學校網路過濾：切實有效的策略

關於學校網路過濾最常見的建議是封鎖更多類別，並以過濾器攔截了多少請求來衡量效果。這是一個脆弱的衡量標準。過濾器可以在產生令人印象深刻的攔截數量的同時，阻止學生存取合法的研究資源、讓教師等待覆核授權，或促使學生轉而使用個人手機。

更完善的政策始於安全存取與低課堂阻礙。為每個網路設定明確的規則，根據學校作息時間安排這些規則，並檢查課程是否可以在沒有不必要的過濾攔截下順利進行。實際的測試不在於過濾器封鎖了多少內容，而是在於正確的內容是否在正確的網路上被封鎖，同時學生和教職員仍能正常進行工作。

目錄

• 適用於每個學校網路的類別規則
  • 使例外情況明確化
• 上課日時程表與獨立 SSID
  • 測試瀏覽器政策遺漏的內容
• 如何在不中斷課程的情況下推出過濾功能
• 顯示封鎖與誤報的審計報告
  • 保持審計實用且比例相稱
• 當過濾器阻礙課程或學生繞過時的技巧
  • 五個營運修復方案
• 將政策部署在防護性 DNS 層

適用於所有學校網路的類別規則

在變更 DNS 設定之前，請先記錄每個網路的策略。此矩陣可為安全防護與 IT 團隊提供可接受使用策略的起點。請根據您學校的年齡層、課程和裝置管理進行調整，而不是將單一黑名單複製到整個園區。

網路	使用者類型	一律封鎖	課堂允許	非上課時間
小學生 WiFi	1 至 6 年級	成人內容、賭博、社群網路、聊天、遊戲、代理伺服器、惡意軟體與網路釣魚	課程網站與經批准並啟用 Safe Search 的影片	不提供影片、社群網路或聊天服務
中學生 WiFi	中學生	成人內容、賭博、代理伺服器、惡意軟體、網路釣魚與未分類的新網域	研究、經批准的影片與啟用 Safe Search 的協作工具	最後一節下課鐘響後關閉社群網路與串流服務
教職員 VLAN	教師與行政人員	成人內容、賭博、匿名化工具、惡意軟體與網路釣魚	研究類別與行政入口網站	與課堂設定檔相同
訪客與 BYOD	訪客與未受管理的手機	成人內容、賭博、社群網路、串流、代理伺服器、惡意軟體與網路釣魚	通過 Captive Portal 後即可進行家庭安全瀏覽	全天保持相同嚴格設定
考試 SSID	評量期間的考生	除指定的考試服務外，其餘一律封鎖	僅限考試平台與身分驗證提供者	SSID 已關閉

請將表格視為一組特定網路的規則，而不是只有少數例外情況的單一主要黑名單。國小學生可以封鎖社群網路、聊天、遊戲和開放式影片，而國高中生可以在上課期間存取獲准的課堂影片與協同作業工具。教職員需要合法的研究和行政服務，而訪客則需要嚴格的基準，因為學校並不管理他們的裝置。

美國學校圖書館員協會 2012 年的全美調查 共收到 4,299 份回覆，該調查揭示了為何全校性的黑名單是一條不智的捷徑。88% 的受訪者封鎖了社群網路網站，74% 封鎖了聊天工具，69% 封鎖了遊戲，然而 52% 的受訪者表示關鍵字或主題封鎖阻礙了學生的研究。通用的封鎖規則仍可能造成教育上的高昂代價。請將類別作為起點，再根據年齡、角色、課程情境以及裝置是否受管理來彈性套用。

明確制定例外狀況

明確記錄誰可以請求解除封鎖以及誰可以批准。例如，教師可能會為特定課程請求臨時存取健康資源，而指定的審查人員則會檢查該請求是否應成為更廣泛的類別例外情況。不要將處理管道隱藏在 IT 收件匣中，也不要讓學生猜測頁面無法載入的原因。

實施前請對照三個問題核勾每一列：該規則是否適合這個年齡層？它是否符合使用者的角色？該裝置是否由學校管理？如果任何答案有變，請在變更網路政策之前重新檢視該列。

上課日時程表與獨立的 SSID

當第一聲鐘響起時，學生網路應切換至其課程設定檔。當最後一聲鐘響起時，只有需要變更的網路才進行變更。基於時間的規則僅在套用到正確的 SSID 或 VLAN 時才有用；否則，教職員規劃、訪客瀏覽和考試存取可能會繼承他們從未打算使用的學生規則。

