学校 WiFi 采购：将教职工 802.1X、学生设备、访客及内容过滤整合于同一规范

学校 WiFi 规范应列出四个网络：教职员工、受管学生设备、访客和楼宇设备。规范应为每个网络设置身份验证、分段和内容过滤。教职员工和受管学生设备应通过 802.1X 或每设备专用密钥接入，绝不使用共享密码。所有网络（包括访客网络）的过滤都必须符合 DfE 过滤与监控标准。

统一的学校 WiFi 规范究竟有何作用？

当三家供应商各自负责网络的一部分时，容易出现管理真空，而统一规范能够消除这一脱节问题。在典型的学校中，一家供应商销售接入点，另一家运营 RADIUS，第三家则负责过滤网页流量。当学生在访客网络上接触到有害内容时，没有任何一家供应商承担全责。

在合同阶段将所有网络写入一份学校 WiFi 招标书中，即可解决这一问题。每个网络都将明确四项要素：

• 一名指定负责人。
• 一种身份验证方式。
• 一个 VLAN（即虚拟局域网）：在共享交换机和接入点上保持流量隔离的逻辑网络。
• 一套过滤策略。

竞标方针对整个网络资产进行统一报价。您的指定安全主管 (DSL) 将收到一份综合报告，而不是三份互不相通的报告。

对于多学院信托基金 (MAT) 的 WiFi，该规范还可以作为模板。每所学校都沿用相同的网络和策略，仅在信托基金允许的情况下进行本地调整。明年加入信托基金的学校将直接采用该模板，而无需自行开展采购。

编写学校 WiFi 招标书之前需要准备什么？

起草前请先收集五项内容。每一项都会直接影响您要求竞标方提供的方案。

每所学校的资产清单。 记录接入点型号、控制器、交换机以及厂商支持到期日。Purple 与硬件无关，可作为云覆盖层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。如果您的硬件在上述列表中且仍在支持期内，招标可能根本不需要包含硬件分包。为什么您的下一次 WiFi 升级不需要新硬件 详细阐述了这一观点。

您的身份源。 大多数学校使用 Microsoft Entra ID 或 Google Workspace 来管理教职工和学生账户，一些信托基金则使用 Okta。WiFi 平台应针对该目录进行身份验证，而不是依赖第二份独立账户列表。

设备清单。 统计受管 iPad、Chromebook 和 Windows 笔记本电脑的数量，并记录负责管理的人员。注明是否已有移动设备管理 (MDM) 平台对它们进行了注册。MDM 是一种向学校拥有的设备推送配置、应用程序和凭据的软件。

您当前的过滤和监控方案。 记录服务商、合同结束日期以及负责的高级主管人员。DfE 标准要求在做出任何技术决策之前必须明确指定负责角色。

**安全保障签字确认。**在招标发出之前，您的 DSL 以及负责在线安全的理事应审核并批准过滤要求。《保障儿童教育安全》（Keeping Children Safe in Education）赋予了 DSL 负责在线安全的首要职责，包括了解现行的过滤和监控机制。

如何在学校网络规范中编写各网络的相关内容？

请在规范开头提供如下所示的表格。该表格会告知所有竞标者各个网络的使用群体、加入方式以及过滤内容。随后竞标者需逐项做出响应。

网络	使用群体	认证方式	网络分段	过滤策略	Purple 组件
教职员工	教师、支持人员、代课人员、信托基金会中心团队	基于 Entra ID、Google Workspace 或 Okta 的 IEEE 802.1X；受管笔记本电脑上的证书	独立 VLAN，可访问 MIS、打印机和文件共享	教职员工策略，针对具体人员进行过滤并记录日志	Purple Access, Shield
受管学生设备	学校拥有的 iPad、Chromebook 和笔记本电脑	EAP-TLS 证书或按设备分配的 iPSK，通过 MDM 注册分发	独立 VLAN，无权访问教职员工资源	适合相应年龄段的学生策略，按设备记录日志	Purple Access, Purple MDM, Shield
学生自有设备（可选，高中部）	拥有个人手机和笔记本电脑的高中部学生	采用学生账户的 802.1X 或按学生分配的 iPSK	独立 VLAN，仅限互联网访问	学生策略，按学生记录日志	Purple Access, Shield
访客与外包人员	家长、理事、外包人员、礼堂租用者	具备限时或赞助访问权限的强制门户	客户端隔离，仅限互联网访问	访客策略，进行过滤并记录日志	Purple Access, Shield
楼宇设备	打印机、音视频系统、门禁、CCTV、传感器	按设备分配的 iPSK	隔离的 VLAN，仅开放每台设备所需的服务	锁定到所需目标	Purple Access, Shield

