高中二年级信息技术“剖析校园网安全体系-认识常用网络安全协议”教学设计

高中二年级信息技术“剖析校园网安全体系——认识常用网络安全协议”教学设计一、设计依据与学情分析本课选自沪科版（2019）高中信息技术选择性必修2《网络基础》中的项目8，面向高中二年级学生开设。高中阶段是学生网络使用行为高度活跃的时期，他们每天通过校园网查阅资料、提交作业、线上交流，却很少思考一个问题：自己输入的账号密码，从键盘到服务器的这段旅程中，究竟经历了什么。本项目恰好提供了回答这一问题的知识框架。从课程标准的要求看，本模块强调学生能够分析网络的基本组成与工作原理，理解网络协议在数据传输中的作用，并初步形成网络安全意识与信息社会责任感。本课承载的核心素养指向信息意识与数字化学习两个维度：学生不仅要“知道”有哪些安全协议，更要“看懂”协议在真实网络环境中如何协同工作，进而对日常上网行为作出更理性的判断。课前对两个教学班共86名学生的问卷显示，92%的学生听说过“加密”，但仅有11%能区分HTTP与HTTPS的差异；能说出DNS作用的不足8%；对SSL、IPSec、防火墙之间的关系，几乎全部停留在零散听闻的层面。这一学情决定了本课不能从协议定义讲起，而必须从学生亲历的真实场景切入，让协议在问题中“现身”。二、教材内容的本体解读教材在本项目中安排了三条知识线索。第一条线索是校园网安全体系的层次结构，包括物理安全、网络边界安全、传输安全与应用安全四个层面；第二条线索是常用安全协议的功能与工作机制，重点涉及DNS、HTTPS与SSL/TLS、IPSec与VPN、SSH、802.1X接入认证等；第三条线索是通过抓包分析等实践活动，让学生观察协议在数据包中的真实痕迹。在备课中，笔者对本课内容作了取舍与重组。课本对各项协议的讲解较为平均，但一节课（本项目按两课时实施，本设计聚焦核心课时）不足以面面俱到。因此本课确立“一个主线、两个支点”的内容结构：以“一台学生机访问学校教务系统的完整过程”为主线，串联起接入认证、域名解析、加密传输三个环节；以DNS解析容易遭受劫持、HTTPS保障传输加密这两个支点做深度剖析，其余协议作为拓展认知简要带过，留待课后探究任务消化。三、教学目标设定第一，学生能够描述校园网安全体系的层次结构，说明从终端接入到数据传输各环节面临的主要威胁，建立整体性的安全观。第二，学生能够说出DNS、HTTPS（SSL/TLS）、IPSec、SSH等常用协议的基本功能，并能结合抓包数据指出协议工作的证据，做到“言之有据”。第三，学生能够操作Wireshark等工具完成一次完整抓包，区分明文HTTP流量与加密HTTPS流量的可见内容差异，在实践中理解加密的必要性。第四，学生能够结合校园真实案例，讨论个人信息保护的策略，形成主动审视网络行为安全性的习惯。教学重点是常用安全协议的功能定位及其在校园网中的部署位置；教学难点是TLS握手过程的原理性理解，以及从抓包数据反推协议行为的能力。四、教学准备硬件环境：机房内每台学生机安装Wireshark抓包软件并预配置权限；教师机接通可控制的外部网络出口，搭建一台本地HTTP测试服务器与一台HTTPS对比站点，地址提前写入学生任务单。软件环境：准备校园网拓扑简图挂图；制作DNS解析过程的动态演示课件；收集近两年公开报道的DNS劫持与校园数据泄露案例材料若干，隐去敏感信息后编号备用。分组安排：按四人一组、组内异质原则分组，每组设操作员、记录员、观察员、汇报员，活动中轮换岗位，确保每名学生都经历动手与表达。五、教学过程（一）情境导入：密码在网线上的旅行（约8分钟）上课伊始，教师关闭课件，在黑板上写下一个问题：“上周三你在教务系统里输入的密码，谁有可能看见？”学生自然地回答出“老师”“管理员”“黑客”等答案。