學校 WiFi 採購：在單一規格書中涵蓋教職員 802.1X、學生裝置、訪客與過濾機制

學校的 WiFi 規格書應列出四個網路：教職員、受管學生裝置、訪客以及建築物設備。它應為每個網路設定身分驗證、網路分段與過濾機制。教職員和受管學生裝置應使用 802.1X 或單一裝置專用金鑰連線，絕不可使用共用密碼。每個網路（包含訪客網路）的過濾機制都必須符合英國教育部 (DfE) 的過濾與監控標準。

單一學校 WiFi 規格書究竟有何作用？

單一規格書能消除三個不同廠商各自負責部分網路時所產生的落差。在典型的學校中，一家廠商販售無線基地台 (AP)，另一家營運 RADIUS，第三家則負責過濾網路流量。當學生在訪客網路上接觸到有害內容時，沒有任何單一廠商需要承擔責任。

將每個網路都寫入同一份學校 WiFi 招標文件中，就能在合約階段解決此問題。每個網路都會獲得四項規劃：

• 指定的負責主管。
• 一種身分驗證方式。
• 一個 VLAN，即虛擬區域網路 (Virtual LAN)：這是一種邏輯網路，可在共用的交換器與基地台上將流量分開。
• 一項過濾政策。

投標廠商針對整體設施進行報價。您的指定保護主管 (DSL) 只會收到一份統整報告，而不是三份不同報告。

對於多學院信託 (MAT) 的 WiFi，該規格書還可作為範本使用。每所學校都會沿用相同的網路與政策，僅在信託允許的情況下保留在地彈性調整空間。明年加入信託的學校將直接採用此範本，而無需自行辦理採購。

在撰寫學校 WiFi 招標文件之前需要準備什麼？

起草之前請先收集五項資料。每一項都會影響您要求投標廠商提供的內容。

每所學校的資產清單。 記錄無線基地台型號、控制器、交換器以及原廠支援期限。Purple 與硬體無關，可作為雲端重疊架構在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上運作。如果您的硬體在該清單中且仍在支援期限內，招標案可能完全不需要包含硬體分包。為何您的下一次 WiFi 升級不需要新硬體 闡述了這一論點。

您的身分驗證來源。 大多數學校使用 Microsoft Entra ID 或 Google Workspace 來管理教職員和學生帳號，部分信託則使用 Okta。WiFi 平台應與該目錄進行身分驗證，而非使用另一套獨立的帳號清單。

裝置清冊。 盤點受管的 iPad、Chromebook 和 Windows 筆記型電腦，並記錄負責管理的人員。註明是否已納入行動裝置管理 (MDM) 平台的管理之中。MDM 是一套將設定、應用程式與憑證推送到學校所屬裝置的軟體。

