KCSIE 与学校 WiFi：将安全接入与内容过滤相结合

《保障儿童教育安全》（KCSIE）要求英格兰的学校和学院实施适当的过滤与监控。教育部（DfE）的标准要求对使用网络连接的每一个人、访客账户和设备都进行过滤。日志应尽可能识别出具体个人。将针对个人的网络身份验证与 DNS 过滤相结合，可以同时满足教职工、学生和访客网络方面的这两大需求。

KCSIE 对学校 WiFi 过滤与监控有何要求？

《保障儿童教育安全》是英国教育部（DfE）颁布的法定指南。英格兰的学校和学院在履行其保护职责时必须予以重视。该指南规定管理机构和所有者负责提供适当的过滤和监控系统，并负责审查这些系统的运行效果。

KCSIE 规定由指定保护负责人（DSL）承担网络安全的主要责任。这包括了解现有的过滤和监控系统。您的网络现在是一项安全防护措施，DSL 需要了解其运行机制。

KCSIE 将网络风险分为四个领域：内容、接触、行为和商业。过滤主要针对内容风险。监控则是您尽早发现接触和行为风险的方式。

教育部（DfE）的四项过滤与监控标准

KCSIE 引导学校参考教育部于 2023 年 3 月首次发布的“学校和学院过滤与监控标准”。这些标准提出了四项期望：

1. 明确并分配管理过滤与监控系统的角色和职责。
2. 每年至少审查一次您的过滤与监控方案。
3. 在不给教学和学习带来不合理影响的前提下，拦截有害和不当内容。
4. 制定有效的监控策略，以满足学校或学院的安全保护需求。

第三项标准对您的 WiFi 意味着什么

第三项标准是对无线设计的具体要求。过滤应适用于每个人，包括访客账户、学校拥有的设备以及任何使用您宽带连接的设备。未经过滤的教职工网络或建立在独立线路上的访客网络都属于安全漏洞。

该标准还期望您的系统能够识别设备名称或 ID、IP 地址，并在可能的情况下识别个人。此外，还期望记录尝试访问的时间和日期，以及被拦截的搜索词或内容。

您的过滤提供商应当是互联网观察基金会（IWF）的成员。同时还应拦截反恐互联网举报中心（CTIRU）列表上的内容。英国网络安全中心（UK Safer Internet Centre）发布了关于“适当过滤”和“适当监控”的定义，提供商会针对这些标准进行自我认证。要求您候选名单上的任何提供商（包括我们）提供该响应文件。

为什么 KCSIE WiFi 过滤取决于是否清楚连接者的身份？

大多数学校的过滤器已经阻止了显而易见的类别。弱点在于归因。如果您的教职工和学生网络运行在共享密码上，过滤器只能看到一个 IP 地址，仅此而已。

每当地址租约到期时，该 IP 地址就会转给另一台设备。在网络地址转换背后，对上游过滤器而言，一整栋楼看起来可能就像一个地址。当 DSL 询问谁在 13:42 搜索了自残词汇时，坦诚的回答往往是“高年级网络上的一台设备”。

共享密码还会泄露。群聊中分享的教职工 WiFi 密钥会让学生的手机连入教职工网络并套用更宽松的策略。上学期离职的教师仍然保存着该密钥。这两起事件都不会出现在任何日志中，因为网络无法区分不同的密钥持有者。

按人鉴权的认证方式在连接点解决了归因问题。每台设备都使用绑定到具名人员的凭据进行连接，因此每条日志记录都可以映射回该人员。

网络认证与 DNS 过滤如何协同工作？

将其视为三个层级。认证决定谁在线以及他们落入哪个网络段。DNS 过滤决定他们可以访问什么。两者的日志根据 IP 地址和时间结合在一起，为 DSL 提供具名记录。

第 1 层：设备连接时的身份识别

对于教职工，标准是 IEEE 802.1X，即 WPA2-Enterprise 和 WPA3-Enterprise 背后的基于端口的访问控制框架。设备向 RADIUS（远程认证拨号用户服务）服务器提供凭据，服务器根据您的目录对其进行核对。Purple 的云 RADIUS 根据 Microsoft Entra ID、Google Workspace 或 Okta 核对教职工身份。您管理的是每人一个账号，而不是每栋楼一个 WiFi 密码。

学生自己的手机、寄宿学校的游戏机以及无法处理 802.1X 的教室设备需要另一种途径。身份预共享密钥 (iPSK) 在单个 SSID（网络名称）上为每个人或每台设备提供其专属的 WiFi 密钥。Purple 的 SecurePass 分发这些按人定制的密钥，因此高年级学生的手机可以使用仅属于他们自己的密钥加入网络。