請將課程設定檔的時間設定為 08:15 至 15:30。在此時段內保持核准的課堂工具可用，包括中學生使用的影片與協作平台。接著建立一個簡短的課後社團時段，將這些核准的工具保留至 16:30。對於寄宿生，或晚上與週末留在學校的裝置，請切換至更嚴格的設定檔，而不是讓上課日的權限無限期運行。

時段	學生 WiFi	教職員 VLAN	訪客與 BYOD	測驗 SSID
上課時間，08:15–15:30	課程設定檔	課程設定檔	嚴格設定組	僅在進行中的評量時啟用
課後社團，至 16:30	核准的課堂存取權	課程設定檔	嚴格設定組	關閉，除非已排定評量
寄宿生或留置現場的裝置	全天嚴格設定組	課程設定檔	全天嚴格設定組	關閉

以星期二為例便能說明其中的差異。學生在上課期間使用課堂設定檔，課後社團則在活動期間保留其獲准使用的教室工具。教職員在上課鐘聲響起後仍保持課堂設定檔，因為電子郵件和教學規劃不會在 15:30 停止。透過 Captive Portal 連線的訪客 WiFi 絕不會繼承學生的存取權限。考試用的 SSID 會在測驗期間啟用，並在結束時關閉。

請將變更套用至 SSID 或 VLAN，而非分別套用至每台筆記型電腦。將每個網路的裝置指向過濾 DNS 解析器，如此一來，手機、Chromebook 和遊戲機就能在不安裝代理程式的情況下接收政策。請將訪客流量與學生網路隔開；學校網路分割指南 有助於澄清為什麼不同的使用者和裝置類型不應自動共用相同的存取規則。

測試瀏覽器策略遺漏的項目

在測試計畫中納入加密 DNS、VPN、短網址和翻譯代理伺服器。除了受控裝置外，也請檢查訪客 WiFi，因為僅在受控瀏覽器中執行的規則可能無法套用至其他裝置或流量。確定當無法連線至過濾服務時該如何處理。失敗即關閉（fail-closed）的政策可防止網路變成未過濾狀態，但教職員需要知道當該決定中斷課程時該如何處理。

為無線網路團隊提供一份為期一週的時間表，標明每個變更的 SSID、設定檔、開始時間、結束時間和負責人。請包含社團時間、評量、寄宿和週末。如果行程表只存在於管理員的記憶中，往往會導致執行標準不一致。

如何在不干擾課程的情況下推出過濾功能

請勿一次在整個園區部署新策略。先確認類別矩陣和 SSID 時程表，然後使用具有代表性的班級網路來找出整潔試算表無法揭露的問題。測試學生和教職員所依賴的實際教學工作流程，而不僅僅是檢查是否出現封鎖頁面。

1. 撰寫可接受使用政策。將每個網路層級對應至年齡層與角色，並指定誰可以要求解除封鎖。缺乏這些詳細資訊，教職員工將無法判斷拒絕存取是有意為之還是系統錯誤。

2. 選擇一個班級 SSID 進行試點。挑選一個使用代表性混合資源的群組與課程。切勿從整個園區開始，因為遺漏的規則可能會同時中斷更多課程。

3. 測試一般與邊緣情況的教學任務。檢查正常瀏覽、使用敏感關鍵字進行研究、影片、協作平台、無障礙資源、軟體更新與教師管理門戶網站。基於關鍵字的封鎖可能會在攔截不良結果的同時誤攔合規研究，因此請測試學生需要的科目詞彙。

4. 一致地記錄每次失敗。針對每次測試，記錄要求的網域、類別判斷、封鎖原因、使用者群組與解決時間。這份記錄能讓 IT 人員區分是錯誤的類別指派，還是規則運作正常但範圍過廣。

5. 讓補救措施可在課堂中實用。為教師提供升級佇列、基於角色的例外情況以及在課堂結束時過期的臨時許可。永久允許規則可能會解決今天的問題，卻在明天創造出不受控的漏洞。

6. 在擴展前每週審查紀錄。檢查已被封鎖的網域和解除封鎖要求，然後將相同且經過測試的政策擴展至其他 SSID。維持試點運作，直到教師無需停下腳步尋找網路管理員即可完成日常課程。