您目前的過濾與監控配置。 記錄供應商、合約到期日以及負責的高階主管。DfE 標準要求在做出任何技術決策之前，都必須先指定專責職務。

**兒少保護簽核。**在招標前，您的指定兒少保護主管 (DSL) 與負責線上安全的校董應審核過濾需求。《Keeping Children Safe in Education》賦予 DSL 線上安全的主要責任，包含瞭解已實施的過濾與監控機制。

如何將各網路架構寫入學校網路規格書？

建議從類似下方的表格開始著手撰寫規格書。該表格向每位投標者說明誰使用各網路、連線認證方式以及過濾內容。投標者隨後即可逐項回應。

網路	使用者	認證方式	網路分段	過濾原則	Purple 元件
教職員	教師、支援人員、代課人員、信託中央團隊	針對 Entra ID、Google Workspace 或 Okta 採用 IEEE 802.1X 認證；託管筆記型電腦採用憑證	專屬 VLAN，可存取 MIS、印表機及檔案共享	教職員原則，依指名人員進行過濾與記錄	Purple Access, Shield
託管學生裝置	學校擁有的 iPad、Chromebook 與筆記型電腦	透過 MDM 註冊派送的 EAP-TLS 憑證或每裝置專用 iPSK	專屬 VLAN，無法存取教職員資源	依年齡適用的學生原則，依裝置進行記錄	Purple Access, Purple MDM, Shield
學生自備裝置 (選用，高中部)	擁有個人手機與筆記型電腦的高中部學生	採用學生帳號或每位學生專屬 iPSK 的 802.1X	專屬 VLAN，僅限網際網路	學生原則，依學生進行記錄	Purple Access, Shield
訪客與承包商	家長、校董、承包商、禮堂租借者	具時效性或贊助存取的強制入口	用戶端隔離，僅限網際網路	訪客原則，進行過濾與記錄	Purple Access, Shield
建築裝置	印表機、視聽設備、門禁、閉路電視、感測器	每裝置專用 iPSK	隔離的 VLAN，僅限各裝置所需的服務	鎖定至所需的目的地	Purple Access, Shield

教職員：對現有目錄進行 802.1X 認證

IEEE 802.1X 是網路存取控制的標準規範。裝置在取得任何網路存取權限之前，必須先向 RADIUS 伺服器進行認證。RADIUS (遠端驗證撥號使用者服務) 是一項負責檢查憑證並回傳接受或拒絕的通訊協定。

請清楚說明需求：「教職員裝置針對信託的身分識別提供者採用 IEEE 802.1X 進行認證。不得使用共用的教職員密碼。」Purple Access 提供雲端 RADIUS，因此您無需在每所學校部署地端伺服器。

要求兩種方式：

• EAP-TLS：適用於託管教職員筆記型電腦。每部裝置皆出示由 MDM 推播的憑證，因此無需手動輸入任何內容。
• PEAP 或每人專用金鑰：適用於教職員手機。PEAP 會在加密的 TLS 通道中傳送密碼。

在基地台與裝置支援的情況下指定使用 WPA3-Enterprise，並以 WPA2-Enterprise 作為後備配置。如何在 iOS 與 macOS 上透過 802.1X 設定企業級 WiFi 涵蓋了裝置端的設定步驟。

將新進、異動與離職人員的流程自動化。當信託機構停用離職人員的目錄帳戶時，其 WiFi 存取權限應在同一時間終止。請投標廠商具體說明帳戶變更如何同步至網路。這可能是 SCIM（一種在系統之間同步帳戶的標準），或是即時目錄查詢。請依據停用帳戶與存取權限終止之間的延遲時間來評分。

受管學生裝置：透過註冊取得，無需手動輸入

讓 600 台學生 iPad 共用密碼，注定會產生可預見的問題。一旦有一位學生得知密鑰，其個人手機就會連上僅限學校裝置使用的網路。屆時日誌所顯示的流量，將無法歸屬至任何受管裝置。

請列出此規格要求：「受管學生裝置應透過 MDM 註冊接收其網路憑證。任何學生或教職員均不可手動輸入或得知密鑰。」有兩種方法符合此要求：

• EAP-TLS 憑證：每台裝置各一張。這是安全性最高的選項。
• iPSK（身份預先共用金鑰，亦稱為 PPSK）：每台裝置在同一個網路名稱下各自取得專屬金鑰，因此您可以撤銷單一裝置，而無需影響其餘裝置。

Purple MDM 會註冊受管學生裝置，使憑證隨裝置設定檔一同套用。iPad 遺失只需撤銷單一憑證，而不需要變更全校的金鑰。

共用推車裝置在規格中需要額外補充一條說明。內容篩選日誌只會顯示裝置名稱，而不會顯示學生姓名。請要求投標廠商說明裝置日誌如何與您的借出記錄或課表記錄相互對照。如此一來，您的 DSL 就能確認當時持有該裝置的人員身分。

訪客與承包商：設有時效性且仍受到內容篩選保護

訪客透過強制入口加入網路。這是在授予網路存取權限之前顯示的網頁。請指定三種存取類型：

• 活動存取：供家長與社區團體使用，於活動結束時失效。
• 贊助存取：供學校董事與到訪專業人士使用，由指定的教職員核准。
• 承包商存取：於合約結束日期失效。

僅收集您所需的資料，並符合 GDPR 規定，除存取功能外的任何事項皆須經過自主同意選擇。Purple 的 Guest WiFi 已在 90 個國家、超過 80,000 個實際營運場地採用此模式。

