学校网页过滤：切实有效的策略

关于学校网络过滤最常见的建议是拦截更多类别，并根据过滤器拦截的请求数量来衡量效果。这是一个软肋指标。过滤器可能在产生令人印象深刻的拦截数量的同时，阻碍学生访问合法的研究资源，让教师等待权限覆盖，或者促使学生改用个人手机。

更好的策略始于安全访问与低课堂摩擦。为每个网络设定明确的规则，围绕学校作息时间安排策略，并检查教学是否可以在没有不必要过滤拦截的情况下顺利进行。实际的检验标准不是过滤拦截了多少内容，而是在正确的网络上拦截了正确的内容，同时学生和教职工仍能开展工作。

目录

• 适用于每个学校网络的类别规则
  • 明确例外情况
• 上学日时间表和独立的 SSID
  • 测试浏览器政策遗漏的内容
• 如何在不中断课程的情况下推广过滤
• 显示拦截和误报的审计报告
  • 保持审计有用且适度
• 当过滤器拦截课程或学生绕过时的提示
  • 五个操作修复方案
• 将政策放置在保护性 DNS 层上

适用于各类学校网络的类别规则

在更改 DNS 设置之前，请写下每个网络的策略。该矩阵为安全保障和 IT 团队提供了可接受使用策略的起点。根据学校的年龄组、课程和设备管理进行调整，而不是在整个校园内简单复制单一黑名单。

网络	使用者	始终拦截	课堂允许	课外时间
小学学生 WiFi	1–6 年级	成人内容、赌博、社交网络、聊天、游戏、代理、恶意软件和钓鱼网站	课程网站和经过 Safe Search 审核的视频	禁止视频、社交网络或聊天
中学学生 WiFi	中学生	成人内容、赌博、代理、恶意软件、钓鱼网站和未分类的新域名	研究、经过 Safe Search 审核的视频和协作工具	最后一节课下课铃响后关闭社交网络和流媒体
教职工 VLAN	教师和行政人员	成人内容、赌博、匿名工具、恶意软件和钓鱼网站	研究类网站和行政门户	与课堂配置文件相同
访客与 BYOD	访客和未管理的手机	成人内容、赌博、社交网络、流媒体、代理、恶意软件和钓鱼网站	通过 Captive Portal 登录后可进行适合家庭的浏览	全天保持相同的严格规则集
考试 SSID	考试期间的考生	除指定的考试服务外的一切内容	仅限考试平台和身份提供商	SSID 已关闭

将该表视为一组特定于网络的规则，而不是带有少数例外情况的单一主黑名单。小学学生可以封禁社交网络、聊天、游戏和开放视频，而中学学生可以在上课期间访问获批的课堂视频和协作工具。教职工需要合法的研究和行政服务，而访客则需要严格的基线，因为学校并不管理他们的设备。

美国学校图书馆员协会 2012 年全国调查 共收到 4,299 份回复，该调查揭示了为什么全校统一黑名单是一条不可取的捷径。88% 的受访者封锁了社交网络网站，74% 封锁了聊天软件，69% 封锁了游戏，但 52% 的受访者表示关键词或主题封锁阻碍了学生的学术研究。通用封锁规则在教育层面可能代价高昂。应将分类作为起点，然后根据年龄、角色、课程场景以及设备是否受管理来进行针对性应用。

明确例外规则

明确记录谁可以请求解封以及谁可以批准解封。例如，教师可能会请求临时访问特定课程的健康资源，而指定的复核人员则会检查该请求是否应成为更广泛的类别例外。不要将此途径隐藏在 IT 收件箱中，也不要让学生猜测页面无法加载的原因。

在实施前，对照三个问题核对每一行：该规则是否适合该年龄段？它是否符合用户的角色？设备是否由学校管理？如果任何一个答案发生变化，请在更改网络策略之前重新审查该行。

上课时间表与独立 SSID 划分

上课铃响时，学生网络应切换到其课程配置文件。下课铃响时，仅需更改的网络才应发生变更。基于时间的规则仅在其应用于正确的 SSID 或 VLAN 时才有用；否则，教职工规划、访客浏览和考试访问可能会继承他们本不该使用的学生规则。