教职员工：基于您现有的目录服务运行 802.1X

IEEE 802.1X 是网络访问控制的标准。设备在获取任何网络访问权限之前，必须先通过 RADIUS 服务器进行认证。RADIUS（远程认证拨入用户服务）是用于验证凭据并返回接受或拒绝结果的协议。

请清晰地表述这一要求："教职员工设备应针对信托基金会的身份提供商使用 IEEE 802.1X 进行认证。不存在共享的教职员工密码。" Purple Access 提供云端 RADIUS，因此无需在每所学校部署本地服务器。

要求提供两种方式：

• 用于受管教职员工笔记本电脑的 EAP-TLS。每台设备出示由 MDM 推送的证书，因此无需手动输入任何内容。
• 用于教职员工手机的 PEAP 或按人分配的密钥。PEAP 会在加密的 TLS 隧道内传输密码。

在接入点和设备支持的情况下指定使用 WPA3-Enterprise，并将 WPA2-Enterprise 作为后备方案。如何在 iOS 和 macOS 上通过 802.1X 设置企业级 WiFi 介绍了设备端的操作步骤。

实现入职、调动和离职管理的自动化。当教育信托机构停用离职人员的目录账户时，其 WiFi 访问权限应立即终止。要求竞标方详细说明账户变更如何同步到网络。这可以通过用于跨系统同步账户的标准 SCIM 实现，也可以通过实时目录查找实现。根据停用账户到终止访问之间的延迟时间对竞标方进行评分。

受管学生设备：通过注册配置，而非手动输入

在 600 台学生 iPad 上共用同一个密码必然会导致安全隐患。一旦有学生知道了密码，其个人手机就能连入专供学校设备使用的网络。随后，日志中就会出现无法归因于任何受管设备的流量。

请在要求中注明：“受管学生设备必须通过 MDM 注册获取网络凭证。任何学生或教职工均不得手动输入或获知该密钥。”有两种方法可以满足此要求：

• EAP-TLS 证书，每台设备分配一个。这是安全性最高的方案。
• iPSK（身份预共享密钥，亦称 PPSK）。每台设备在同一网络名称下获取独立的密钥，因此吊销单台设备权限不会影响其他设备。

Purple MDM 负责为受管学生设备办理注册，使凭证随设备配置一同下发。若 iPad 丢失，只需吊销单项凭证，而无需在全校范围内更换密钥。

共享移动充电车设备在技术规范中需要补充一项说明。过滤日志将记录设备名称，而非学生姓名。要求竞标方展示如何将设备日志与借出记录或课程表信息对应起来。这样，您的 DSL 即可确定当时是谁在使用该设备。

访客与承包商：限时访问且仍受过滤保护

访客通过强制门户接入网络。这是在授予网络访问权限之前显示的网页。请明确三种访问类型：

• 活动访问：面向家长和社区团体，在活动结束时失效。
• 保荐访问：面向理事及来访专业人士，由指定的教职人员审批。
• 承包商访问：在合同到期日失效。

仅收集必要的数据，严格遵守 GDPR 规定，对访问权限之外的任何操作均须征得用户明确同意。Purple 的 Guest WiFi 已在 90 个国家的 80,000 多个实际场馆中应用了该模式。

访客网络并不豁免于过滤策略。英国教育部 (DfE) 标准要求对访客账户以及使用学校宽带连接的所有设备均实施过滤。

应用场景：设有晚间对外租借场地的中学。 一所中学每周有四个晚上向社区团体出租体育馆和剧场。租借方以往会从塑封卡片上获取教职工 WiFi 密码。他们的设备因而接入了教职工 VLAN，并受教职工过滤策略管控。

该学校采取了以下三项措施：

1. 将教职工迁移至 802.1X，从而不再有可供外传的共享教职工密钥。
2. 为每周的四次租借分别分配独立的强制门户代码，该代码在预订结束时失效。
3. 对租借方的每台设备均应用访客过滤策略。

模型化的结果显而易见。流通中的共享教职工凭证从一个降至零。每次场地出租都会生成独立的限时代码。过滤日志中的每个租借者会话现在都会附带对应预订编号的代码。

楼宇设备：默认隔离

打印机、视听系统、门禁和闭路电视监控系统很少支持 802.1X。请为每个设备或每类设备在隔离的 iPSK 上分配其专属的 VLAN。将每个设备仅限制在其所需的服务内。例如，投影仪无需路由至 MIS 服务器。

覆盖每个网络的过滤与监控：英国教育部 (DfE) 标准的要求

作为针对学校和学院的数字化与技术标准的一部分，英国教育部 (DfE) 的过滤和监控标准提出了四项期望：

1. 明确并分配管理过滤和监控系统的角色与职责。
2. 每个学年至少审查一次过滤和监控配备情况。
3. 在不合理影响教学与学习的前提下，拦截有害和不当内容。
4. 制定满足学校安全保障需求的有效监控策略。