訪客網路不能豁免於內容篩選之外。DfE 標準要求對訪客帳戶以及每台使用學校寬頻連線的裝置套用內容篩選。

實際運作情境：設有夜間租借服務的中學。 一所中學每週有四個平日傍晚會將體育館與劇場租借給社區團體。承租人過去會從一張護貝卡片上取得教職員 WiFi 密碼。其裝置位於教職員 VLAN 上，並受教職員內容篩選政策管理。

該校採取了三個步驟：

1. 將教職員移轉至 802.1X，不再留有可發給他人的共用教職員金鑰。
2. 為每週的四個租借時段各自提供專屬的強制入口代碼，並在預約結束時失效。
3. 對所有承租人裝置套用訪客內容篩選政策。

模擬的成效是可衡量的。流通中的教職員共用憑證從一個降至零。每次場地租借都會獲得專屬的到期代碼。現在，過濾記錄中的每一次租借者工作階段都帶有與預訂編號對應的代碼。

建築設備：預設隔離

印表機、影音系統、門禁和閉路電視很少支援 802.1X。請為每個設備或設備類別在隔離的 VLAN 上指派專屬的 iPSK。將每個設備限制在僅能存取其所需的服務。投影機並不需要通往 MIS 伺服器的路由。

每個網路上的過濾與監控：DfE 標準的要求

英國教育部 (DfE) 的過濾與監控標準是其針對學校和學院所訂定之數位與技術標準的一部分，提出了四項預期要求：

1. 確定並分配管理過濾與監控系統的角色與職責。
2. 每個學年至少審查一次過濾與監控機制的落實情況。
3. 在不對教學和學習造成不合理影響的前提下，封鎖有害和不當內容。
4. 具備符合學校安全維護需求的有效監控策略。

該標準對過濾系統有具體規定。它應適用於訪客帳戶、學校擁有的設備以及任何使用學校寬頻連線的設備。系統應當：

• 過濾所有網際網路來源，包括任何備用連線。
• 符合相應的年齡和能力需求。
• 處理多語言內容、圖片、常見拼寫錯誤和縮寫。
• 識別並封鎖如 VPN 和代理服務等規避手段。
• 在內容遭到封鎖時發出警示。

過濾服務供應商應為網際網路觀察基金會 (IWF) 的成員。該供應商應已加入反恐網際網路轉介部門 (CTIRU) 清單，並封鎖非法內容，包括兒童性虐待素材。過濾報告應顯示：

• 設備名稱或 ID 與 IP 位址，並在可能的情況下顯示個人身分。
• 嘗試存取的日期與時間。
• 搜尋字詞或遭封鎖的內容。

請將每一點轉換為編號需求，並要求所有投標者提供佐證，而非僅僅回答「是」。這些佐證應包括其 IWF 會員資格、CTIRU 狀態，以及其針對英國更安全網際網路中心 (UK Safer Internet Centre) 適當過濾定義的公開回應。

Purple Shield 依個別網路套用過濾規則。學生、教職員和訪客網路可以在同一組記錄下各自採用不同的政策。由於 Purple Access 清楚誰或什麼設備進行了驗證，遭封鎖的請求會直接對應到指名的教職員、受管設備或訪客代碼。此身分資訊正是 DfE 報告需求所要求的。

整個信託架構下的報告、支援與推廣部署

報告機制。 要求提供三個層級的報告：個別網路、個別學校和全信託機構。指定安全專責人員 (DSL) 需要封鎖請求報告和警示。業務經理需要連線和容量數據。董事會成員需要年度審查的佐證資料。訪客網路報告可以與 WiFi Analytics 並行使用，以獲取活動和租借數據。

**支援服務。**明確規定上課日、假期期間以及保護兒童通報升級的回覆時間。指定非上班時間觸發過濾警報時的通報上級流程。要求提供認證證明。Purple 擁有 ISO 27001 與 Cyber Essentials 認證，符合 GDPR 規範，並維持 99.999% 的正常運作時間。