将课堂配置文件设置在 08:15 至 15:30。在此时间段内保持经批准的课堂工具可用，包括供中学生使用的视频和协作平台。随后创建一个较短的课后社团时间段，将这些批准的工具保留至 16:30。对于寄宿生，或晚上及周末留在学校的设备，请切换至更严格的配置文件，而不是让上学日权限无限期运行。

时间段	学生 WiFi	教职工 VLAN	访客与 BYOD	考试 SSID
课堂时间，08:15–15:30	课堂配置文件	课堂配置文件	严格规则集	仅在有实时测评时启用
课后社团，至 16:30	已批准的课堂访问许可	课堂配置文件	严格规则集	关闭（除非已安排测评）
寄宿或留校设备	全天严格规则集	课堂配置文件	全天严格规则集	关闭

以星期二为例来说明这种区别。学生在上课期间使用他们的课程配置文件，课外社团在活动期间保留其获批的课堂工具。教职工在下课铃响后继续保持其课程配置文件，因为电子邮件和教学计划不会在 15:30 停止。通过 Captive Portal 连接的访客 WiFi 永远不会继承学生权限。考试 SSID 会在评估期间启用，并在结束后关闭。

将变更应用到 SSID 或 VLAN，而不是分别应用到每台笔记本电脑。将每个网络的设备指向过滤 DNS 解析器，以便手机、Chromebook 和游戏机无需安装 Agent 即可接收策略。将访客流量与学生网络隔离；面向学校的网络分段 有助于明确为什么不同用户和设备类型不应自动共享相同的访问规则。

测试浏览器策略遗漏的内容

在测试计划中包含加密 DNS、VPN、短网址服务和翻译代理。除了托管设备外，还要检查访客 WiFi，因为仅在托管浏览器中强制执行的规则可能不适用于其他设备或流量。确定如果无法连接过滤服务时该怎么办。故障关闭策略可防止网络变得未经过滤，但当该决策中断课堂时，教职工需要知道该怎么做。

为无线网络团队提供一份为期一周的时间表，显示每次变更的 SSID、配置文件、开始时间、结束时间和负责人。时间表应包含社团活动、评估、寄宿和周末。如果时间表仅存在于管理员的记忆中，执行时很可能会出现偏差。

如何在不影响正常教学的前提下推广网页过滤

不要一次性在整个校园内部署新策略。先确定类别矩阵和 SSID 时间表，然后使用具有代表性的班级网络查找整洁的电子表格无法发现的问题。测试学生和教职工所依赖的实际教学工作流程，而不仅仅是测试是否会出现阻止页面。

1. 编写可接受使用政策。 将每个网络行映射到年龄段和角色，并指定谁可以申请解除拦截。缺少这些细节，工作人员无法判断拦截是预期的还是误操作。

2. 选择一个班级 SSID 进行试点。 选择一个使用代表性混合资源的群体和课程。不要直接从整个校园网络开始，因为一条遗漏的规则可能会同时打断更多课堂。

3. 测试常规和边缘情况教学任务。 检查正常浏览、使用敏感关键字的研究、视频、协作平台、无障碍资源、软件更新和教师管理门户。基于关键字的拦截可能会在拦截不良结果的同时误拦合法研究，因此请测试学生所需的学科词汇。

4. 一致地记录每次失败。 对于每次测试，记录请求的域名、类别判断、拦截原因、用户组和解决时间。此记录有助于 IT 人员区分错误的类别分配与按预期运行但范围过宽的规则。

5. 使补救措施适用于课堂环境。 为教师提供升级队列、基于角色的例外情况以及在课程结束时过期的临时许可。一条永久允许规则可能会通过制造未来的无管辖漏洞来解决今天的问题。

6. 在扩展之前每周审查日志。 检查被拦截的域名和解除拦截请求，然后将相同的经过测试的政策扩展到其他 SSID。保持试点运行，直到教师可以完成日常课程，而无需停下来寻找网络管理员。