教师不急于评判，而是现场演示：一名学生已在课前配合下，在测试HTTP站点上输入账号密码提交，与此同时教师投影展示抓包结果，用户名与口令以明文形式赫然出现在数据包详情栏中。教室内立刻炸开了锅。教师顺势追问：“如果把这个站点换成真正的教务系统，你输入的那一刻，这段数据经过了哪些设备？每一段上是否都是这样裸奔的状态？”学生的疑惑被充分点燃，此时教师揭示课题：要回答这个问题，必须拆开校园网的安全体系，认识在幕后保护我们的协议们。悬念式的导入用时不足八分钟，却为本课所有的知识学习提供了真实的动机。（二）任务一：画出一条数据的行军路线（约10分钟）教师发放校园网简化拓扑图，包含学生终端、接入交换机、核心交换、防火墙、DNS服务器、教务服务器六个节点。各组讨论并回答：数据从本机到教务服务器，依次经过哪些设备？在哪些环节可能被窃听、被篡改、被假冒？小组展示环节，教师只纠正共性问题，不追求一次到位。讨论中学生自然提出三类威胁：宿舍区或教室内的“嗅听者”——同网段抓包偷看内容；冒充正常网站的“假李逵”——把学生引向钓鱼页面；以及直接篡改途中数据的“中间人”。教师板书归纳出“窃听、假冒、篡改”三大威胁词，并在拓扑图上逐一标注防护这些威胁需要的技术手段接入认证、域名解析的可信性、传输加密，由此引出本课的核心对象：协议是应对威胁的具体方案，安全体系是这些方案的叠加组合。这一环节的价值在于把抽象的分层安全体系还原为可视的空间结构，学生对后续每一协议的学习都能自动“对号入座”，知道它守在哪道关卡上。（三）任务二：拆解DNS这把开门钥匙（约12分钟）教师演示：在命令行使用nslookup查询教务系统域名，屏幕上返回一个IP地址。教师提问：“计算机的世界里只认数字，可我们只记名字，谁在这场对话里当翻译？”由此进入DNS协议的讲解。讲解采用“查户口”的类比：你想找教务老师办事，先问传达室（本地DNS缓存），传达室不知道就去问区教育局（递归解析器），教育局再找上级一步步问，最终拿到准确地址。整个过程对应DNS的查询链。随后教师话锋一转：“如果传达室被人买通，把你支到了假冒的教务处，会发生什么？”播放一段DNS劫持动画：用户输入正确网址，却被解析到攻击者的钓鱼服务器，页面克隆得与真站一模一样，这次连密码都是“自己送上门”的。为让学生看到证据，教师组织学生完成课堂微实验：分别执行nslookup命令和ping命令访问同一域名，对比返回的IP；再观察抓包中UDP协议53号端口的DNS查询报文，放大查看查询字段与应答字段。学生填写任务单中的观察记录表，用自己的语言描述DNS报文里出现了什么、没有出现什么。细心的学生发现报文是明文的，教师肯定这一观察：这正是传统DNS协议的先天短板，也是DoH（基于HTTPS的DNS查询）诞生的原因，可留作学有余力学生的探究方向。（四）任务三：见证HTTP与HTTPS的生死之别（约18分钟）这是本课的重头戏，设计为“对比实验+原理推演+协同解读”三段式。第一段，对比实验。各组操作员先后访问教师搭建的HTTP测试站点与HTTPS对比站点，全程开启Wireshark抓包。任务单要求学生完成两项操作：在HTTP抓包结果中定位POST请求，找到提交的表单内容；在HTTPS抓包结果中寻找同样位置的内容。结果一目了然：前者裸奔，后者是一堆乱码式的密文。记录员把密文截图粘贴在任务单上作为证据。教师提问：“同样的密码，两种命运。中间发生了什么魔法？”第二段，原理推演。教师借助课件呈示TLS握手的简化过程示意图：客户端打招呼列举自己支持的加密套件；服务器回应并出示数字证书，证明自己的身份；双方协商出一个只有彼此知道的会话密钥；此后所有数据均用此密钥加密传输。讲解时教师避开晦涩的数学推导，聚焦三个关键观念：证书解决“对方是谁”的真伪问题，非对称加密解决“密钥怎么安全送出去”的难题，对称加密解决“大量数据传输要快”的效率问题。三者各司其职，合起来才是我们地址栏里那把小小的锁。