该标准对过滤系统做出了具体规定。该系统应适用于访客账户、学校拥有的设备以及任何使用学校宽带连接的设备。系统应做到：

• 过滤所有互联网流量源，包括任何备用连接。
• 符合年龄和能力适配要求。
• 处理多语言内容、图像、常见拼写错误及缩写。
• 识别并拦截诸如 VPN 和代理服务等规避行为。
• 在内容被拦截时发出告警。

过滤提供商应为英国互联网观察基金会 (IWF) 的成员。它应签署加入反恐互联网参考小组 (CTIRU) 名单，并拦截包括儿童性虐待材料在内的非法内容。过滤报告应显示：

• 设备名称或 ID、IP 地址，以及尽可能明确的个人身份。
• 尝试访问的时间和日期。
• 被拦截的搜索词或内容。

将每一点转化为编号的明确要求，并要求每位竞标者提供证据，而非仅仅回答“是”。这些证据应包括其 IWF 会员资格、CTIRU 状态以及对英国安全互联网中心合规过滤定义的公开响应。

Purple Shield 按网络应用过滤策略。学生、教职工和访客网络可以在一套日志下分别执行不同的策略。由于 Purple Access 能够识别完成身份验证的人员或设备，因此被拦截的请求可以直接对应到具名的教职员工、受管设备或访客代码。这一身份信息完全符合 DfE 的合规报告要求。

信托机构的报告、支持与推广部署

报告。 要求提供三个维度的报告：按网络、按学校以及全信托机构范围。指定安全防护专员 (DSL) 需要被拦截请求的报告与告警。业务主管需要连接与容量数据。理事会需要年度审查所需的合规证据。访客网络报告可与 WiFi Analytics 协同使用，以获取活动及场地租赁数据。

**支持。**明确在上课日、假期以及安全防护升级事件期间的响应时间。指定非工作时间触发过滤告警时的升级路径。索取相关认证。Purple持有 ISO 27001 和 Cyber Essentials 认证，符合 GDPR，并保持 99.999% 的正常运行时间。

**推广部署。**在全信托部署之前，先在合同中明确一所试点学校。将剩余学校的部署安排在假期窗口期内。要求竞标方提供并行运行方案：旧的共享密钥网络在设备迁移期间短暂保持运行，随后在固定日期停用。

**实操案例：包含八所学校的信托机构。**一个拥有两所中学和六所小学的信托机构曾运行着八种不同的 WiFi 配置。内容过滤分散在三份独立合同中。每所学校的学生 iPad 均通过共享密钥接入。

该信托机构采取了以下四个步骤：

1. 发布了一份包含上述五行网络表格的规范。
2. 指定在其现有的 Cisco Meraki 和 HPE Aruba 接入点上叠加云方案。
3. 在复活节假期期间于一所小学进行了试点。
4. 在夏季期间完成了其余七所学校的推广部署。

模型化成果：八个学生共享密钥归零。三份过滤合同整合为一套基于各个网络的策略。八份独立的年度审查报告汇编为一份全信托报告。

如何核查竞标方的答复及现网状况？

根据演示评分，而非依据文档。要求每位入围竞标方现场执行五项任务：

• 在目录中禁用某个教职工账户，并演示其 WiFi 访问权限被终止。
• 吊销一台学生 iPad 的凭据，且不影响其他设备。
• 展示一条包含设备 ID、时间和搜索词的拦截请求。
• 展示访客网络应用其过滤策略。
• 展示针对相同数据的学校级视图和信托级视图。

部署完成后，针对各个网络运行验收测试。使用 SWGfL 过滤测试工具，检查教职工、学生、访客和备用连接上是否拦截了 IWF 和 CTIRU 内容。随后检查网段隔离：尝试从学生设备和访客网络访问教职工资源。在测试设备上安装常用的 VPN 应用程序，确认过滤器能检测到它。记录测试结果；这些记录将作为年度审查的第一项内容。