**推展部署。**在全信託部署前，先將一所先導學校寫入合約中。將其餘學校的部署安排在假期期間。要求投標廠商提供平行運作計畫：在裝置遷移期間，舊的共用金鑰網路短暫保持運作，並在固定日期正式淘汰。

**實際情境：擁有八所學校的教育信託。**一個由兩所中學和六所小學組成的教育信託，原本運作著八種不同的 WiFi 設定。網路過濾分散在三份獨立合約中。每所學校的學生 iPad 都透過共用金鑰連線。

該信託採取了四個步驟：

1. 發布一份包含上述五列網路規格表的規格書。
2. 指定在其現有的 Cisco Meraki 與 HPE Aruba 基地台上建立雲端覆蓋架構。
3. 在復活節假期於一所小學進行試點。
4. 在暑假期間將其餘七所學校推展部署完成。

模擬成果：八個學生共用金鑰減少為零。三份過濾合約整合為一套針對各網路的政策。八份獨立的年度審查報告彙整為一份全信託通用報告。

如何審核投標廠商的答覆及即時運作的網路？

針對實際展示評分，而非僅看文件。要求每家入圍的投標廠商現場展示五項任務：

• 在您的目錄中停用教職員帳號，並展示 WiFi 存取權限隨即終止。
• 撤銷一部學生 iPad 的憑證，且不影響其他裝置。
• 展示遭攔截的請求，包含裝置 ID、時間與搜尋字詞。
• 展示訪客網路套用其過濾政策的情形。
• 展示針對相同資料的校級檢視與信託層級檢視。

部署完成後，從各個網路執行驗收測試。使用 SWGfL Test Filtering 工具檢查教職員、學生、訪客和備用連線上是否皆已封鎖 IWF 與 CTIRU 內容。接著檢查網路分段：嘗試從學生裝置和訪客網路存取教職員資源。在測試裝置上安裝常見的 VPN 應用程式，並確認過濾器可偵測到該連線。記錄測試結果；這些將構成您年度審查的第一筆資料。

常見問題與解決方案？

**備用線路未受過濾。**擁有第二條寬頻連線的學校通常僅過濾主要連線。DfE 標準涵蓋所有網際網路連線，因此請在規格書中明確列出備用連線名稱。

**憑證在學期中過期。**若學生裝置憑證在三月失效，整個年級都會斷網。要求在過期前透過 MDM 續期，並提前 30 天向網路管理員發出警報。

**舊型裝置不支援 802.1X。**某些影音設備和舊型印表機僅支援預先共用金鑰。請在建築設備 VLAN 上將其改為個別裝置的 iPSK，而不是繼續保留共用金鑰。

過度封鎖會干擾課程。 標準要求不得對教學造成不合理的影響。請為教師明確規劃當日解除封鎖的申請管道，並記錄每次變更以供年度審查。

教職員手機提示信任憑證。 未受管理的行動電話在首次連線時，會要求教職員接受 RADIUS 伺服器憑證。請發布附有螢幕截圖的單頁加入指南，並將設定檔推播至受管理的裝置，使該提示不再出現。

行動推車設備產生匿名記錄。 設備層級的記錄只有在與借出記錄比對一致時，才能成為個人層級的佐證。在正式上線前，請先與您的指定保護主管 (DSL) 確認借出流程。

費用是多少，又能獲得什麼回報？

切勿讓投標廠商只提供單一統包金額。請要求對方依以下六個項目分別報價：

• 學校數量。
• 每所學校的網路數量。
• 受管理裝置數量。
• 附加元件。
• 單次部署作業。
• 年度續約。

Purple 透過三種方案計價：Connect、Capture 和 Engage。SecurePass、Verify 與 Shield 則可作為安全性附加元件選購。重複利用現有受支援的硬體，可省去多數標案中最大的一筆資本支出。