访客、承包商和租用场地团体通过 Captive Portal 加入网络。这是设备在访问互联网之前看到的网页，访客可以在此注册或由教职工为其担保。Guest WiFi 负责处理该注册并为每个会话设置时间限制。

RADIUS 响应还可以将每台设备放置在 VLAN（虚拟局域网）上，这是一个逻辑上独立的网络段。这样，即使在相同的接入点上，教职工、学生和访客也会分布在具有独立过滤策略的不同网络段上。

第 2 层：每个网络段上的 DNS 过滤

在浏览器或应用程序连接到网站之前，它会向 DNS 解析器查询该域名的地址。过滤解析器根据类别列表检查该域名。如果该类别在当前网络段上被禁止，它将返回一个阻断页面。

由于它对查找进行操作，DNS过滤覆盖了该网段上的每台设备，无论是否受管。它不需要设备上的代理，也不需要检查证书。这非常适合访客和BYOD网络，尽管DfE标准将其纳入范围，但您无法对其进行管理。Purple的Shield附加组件在此层应用内容过滤。

您也可以在此处强制执行安全搜索。Google记录了指向forcesafesearch.google.com的DNS映射，该映射强制在使用您的解析器的任何设备上使用SafeSearch。YouTube支持类似的针对restrict.youtube.com的映射，以用于受限模式。

第3层：关联日志

RADIUS计费记录了哪个身份在何时拥有哪个IP地址。DNS过滤器记录了哪个IP地址在何时请求了哪个域名。在IP和时间戳上关联这两者，被阻止的查找就会变成具名的学生、设备和搜索词。

这种关联就是第三个标准所说的在可能的情况下识别个人。它还为第二个标准要求的年度审查提供了证据：触及了哪些类别、频率如何以及在哪个网络上。

教职工、学生和访客网络对比

网络	连接人群	认证方式	身份源	过滤策略	日志命名的内容	访问如何结束
教职工	教学和支持人员、理事	802.1X（WPA2-或WPA3-Enterprise）	Microsoft Entra ID、Google Workspace或Okta	阻止非法和有害内容，为教学资源开放更广泛的访问	具名教职工账户和设备	在目录中禁用账户
学生、学校拥有的设备	使用学校笔记本电脑和平板电脑的学生	带有学生账户的802.1X，或每台设备专用的密钥	学校目录	按关键阶段适龄策略，强制安全搜索	具名学生或带有资产标签的设备	从目录中移除学生
学生BYOD	策略允许的高年级学生自己的手机和笔记本电脑	通过SecurePass按人分发的iPSK	学校目录	学生策略加上阻止VPN、代理和加密DNS类别	具名学生和设备	撤销个人密钥
访客与出租	访客、承包商、家长、出租团体	带有注册或教职工赞助的Captive Portal	访客注册记录	在儿童可能连接的任何地方至少达到学生基线	注册访客和设备	会话在时间限制到达时过期

这与您已经在运行的过滤处于什么位置？

大多数学校已经在运行某种过滤。宽带提供商和区域联盟通常会提供它，许多防火墙也包含Web过滤。学校拥有的设备可能带有通过移动设备管理（MDM）交付的过滤器代理。网络认证和DNS过滤是对这些控制措施的补充，而不是彻底替代它们。

方法	它能看到什么	覆盖BYOD和访客设备	覆盖场外设备	主要差距
DNS 过滤	已查询的域名	是，使用您解析器的任何设备	否	无法拦截单个页面，且加密的 DNS 或 VPN 会绕过它（除非其本身被拦截）
带有 HTTPS 检查的防火墙过滤	解密后的完整 URL 和内容	仅限域名级别，因为未托管设备缺少您的证书	否	证书部署问题、隐私担忧以及在检查下会崩溃的应用程序
通过 MDM 部署的设备代理	设备本身的活动	否，仅限学校拥有的设备	是	无法作用于访客设备、BYOD 设备或未注册的设备

实际应用中的模式是分层防御。将设备代理保留在学校的笔记本电脑上，以便过滤规则能随它们延伸至家中。对任何代理都无法覆盖的 BYOD 和访客设备使用 DNS 过滤。采用按人计的身份验证，以便两组日志都能准确记录到个人。

Purple 可以作为云叠加层运行在您现有的接入点上：Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。我们在 为什么您的下一次 WiFi 升级不需要新硬件 中解释了为什么这样可以避免拆除重装。有关 SSID 和网络分段设计，请参阅 2026 年场馆和企业的网络最佳实践。

如果您将员工迁移到 WPA3 - Enterprise，保护管理帧 (IEEE 802.11w) 将成为强制性要求。它们可以阻止伪造的断开连接帧，防止这种将设备推向伪造网络的低成本攻击方式。保护管理帧：2026 年实用指南 涵盖了详细信息。