根據 美國圖書館協會關於學校過濾的報告，一項針對全美學校圖書館員的調查發現，92% 表示存在解除封鎖的申請流程，但 68% 表示決策權落在學區層級，這種架構可能會減緩課堂上的問題修正速度。如果能夠核准申請的人員無法在課堂進行時即時處理，紙上流程便形同虛設。請為教師提供明確的臨時修正申請管道，並指定專人負責審查。

試行衡量指標列於下方的稽核表中。請使用這些指標來評估變更是否能在不打擾教學的情況下保護學生，而非僅根據過濾器封鎖了多少個類別來建立單獨的分數。

教師和家長也可以從課堂所用線上工具的共享說明中獲益。這份 給家長看的虛擬教室技術指南，有助於家庭理解為何學校可能會允許特定的學習平台，同時限制無關的服務。

批准或否決：只有當試點班級可以在沒有過濾阻擋的情況下完成正常教學計劃時，才能推進至全校部署。如果無法做到，請在擴大政策範圍之前，先修正分類、例外處理流程或時程表。

顯示封鎖與誤報的稽核報告

請停用每月攔截總量作為主要的安全防護衡量標準。龐大的數字可能代表有效的保護，但也可能反映出過寬的分類、重複的嘗試或被錯誤拒絕的合法網頁。抽樣檢查日誌並將請求分為四組：有害內容攔截、合法教育內容攔截、已核准例外，以及可疑的繞過嘗試。

然後分別回報精準率（Precision）與召回率（Recall）。精準率是指被攔截的請求中違反政策的比例。召回率則是過濾器成功攔截的違規請求佔所有違規請求的比例。如果一個系統在抓取有害請求的同時也封鎖了有用的教學資源，它可能具有高召回率但精準率卻很差。單一的綜合「攔截評分」會掩蓋這種權衡關係。

美國學校圖書館員協會關於超越 CIPA 過濾規範 的歷史證據摘要指出，文本過濾大約有 15–20% 的時間會過度封鎖合法內容，或未成功封鎖涉嫌色情內容。該估算並不包含視覺影像。請獨立檢查文本、影像、影片和內嵌的第三方播放器，而不是假設單一類別測試就能涵蓋整堂課的安全性。

指標	記錄內容	健康跡象	審查週期
有害內容封鎖數	符合成人、非法或惡意軟體原則的封鎖項目	保持穩定且與真實事件關聯	每週
誤判數	合法教學 URL 被封鎖的情況	與試運行基準相比逐週下降	每週抽樣
解除封鎖時間中位數	從請求提出到暫時允許的時間	教師提出當天即可完成，無須在學區佇列中排隊	每週
未受過濾干擾的課堂數	按原定計畫完成的預定課程	半個學期內持續上升	半個學期
繞過嘗試數	VPN、加密 DNS、縮網址與翻譯代理伺服器	在該 SSID 上已記錄並阻斷	每週
精準率與召回率	獨立測量指標，而非單一的綜合封鎖分數	兩者均回報給學生安全保護人員	每月

保持稽核實用且比例適當

抽樣 DNS、Proxy 或端點日誌，然後針對目前的課程 URL 以及新註冊或重新分類的網域進行測試。包含替代網域、快取內容、行動裝置和訪客網路，而不僅僅是課堂上使用的受管瀏覽器。在一種測試環境中看起來健全的政策，在個人手機或內嵌媒體播放器上的表現可能會有所不同。

對於您保留的每個事件，請記錄時間戳記、策略、類別、動作以及網路或身分識別範圍。僅保留調查該事件所需的學生層級詳細資訊。將高影響力的請求 (包括存取健康、身分或預防自殺的資料) 傳送給指定的真人審查人員，而不是讓系統進行隱性的類別判斷直接終止請求。

為高層領導、指定的安全防護負責人（DSL）和學系主任提供簡短報告：攔截了什麼、錯誤攔截了什麼、恢復存取權限花了多少時間，以及繞過嘗試是否有所增加。一個健康的學期會在維持有害內容攔截的同時，降低誤報率並縮短解除封鎖的時間。這比更高總量的攔截請求數是更有價值的成果。