效益回報來自於免除繁瑣工作與合約整合：

• 無需輪替共用金鑰。 教職員與學生共用的密碼外洩時，不再需要每次都更換。
• 離職員工自動撤銷存取權限。 當人資部門停用離職員工的目錄帳號時，該員工即失去 WiFi 存取權限。
• 單一年度審查資料包。 英國教育部 (DfE) 的審查採用單一綜合報告，無需每所學校各自準備一份。
• 減少合約數量。 將 WiFi、RADIUS 和內容過濾等三份合約整合為單一合約。

取代個別訪客 WiFi、RADIUS 和 DNS 過濾供應商 完整說明了多據點校園的整合優勢。

常見問題

Purple 可以在我們學校既有的無線基地台 (AP) 上運作嗎？

可以。Purple 與硬體無關，能以雲端覆蓋 (overlay) 方式運作於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。如果您的無線基地台名列其中且仍在原廠支援期限內，您的學校 WiFi 採購標案可能就不需要硬體採購項目。在評分前，請先要求投標廠商確認資產清單中各型號的原廠支援日期。

訪客網路也必須套用過濾規則嗎？

是的。DfE 過濾與監控標準要求對訪客帳號以及使用學校寬頻連線的每台裝置套用過濾機制。您的訪客網路需要專屬的過濾原則，並與其他網路一樣予以記錄。Purple Shield 可針對個別網路套用過濾機制，因此訪客、學生和教職員可以在同一套報告架構下，分別適用不同的原則。

受管理的學生 iPad 與 Chromebook 如何在沒有共用密碼的情況下連線？

他們會透過 MDM 註冊收到一組專屬憑證，可能是 EAP-TLS 憑證，或是依個別裝置分配的 iPSK。學生或教職員皆無需查看或輸入金鑰。Purple MDM 會註冊受管的學生裝置，因此憑證會直接隨裝置設定套用。裝置遺失時，只需撤銷單一憑證，而無需變更全校的密碼。

教職員可以使用其 Microsoft Entra ID 或 Google Workspace 帳戶登入嗎？

可以。Purple Access 可透過雲端 RADIUS，依據 Microsoft Entra ID、Okta 或 Google Workspace 經由 IEEE 802.1X 驗證教職員身分。您無需維護獨立的 WiFi 帳戶清單。當受託機構停用離職人員的目錄帳戶時，其網路存取權限也會隨之終止。請要求投標廠商在評選期間現場示範該流程。

過濾機制應該隨 WiFi 一併採購，還是單獨招標？

無論您選擇哪種方式，都請在 WiFi 規格書中依個別網路指明過濾需求。若透過 Purple Access 和 Purple Shield 一併採購兩者，代表每個被攔截的請求都會帶有通過驗證的身分資訊。這項身分資訊正是教育局 (DfE) 報告規定的要求。若簽訂分開的合約，在進行年度審查時會更難以證明該關聯性。

多校聯合受託機構可以在全面推行至所有學校之前，先在單一學校進行試點嗎？

可以。您可以在合約中明定試點學校及驗收測試，接著將其餘學校排定於假期空檔進行導入。Purple 的雲端重疊架構讓每所學校都能沿用受託機構的網路範本。各校僅在受託機構允許的情況下保留在地差異，因此試點設定即可成為整個受託機構的標準。

訪客資料的處理方式是否符合 GDPR？

是的。Purple 符合 GDPR 規範並通過 ISO 27001 認證。強制入口可僅收集存取所需的最低限度資料，其他任何用途均須經過主動同意選擇。您可以在規格書中自行設定保留期限。請要求每位投標廠商說明訪客資料儲存於何處，以及誰有權存取。

我們該如何要求投標廠商為學校 WiFi 招標案報價？

請要求廠商依學校、網路、受管裝置、附加功能、單次推行費用及年度續約費用進行明細報價。Purple 的定價是透過 Connect、Capture 及 Engage 方案，並搭配 SecurePass、Verify 與 Shield 作為附加功能。逐項報價明細可讓您公平比較各投標廠商，同時也能清楚呈現重複利用現有無線基地台 (AP) 所節省的費用。