为让观念落地，教师现场点击浏览器地址栏的小锁图标，展示证书详情，包括颁发机构、有效期、绑定域名，并给学生布置辨伪训练：一张截图是正常站点的证书，一张是已过期证书的警告页面，一张是山寨域名拼凑的钓鱼网站。学生快速投票判断，教师逐一点评。这个环节把“运维知识”转化为“生存技能”，学生以后遇到浏览器安全告警时便不再是机械地点击“继续访问”。第三段，协同解读。各组对照HTTP与HTTPS两份抓包记录，填写对比表格：数据是否可读、是否带身份验证、谁可能偷看、防护者是谁。教师在巡视中提醒学生注意HTTPS流量中仍能暴露的信息，例如目标IP与端口，说明加密并不等于隐身，由此引导学生形成边界清晰的概念。（五）任务四：协议家族在校园网中的排兵布阵（约8分钟）教师出示一张空白的“协议布防图”，图上是之前的校园网拓扑，关键节点处留出空格。各组讨论后将协议卡片（DNS、HTTPS/TLS、IPSec、SSH、802.1X、WPA2、防火墙策略）贴到自认为恰当的节点上，并说明理由。汇报要点标准答案如下：802.1X部署在接入交换机，决定谁能进网，配合校园身份认证实现实名接入；WPA2守在无线接入点，如今更安全的版本是WPA3；HTTPS/TLS部署在应用服务器与学生机之间，守护数据内容；SSH替代古老的Telnet，供管理员安全地远程操控核心设备；IPSec常见于校外VPN通道，让居家办公的老师像是在校内一样安全访问内部系统；防火墙在边界把关，决定哪些流量能进能出。教师在点评中特别强调：没有任何单一协议能包打天下，校园网的安全依靠纵深防御，即层层布防、互为备份。这句话是本课安全观的总纲领。（六）延伸讨论：从协议回到人（约5分钟）教师展示一则经脱敏处理的真实案例：某校学生在不明WiFi环境下登录教务平台导致信息被盗用。各组结合本课所学，分析该学生踩中了哪些陷阱：未经验证的无线热点（接入环节失守）、未确认证书的安全连接（传输环节失守）、也许还有在HTTP页面上输入了关键信息。学生随后以组为单位，用一句话写出“给自己和家长的上网忠告”，张贴在黑板展示区。学生写出的忠告包括“看小锁前先核对网址”“公共WiFi下意识不碰支付页面”“看到证书警告就停下”等，真实可感，体现着素养的内化。（七）课堂小结与作业布置（约4分钟）教师带领学生以思维导图收束全课：威胁是暗处的对手——窃听、假冒、篡改；协议是明处的哨兵——DNS管指路，TLS管加密，SSH管管理，IPSec管专线，802.1X管准入；体系是协同的布防——纵深防御，缺一不可。教师强调，真正的安全不是装了多少软件，而是理解每一次点击背后的通信发生了什么。课后作业分两个层次：必做题要求每位学生完成一份抓包分析报告，观察自己在家庭网络中访问任意HTTPS站点时的握手报文特征，并截图标记证书交换与密钥协商的报文序号；选做题鼓励学有余力的学生查阅DNSoverHTTPS的工作方式或WPA3相对WPA2的改进点，撰写三百字以内的技术短评，下一节课由自愿者作两分钟分享。六、教学评价设计本课评价嵌入学习全程。过程性评价依据三个抓手：课堂观察量表记录各组讨论中的有效发言与协作状态；实验任务单考查抓包操作是否规范、记录是否反映真实数据而非提交臆测；协议布防图的贴放位置与说理论证质量。终结性作业评价采用量规，从“证据意识、术语准确、逻辑清晰、建议可行”四个维度分级打分。学生自评借助一张反思卡完成，回答三个问题：今天我看到了以前从未看见的数据细节吗？我能在生活中指出加密与否的区别吗？我还有哪些协议问题没有想明白？教师整理学生的未解之问，选择高频问题在下一课开头集中回应。七、设计反思本课最大的取舍在于放弃了“协议知识大百科”式的教学惯性，转而押注一条真实数据通路为叙事主线。协议的知识点是容易遗忘的，但亲眼目睹自己密码赤裸出现在抓包窗口中的震撼不会忘。这正是实践性工具类课程的教学价值锚点——让学生经由亲手操作建立技术与经验之