常见问题有哪些，又该如何解决？

**备用线路未经过滤。**拥有辅助宽带连接的学校往往仅对主线路进行过滤。DfE 标准涵盖所有互联网链路接入，因此请在规范中明确指明备用连接。

**证书在学期中过期。**如果学生设备证书在 3 月失效，整个年级都会断开网络。要求在证书过期前通过 MDM 进行续期，并提前 30 天向网络管理员发出告警。

**较旧的设备不支持 802.1X。**某些视听设备和较旧的打印机仅支持预共享密钥。请将它们迁移到楼宇设备 VLAN 上的基于每台设备的 iPSK，而不是继续使用共享密钥。

**过度拦截会干扰课堂教学。**标准要求不得对教学造成不合理的影响。请为教师明确指定当日解封申请途径，并记录每一次变更以供年度审查。

**教职员工手机提示信任证书。**非受管手机在首次连接时会提示员工接受 RADIUS 服务器证书。请发布附带屏幕截图的单页入网指南，并向受管设备推送配置文件以彻底避免出现该提示。

**移动推车设备会产生匿名日志。**仅当设备级日志与登记借出记录匹配时，才能成为个人维度的证据。在系统上线前，请与您的指定的保护主管（DSL）确定好借出流程。

成本是多少，能带来什么收益？

不要让投标方仅提供单一的总包报价。要求他们针对以下六项分别报价：

• 学校数量。
• 每所学校的网络数量。
• 受管设备数量。
• 附加组件。
• 一次性部署费用。
• 年度续订费用。

Purple 通过三种方案定价：Connect、Capture 和 Engage。SecurePass、Verify 和 Shield 作为安全附加组件提供。复用受支持的现有硬件，即可省去大多数投标中最大的一笔资本支出预算。

收益来自减少繁琐工作与合同：

• **无需轮换共享密钥。**发生泄露后，教职员工和学生使用的共享密码不再需要每次更改。
• **离职人员权限自动撤销。**当人力资源部门停用其目录账户时，离职人员便会失去 WiFi 访问权限。
• **统一的年度审查报告包。**教育部（DfE）审查依托单一报告集，无需每所学校单独提供。
• **减少合同数量。**将 WiFi、RADIUS 和内容过滤由三份合同合并为一份。

取代独立的访客 WiFi、RADIUS 及 DNS 过滤供应商 全面阐述了多园区网络整合的合理性。

常见问题解答

Purple 可以在我们学校已有的接入点上运行吗？

可以。Purple 独立于硬件，可作为云覆盖层运行于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。如果您的接入点包含在该列表中且仍在厂商支持期内，您学校的 WiFi 招标可能无需包含硬件采购分包。在评分之前，请要求投标方确认您资产清单中每种型号的支持截止日期。

内容过滤是否必须应用于访客网络？

是的。教育部（DfE）的过滤与监控标准要求对访客账户以及使用学校宽带连接的所有设备实施过滤。您的访客网络需要有自己的过滤策略，并像其他任何网络一样进行记录。Purple Shield 针对各个网络分别应用过滤，因此访客、学生和教职员工可以在同一套报告体系下各自拥有不同的策略。

受管的学生 iPad 和 Chromebook 如何在没有共享密码的情况下加入网络？

他们通过 MDM 注册获取唯一凭据，即 EAP-TLS 证书或每设备专用的 iPSK。学生和教师都不会看到或输入密钥。Purple MDM 负责注册受管学生设备，因此凭据会随设备配置一并下发。设备丢失只需撤销单个凭据，而无需在全校范围内更改密码。

教职工能否使用其 Microsoft Entra ID 或 Google Workspace 账户登录？

可以。Purple Access 通过云端 RADIUS 依据 Microsoft Entra ID、Okta 或 Google Workspace 对教职工进行 IEEE 802.1X 认证。您无需维护单独的 WiFi 账户列表。当教育信托机构停用离职人员的目录账户时，其网络访问权限也会随之终止。建议要求竞标方在评估期间现场演示此流程。

过滤功能应与 WiFi 一同采购还是单独招标？

无论选择哪种途径，都请在 WiFi 规范中按网络明确过滤要求。通过 Purple Access 和 Purple Shield 一并采购意味着每个被拦截的请求都会附带已通过认证的身份信息。该身份信息正是 DfE 报告要求所规定的内容。若签订单独的合同，在年度审查中将更难提供此类关联证据。

教育信托机构能否在全面推广到所有学校之前先在一家学校试点？

可以。您可以在合同中写入附带验收测试的试点学校，然后将其他学校安排在假期时段进行部署。Purple 的云端覆盖层允许各学校继承信托机构的网络模板。各学校仅在信托机构允许的范围内保留本地差异，从而使试点配置成为信托机构的标准规范。

访客数据的处理是否符合 GDPR 规定？

是的。Purple 符合 GDPR 标准并已通过 ISO 27001 认证。强制门户可以仅收集访问所需的最低限度信息，并对任何其他内容提供基于明确选择的自愿加入选项。您可以在规范中自行设定数据保留期。要求每家竞标方说明访客数据的存储位置以及有权访问该数据的人员。

我们应如何要求竞标方对学校 WiFi 招标进行报价？

要求提供按学校、网络、受管设备、附加组件、单次上线部署费用以及年度续费进行明细拆分的报价。Purple 通过其 Connect、Capture 和 Engage 方案定价，并提供 SecurePass、Verify 和 Shield 作为附加组件。逐项拆分能让您对竞标方进行公平比较，同时也能体现重用现有接入点所节省的成本。