當過濾器阻擋課程或學生繞過時的實用建議

根據 CalMatters 關於學校網路過濾的報導，在一項具全國代表性的調查中，約有 70% 的教師和學生 表示過濾器干擾了作業的完成，而大約四分之三的教師表示學生會使用繞過方法來存取未經過濾的網際網路。同一份報導還指出，性教育、LGBTQ+、生殖健康、自殺預防和其他合法的研究內容遭到封鎖，並發現非裔和拉丁裔學生更有可能遇到關於少數族群內容被過度封鎖的情況。

將封鎖數量的增加視為需要調查的原因，而不是安全已獲得改善的證明。詢問有哪些使用者和課程受到影響，以及學生是否改用其他連線，而不是申請例外許可。

五項營運修復措施

1. 在封鎖頁面上顯示原因。 列出被封鎖的類別，並提供明確的申訴審查管道。空白的拒絕頁面無法讓教師診斷問題，也無法讓學生區分政策規定還是系統錯誤。

2. 將教師覆寫設定為臨時性。 僅允許在特定課程期間進行存取，之後讓該例外規則自動到期。定期審查覆寫設定，以免課堂上的臨時修復變成永久的防護漏洞。

3. 保護敏感研究免受廣泛類別規則的影響。 針對健康、身分認同和課程相關網域建立關注清單，並在類別變更後進行測試。當某個請求對課程或學生身心健康有重大影響時，請交給指定的真人審查人員處理。

4. 依用途而非標籤管理 AI 工具。 不要自動封鎖所有 AI 服務，也不要完全開放。針對特定年齡層和課程評估指定的工具；考量其是否會保留提示詞、課堂將如何進行監督，以及其回答是否可以被核對。在允許使用某項服務之前，請完成資料保護影響評估，並考量年齡、特殊教育需求與失能，以及英語作為附加語言的狀態，如 英國學校和學院過濾與監控核心標準指引 所述。

5. 在發生繞過行為的網路端進行修復。 如果嘗試繞過防護的行為集中在訪客 WiFi 或個人手機上，請審查訪客 SSID 及其政策。進一步加強受控的課堂網路並無法解決其他連線上的漏洞。針對加密 DNS、VPN、短網址和翻譯代理伺服器進行測試，並利用測試結果更新該網路的規則。如需關於 DNS over HTTPS 及其對過濾重要性 的淺顯易懂說明，請在無線網路團隊測試加密 DNS 行為之前提供給他們作為共同參考。

評估 AI 服務時，請將內容安全與隱私權及教學適用性區分開來。一項工具可能不包含有害內容，但如果它會保留提示詞、無法滿足無障礙需求或產生學生無法驗證的答案，它仍然不適合用於課堂。請為每項核准指定負責人，並記錄允許或封鎖該服務的原因。

有用的衡量標準不是過濾器封鎖了多少頁面，而是學校是否在不阻礙課程進行的前提下擋下了風險。只有在課程仍順利進行的情況下，封鎖才算成功。

將策略放置於保護性 DNS 層

類別規則、上課鐘聲表與稽核欄位確認完畢後，下一個決定是執行這些規則的位置。保護性 DNS 層可以在網路層級套用政策，因此學生、教職員、訪客或考試用的 SSID 不需要依賴在每台裝置上安裝代理程式。DNS 過濾實用指南 可協助技術團隊瞭解此執行點的作用，以及它如何與網路的其他部分互相配合。

關鍵在於維持您所設計的策略。每次查詢都應根據內容類別、允許與封鎖清單、網路時程表和威脅情報進行檢查。教職員應能在單一儀表板中查看受封鎖的 URL、威脅分析和使用情況，然後直接調整規則，無需拼湊單獨的報告。

Purple Shield 可運行於學校現有的 WiFi 或 Purple Access 上，並針對每個 SSID 和 VLAN 設定安全性原則。完成 DNS 變更後，過濾功能會立即涵蓋該網路上的每台裝置，且無需在任何裝置上安裝軟體。請先保持首次部署規模較小：將安全性原則矩陣載入至一個中學 SSID，將課堂時間視窗設定為 08:15 - 15:30，並將誤判數和解除封鎖時間與前一週進行比較。在該網路完成一整週的正常課程之前，請勿將變更擴展至全校設施。

---

Purple Shield 提供保護性 DNS 與內容過濾功能，可透過 SSID、VLAN 與時間表套用規則，並針對封鎖的 URL、威脅和使用情況提供報告。請造訪 Purple Shield 評估其是否符合貴校的政策，並在規劃更廣泛的部署之前，先在一個次要 SSID 上測試已確認的規則。