根据 美国图书馆协会关于学校过滤的报告，针对全国学校图书馆员的调查发现，92% 的受访者表示存在解封申请流程，而 68% 的受访者表示决策是在学区层面做出的，这种设置可能会拖慢课堂教学中的问题解决。如果能够批准申请的人在课程进行期间无法联系到，仅有书面流程是不够的。为教师提供请求临时修复的明确途径，并指定具体的负责人来进行审核。

试点评估指标列于下方的审计表中。请使用这些指标来判断此项变更是否在不干扰教学的前提下保护了学生，而不是仅仅根据过滤器封锁了多少个类别来制定单独的评分标准。

教师和家长也可以从对课堂所用在线工具的统一说明中受益。针对家长的 虚拟课堂技术指南 有助于家庭理解学校为何允许特定的学习平台，同时限制无关的服务。

批准与否的标准：只有当试点班级能够完成正常的教学计划且未出现误拦截时，才能推行至全校范围部署。如果无法做到，请在扩大策略适用范围前，先修复制定的类别、例外处理流程或时间表。

显示拦截和误报信息的审计报告

不再将每月拦截总数作为核心安全保护指标。庞大的数字可能反映出有效的保护，但也可能反映出过宽的分类、重复的尝试或被错误拒绝的合法页面。抽样检查日志并将请求分为四组：有害内容拦截、合法教育拦截、已批准的例外和疑似绕过行为。

然后分别报告精确率和召回率。精确率是指违反策略的被拦截请求占所有被拦截请求的比例。召回率是指过滤器成功拦截的违反策略请求占所有违反策略请求的比例。如果一个系统在捕获有害请求的同时也拦截了有用的教学资源，它可能拥有很高的召回率，但精确率却很低。单一的综合“拦截得分”掩盖了这种权衡。

美国学校图书馆员协会关于超越 CIPA 的过滤研究 总结的较早证据发现，文本过滤在大约 15–20% 的时间内可能会过度封锁合法内容，或对不适宜的涉性内容封锁不足。该估计未包含视觉图像。请对文本、图像、视频和嵌入的第三方播放器分别进行独立检查，而不是假设单一的类别测试就能代表整个课程内容安全。

指标	记录内容	健康迹象	审查频率
有害内容拦截量	符合成人、违法或恶意软件策略的拦截	保持稳定并与真实事件挂钩	每周
误报数	被拦截的正规教学 URL	与试点基线相比逐周下降	每周抽样
中位解封时间	从提出请求到临时允许	教师当天即可获得解决，无需进入学区排队等待	每周
未受过滤打断的课程数	按计划顺利完成的课程	半个学期内持续上升	半个学期
绕过尝试数	VPN、加密 DNS、短网址和翻译代理	在该 SSID 上已记录并阻止	每周
精确率与召回率	独立评估指标，非合并拦截得分	均向安全保障人员汇报	每月

确保审计既实用又适度

抽样检查 DNS、代理或终端日志，然后针对当前的课程 URL 以及新注册或重新分类的域名进行测试。测试范围应包括备用域名、缓存内容、移动设备和访客网络，而不仅仅是课堂上使用的托管浏览器。在一个测试环境中看起来完善的策略，在个人手机或嵌入式媒体播放器上的表现可能会有所不同。

对于您保留的每个事件，记录时间戳、策略、类别、操作以及网络或身份范围。仅保留调查事件所需的学生层级详细信息。对于高影响力的请求（包括访问健康、身份或预防自杀资料），应将其发送给指定的部门人工复核人员，而不是允许静默的类别判决直接终止请求。

向高级领导层、指定的安全保护负责人和部门主管提供一份简短报告：拦截了什么、误拦截了什么、恢复访问需要多长时间，以及绕过尝试是否增加。一个健康的学期应当在保持有害内容拦截效力的同时，降低误报率和解除拦截的时间。这比单纯追求更高的拦截请求总数更有价值。

当过滤器阻碍教学或学生绕过过滤时的实用建议

根据 CalMatters 关于学校网页过滤的报道，在一项具有全国代表性的调查中，约 70% 的教师和学生表示过滤器干扰了作业的完成，同时约四分之三的教师表示学生会使用绕过方法来访问未经过滤的互联网。该报道还指出，性教育、LGBTQ+、生殖健康、预防自杀和其他合规研究内容遭到了封锁，并发现黑人和拉丁裔学生更有可能报告涉及有色人种的内容遭到不成比例封锁的情况。

