Dauer |
-- Erst "IMAGE ERSTELLEN" auf dem Master-Laptop ausführen
+|---|---|
-- Prüfen ob Ordner `schule-laptop` auf der externen Festplatte existiert
+| Image erstellen | ~10–15 Min |
-
+| Image aufspielen | ~5–10 Min |
-### Falsches Device (nicht sda)
-- Manuellen Modus verwenden und Device anpassen
-- Oder Konfiguration auf USB-Stick anpassen:
-  - BIOS: `/syslinux/syslinux.cfg`
-  - UEFI: `/boot/grub/grub.cfg`
-
-## Zeiten (geschätzt)
-
-| Aktion | SSD + USB 3.0 | HDD + USB 2.0 |
-|--------|---------------|---------------|
-| Image erstellen | ~10-15 Min | ~30-45 Min |
-| Image aufspielen | ~5-10 Min | ~20-30 Min |