Purple 在 80,000 多个真实场馆中运行，并在 2024 年处理了 4.4 亿次登录（来自 Purple 数据），正常运行时间达 99.999%。在教育领域，我们的客户包括谢菲尔德大学、利兹大学和伦敦艺术大学。大学虽不属于 KCSIE 的适用范围，但其身份识别模型是相同的。

在真实的学校资产中，这看起来是什么样子？

以下两个场景均为示意说明。相关结果直接来自于所描述的配置。

一所中学废除了三个共享密码

现状。 一所拥有 1,100 名学生和高中部的中学运行着三个 SSID。教职工共享一个密钥，高中生共享一个每个学期更换一次的密钥，访客则从前台获取密钥。过滤机制设置在宽带线路上。DSL 无法将任何被拦截的搜索归因到具体个人，而且教职工的密钥已经出现在了学生的手机上。

具体做法。 教职工迁移到针对 Microsoft Entra ID 的 802.1X。每位高中生在学生 VLAN 上收到一个专属的 SecurePass 密钥。访客通过强制门户（Captive Portal）注册，会话时长为 8 小时。DNS 过滤按 VLAN 运行，强制执行安全搜索，并在学生和访客网段上拦截加密的 DNS 和 VPN 类别。

成效。 共享 WiFi 密码数量从三个降至零。教职工和 Key Stage 5 阶段网络上的每一条过滤日志记录，都能精确映射到指定的具名账号。教职工的访问权限在 IT 部门于 Entra ID 中禁用该账号时即刻终止，无需等待每学期的定期密钥变更。

某多学院信托基金（MAT）开放场馆用于社区租赁服务

背景。 一家拥有八所小学的信托基金将其场馆出租给晚间俱乐部、周末集市和周六足球项目。租赁团队会获取每所学校的访客密钥。在经历多次学院化转型后，各个校区混合使用了 Cisco Meraki 和 Ubiquiti UniFi 设备，并配置了不同的本地设置。

应对措施。 该信托基金在所有八个校区部署了一个统一的 Captive Portal，作为覆盖这两个厂商设备的叠加层。校区经理根据每次预订的时间赞助租赁会话。由于大多数预订活动都有 18 岁以下未成年人参加，租赁网络采用了与学生一致的基础过滤标准。

成效。 八套本地访客配置整合为一项集中式策略。每台租赁设备都与已注册的联系人和预订信息挂钩。信托基金在一个地方即可为所有八所学校提供年度审查证据，满足了第二项标准的要求。WiFi Analytics 可以显示按校区划分的连接数量，从而帮助资产管理团队合理规划租赁活动的人员配置。

您应该了解哪些局限性？

DNS 过滤识别的是域名，而非具体页面

DNS 过滤仅对域名做出拦截决策。它无法阻止您允许访问的域名上的单个有害视频。如需实现这一点，请在受控设备上使用 HTTPS 审查或平台内置的控制功能，例如 YouTube 限制模式。

加密 DNS 和 VPN 可以绕过过滤机制

浏览器可以通过 DNS over HTTPS (DoH) 发送请求，这会将查询隐藏在加密的 Web 流量中，从而绕过您的解析器。拦截已知的公共 DoH 解析器以及 VPN 和代理类别。然后在防火墙处拦截除您的解析器之外向任何外部解析器发出的出站 DNS 请求。当您的解析器拦截 Firefox 的 canary 域名 use-application-dns.net 时，Firefox 会禁用默认的 DoH。英国 Safer Internet Centre 的过滤定义要求服务提供商管理此类规避行为。

移动数据网络处于您的网络之外

使用 4G 或 5G 的学生完全不会接入您的 WiFi。KCSIE 本身指出，许多儿童可以通过移动网络访问不受限制的互联网。它希望您的网络安全方案能够体现这一点。英国教育部 (DfE) 2024 年关于在学校使用手机的指导意见，明确支持在教学日期间禁止使用手机。

日志是证据，而非监控本身

第四项标准要求制定监控策略，而一份无人阅读的日志无法满足任何要求。请明确由谁负责审查警报、响应速度有多快，以及如何将关切事项上报给指定安全负责人 (DSL)。课堂监督是该策略的一部分，而不是备用方案。

过度拦截会带来自身风险

KCSIE 警告管理机构不要过度拦截，以免对教学造成不合理的限制。针对教职工和学生制定区分的策略，并按 Key Stage 教学阶段分级，这样可以让 Key Stage 5 阶段的政治课访问新闻网站，同时确保 Year 7 保持严格的过滤状态。

