上周三下午，幼儿园网我蹲在幼儿园监控室看了两个小时录像。络安画面里，全整穿黄色卫衣的改报告小男孩在活动区来回跑了七趟，每趟都经过那台人脸识别测温一体机。幼儿园网机器闪了七次绿灯，络安后台却没留下任何一条体温数据。全整园长站在旁边，改报告脸色不太好看——这台设备是幼儿园网去年“智慧校园”项目统一配的，花了小两万，络安现在成了摆设。全整

问题出在哪儿？改报告我翻了设备日志。数据确实传了，幼儿园网但传到了区教育局的络安旧服务器上。那台服务器三年前就停用了，全整IP地址被回收，数据包全进了黑洞。幼儿园这边没人知道，因为安装那天技术员只教了怎么开机，没教怎么看后台。更离谱的是，设备默认密码是admin/123456，连改都没改过。

这不是孤例。我跑过六家幼儿园，四家的网络架构还停留在“一台路由器管全园”的阶段。办公电脑、监控探头、门禁系统、广播终端，全挤在同一个网段里。有个园更省事，WiFi密码设成八个8，家长在门口等孩子时随手就能连上。我问园长不怕有人蹭网，她说：“能蹭出啥事？”

能蹭出的事多了。去年邻市一家私立园被黑客入侵，攻击者从一台没打补丁的监控NVR下手，横向渗透到财务电脑，转走了当月伙食费。案子破了，钱没追回来。那家幼儿园后来装了防火墙，但只装了一半——外网进来的流量过滤了，内网之间的访问还是裸奔。攻击者要是已经进了内网，照样畅通无阻。

整改这件事，得从“谁在用”开始捋。幼儿园的网络用户分三类：老师办公、家长访问、设备联网。三类需求不一样，安全等级也不一样。老师办公要能上OA、传教案，得给独立VLAN；家长访问只能看通知、查食谱，限速限端口；设备联网最麻烦，监控、门禁、测温这些IoT终端，很多出厂就不支持WPA2加密，只能单独划个隔离区，跟办公网物理断开。

具体怎么改？我列了个清单，都是能落地的。

第一刀砍在密码上。所有设备默认密码全改，长度不低于12位，大小写加数字加符号。别用生日、门牌号、幼儿园缩写。有个园用“宝宝班2023”当密码，我试了三次就进去了。改完密码别写在便签纸上贴显示器边框，这事我见过不止一回。

第二刀砍在网络上。把路由器换成支持多SSID和VLAN的商用型号，千把块钱的事。办公网、访客网、设备网三张网逻辑隔离。访客网限速5Mbps，禁止访问内网任何设备。设备网只允许访问指定的云平台IP，其他一律阻断。防火墙规则写清楚：内网到内网默认拒绝，按需放行。

第三刀砍在日志上。所有网络设备开启日志记录，保存至少六个月。测温一体机、门禁读卡器这些，要求厂商开放数据接口，把记录同步到本地服务器。别信“数据在云端很安全”那套话，云端账号谁都能登，本地至少得园长签字才能看。

第四刀砍在人的习惯上。每学期开学前做一次网络安全检查，重点看三样：默认密码改了没、固件补丁打了没、离职员工账号删了没。有个园的前台老师离职半年了，她的账号还能登录监控系统，因为没人想起来删。

最后说个细节。整改完那天，我又去监控室蹲着。小男孩还是跑了七趟，这次后台跳出了七条体温记录，时间、温度、设备编号，整整齐齐。园长凑过来看了一眼，说：“原来这东西真能用啊。”我关掉屏幕，告诉她：“能用是底线，用得安全才是及格线。”

(责任编辑：热点)