将拦截数量的增加视为需要调查的信号，而不是安全状况有所改善的证据。询问哪些用户和课程受到了影响，以及学生是否通过切换到其他连接来绕过拦截，而不是提交例外申请。

五项运维修复措施

1. 在拦截页面上显示原因。 标明被拦截的类别，并提供明确的申请复核途径。空白的拒绝页面既无法给教师提供诊断依据，也无法让学生区分是政策限制还是网络错误。

2. 设置教师覆盖权限的时效性。 仅允许在特定课程期间开放访问，随后让例外规则自动失效。定期审查覆盖权限，避免课堂上的临时解决措施演变为永久的安全漏洞。

3. 保护敏感研究免受宽泛类别规则的影响。 维护一份涵盖健康、身份认知和课程领域的观察列表，并在类别变更后进行测试。对于对课堂教学或学生身心健康影响较大的访问请求，请交由指定的专人进行人工复核。

4. 按实际用途而非标签管理 AI 工具。 不要自动封锁所有 AI 服务，也不要全部开放。针对特定的年龄段和课程评估指定的工具；考量其是否保留提示词、课堂监管方式以及其回答是否可以验证。在允许使用某项服务之前，请按照 英国关于学校过滤与监控指南 的要求，完成数据保护影响评估，并充分考量年龄、特殊教育需求和残疾情况以及英语作为附加语言的状况。

5. 修复发生绕过行为的网络环境。 如果绕过尝试集中在访客 WiFi 或个人手机上，请审查访客 SSID 及其策略。进一步收紧受管的课堂网络并不能解决其他连接上的漏洞。针对加密 DNS、VPN、短网址服务和翻译代理进行测试，并根据测试结果更新该网络的规则。如需获取关于 DNS over HTTPS 及其对过滤重要性 的通俗解释，请在无线网络团队测试加密 DNS 行为之前为其提供一份共享参考资料。

在评估 AI 服务时，请将内容安全与隐私和教学适用性区分开来。某种工具可能不包含有害内容，但如果它保留提示词、无法满足无障碍需求或产生学生无法验证的答案，它仍然不适合用于课堂教学。为每次批准指定明确的负责人，并记录允许或拦截该服务的理由。

有价值的指标并不是过滤器拦截了多少个页面。而是学校是否在不干扰正常教学的前提下阻止了风险。只有在教学能够照常进行的情况下，拦截才算成功。

在保护性 DNS 层级部署策略

在确认分类规则、作息时间表和审计字段后，下一个决策就是要在何处实施这些规则。保护性 DNS 层可以在网络级别应用策略，因此学生、教职工、访客或考试 SSID 无需依赖安装在每台设备上的 Agent。DNS 过滤实用指南 可帮助技术团队了解该执行点的作用以及它如何与网络的其余部分进行配合。

关键在于维持您设计的策略。每次查询都应根据内容类别、允许和阻止列表、网络时间表以及威胁情报进行核对。教职工应该能够在同一个仪表板中查看已阻止的 URL、威胁分析和使用情况，然后直接调整规则，而无需拼凑单独的报告。

Purple Shield 可运行于现有的学校 WiFi 或 Purple Access 上，按 SSID 和 VLAN 设置策略。完成 DNS 更改后，过滤功能即可一次性覆盖该网络上的每台设备，无需在任何设备上安装软件。建议首批部署保持较小规模：将策略矩阵加载到一个中学 SSID 上，将课堂时间窗口设置为 08:15–15:30，并将误报率和解封时间与前一周进行对比。在该网络顺利完成一周的正常课程之前，请勿将变更推广至整个园区。

---

Purple Shield 提供保护性 DNS 和内容过滤功能，可根据 SSID、VLAN 和时间表应用规则，并提供针对被拦截 URL、威胁和使用情况的报告。访问 Purple Shield 以评估其是否符合您学校的策略，并在规划更大规模的推广之前，先在一个备用 SSID 上测试已商定的规则。