KCSIE 仅适用于英格兰

威尔士、苏格兰和北爱尔兰为其学校发布了自己的安全保护指南。此处的架构适用于所有四个国家/地区，但请核对当地的具体要求。

接下来您应该做什么？

1. 梳理每个网络。 列出每个场所的每个 SSID 及其身份验证方法和过滤策略。标记所有使用共享密钥或未配置策略的网络。
2. 明确责任人。 第一个标准要求由一名高级领导对过滤和监控负责、DSL 牵头，并指定一名 IT 服务商。请将其书面记录下来。
3. 从每个 SSID 进行测试。 SWGfL 的测试过滤工具可以检查连接是否阻断核心类别（包括 IWF 和 CTIRU 内容）。请从访客和 BYOD 网络运行测试，而不仅仅是在教职工网络上运行。
4. 分阶段推进迁移。 首先让教职工使用 802.1X，因为泄露的教职工密钥会让学生暴露在最宽松的策略下。接着添加针对每名学生的密钥，最后配置访客 Captive Portal。
5. 按网络段实施过滤。 按 VLAN 应用 DNS 过滤，强制执行安全搜索，并阻断加密 DNS 及 VPN 类别。
6. 演练问题排查。 在发生实际事件之前，与 DSL 一起演练问答“谁在何时搜索了此内容？”。将演练结果记录在您的年度审查中。

如果您还在商业场所运营 WiFi，我们的 酒店 WiFi RFP 清单：身份验证、内容过滤和访客营销 将相同的评估问题应用到了公共网络环境中。

常见问题解答

KCSIE 是否要求对学校的访客 WiFi 进行过滤？

是的。DfE 过滤与监控标准规定，过滤应适用于所有人（包括访客账户），以及使用您宽带连接的任何设备。如果访客或出租场地网络绕过了您的过滤器，这就是您的年度审查应当发现的漏洞。至少应阻断违法和有害内容，并在儿童可能连接网络的任何场景下（例如晚间社团、开放日和假期活动）匹配学生策略。

Purple 能否在我们现有的 AP 无线接入点上运行？

是的。Purple 与硬件无关，可以作为云端重叠网络运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。通过学术机构转制继承了混合硬件的教育信托基金，可以在所有场所运行统一的身份验证和过滤策略。您只需按照 Purple 针对您硬件厂商的支持文档，将您的控制器指向 Purple 的云 RADIUS 和 Captive Portal 即可。

我们必须替换宽带提供商的过滤器吗？

不需要。许多学校保留了其提供商或联盟的过滤器，并添加了按人身份验证，因此其日志记录的是具体个人而不是 IP 地址。另一些学校则在现有过滤器无法覆盖的 BYOD 和访客网络段上添加了 DNS 过滤。无论您运行什么系统，请检查它是否符合 UK Safer Internet Centre 的适当过滤定义。同时确认您的提供商是阻断 CTIRU 列表的 IWF 成员。

仅靠 DNS 过滤是否足以满足 DfE 标准？

不能。DNS 过滤涵盖了网络上的每一台设备，以满足过滤标准，但它看到的是域名而非完整页面。仅凭自身无法实现监控。这些标准还要求明确指定的角色、年度审查以及由人员运行并由您的 DSL 领导的监控策略。请将 DNS 过滤与单人身份验证、学校自有设备上的设备代理以及课堂监督相结合。

当教职工离职时，WiFi 访问权限会怎样处理？

借助 Identity-Based Networks，当您在 Microsoft Entra ID、Google Workspace 或 Okta 中禁用账户时，访问权限即告终止。教职工通过 802.1X 对您的目录进行身份验证，因此前员工的手机上不会保留任何共享密钥。入职、异动和离职均遵循您现有的 HR 流程。您无需在每次有人离职后更改共享密码并重新配置每台设备。

我们应该如何处理学生自己的手机？

先制定策略，然后在网络上强制实施。如果根据 DfE 2024 年移动电话指南，学生在校期间不得使用手机，请让他们完全断开学校 WiFi。如果六年级学生可以连接，请为每位学生在已过滤的学生网络段上提供独立的 SecurePass 密钥。使用 4G 或 5G 的手机会绕过您的网络，因此行为策略和监督仍然非常重要。

在 GDPR 下，身份验证和过滤数据是如何处理的？

Purple 符合 GDPR 要求，并通过了 ISO 27001 和 Cyber Essentials 认证。将特定姓名学生与搜索词关联的日志属于儿童个人数据。在开启这些功能之前，请完成数据保护影响评估。设置符合您安全保障策略的保留期限，并将访问权限仅限于 DSL 和指定的副手。在您的隐私声明中记录合法依据。