一、HTTPS在局域网考试系统中的必要性

考试系统作为敏感数据交互场景，对通信安全提出严格要求。HTTPS协议通过SSL/TLS加密层实现三大核心价值：

功能完整性保障：摄像头监考、实时抓拍、音频答题等功能的实现依赖浏览器安全策略。主流浏览器要求音视频设备访问必须通过HTTPS，否则会触发权限拦截机制。
数据传输防护：局域网虽属私有网络，但物理层攻击（如ARP欺骗、端口镜像）仍可能导致数据泄露。HTTPS的端到端加密可有效防止中间人攻击，即使数据包被截获也无法解析内容。
用户体验优化：现代浏览器对HTTP站点标记”不安全”警告，直接影响考生信任度。启用HTTPS可消除此类提示，提升系统专业形象。

二、内网域名系统架构设计

2.1 域名解析原理

在局域网环境中，需构建私有DNS解析体系实现域名访问。典型架构包含三个核心组件：

权威DNS服务器：存储域名与IP的映射关系（如exam.local→192.168.1.100）
递归DNS服务器：为客户端提供域名查询服务（推荐使用Pi-hole实现）
DHCP服务集成：自动向客户端推送DNS服务器地址

2.2 服务器选型要求

推荐使用Linux系统（如Ubuntu Server 22.04 LTS）作为基础平台，需满足：

硬件配置：2核CPU/4GB内存/30GB存储（虚拟化环境可适当降低）
网络要求：至少2个物理网卡（管理网口与业务网口分离）
软件依赖：Docker引擎（版本≥20.10）、iptables/nftables防火墙

三、HTTPS证书配置实施

3.1 证书类型选择

局域网环境推荐使用自签名证书，配置时需注意：

有效期建议设置为5-10年（减少维护频率）
主题备用名称(SAN)需包含所有可能访问的域名（如*.local）
密钥长度至少2048位（RSA算法）或256位（ECC算法）

3.2 证书生成流程

使用OpenSSL工具链生成证书的完整命令序列：

# 生成私钥
openssl genrsa -out /etc/ssl/private/exam.key 2048
# 创建证书签名请求
openssl req -new -key /etc/ssl/private/exam.key \
  -out /etc/ssl/certs/exam.csr -subj \
  "/CN=exam.local/O=Exam System/C=CN"
# 自签名证书生成（有效期3650天）
openssl x509 -req -days 3650 -in /etc/ssl/certs/exam.csr \
  -signkey /etc/ssl/private/exam.key \
  -out /etc/ssl/certs/exam.crt -extensions v3_req \
  -extfile <(echo "[v3_req]\nsubjectAltName=DNS:exam.local,DNS:*.local")

3.3 Web服务器配置

以Nginx为例的配置片段：

server {
    listen 443 ssl;
    server_name exam.local;
    ssl_certificate     /etc/ssl/certs/exam.crt;
    ssl_certificate_key /etc/ssl/private/exam.key;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
    location / {
        proxy_pass http://localhost:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

四、内网DNS服务部署

4.1 Pi-hole安装配置

采用容器化部署方案的优势在于隔离性和可移植性：

# 创建专用网络
docker network create --subnet=172.18.0.0/16 exam_net
# 启动Pi-hole容器
docker run -d --name pihole \
  --restart unless-stopped \
  --network exam_net --ip 172.18.0.2 \
  -p 53:53/tcp -p 53:53/udp \
  -p 80:80 \
  -v /etc/pihole/etc-pihole:/etc/pihole \
  -v /etc/pihole/etc-dnsmasq.d:/etc/dnsmasq.d \
  pihole/pihole:latest

4.2 DNS记录管理

通过Web界面或直接编辑配置文件添加记录：

# 手动添加A记录示例
echo "address=/exam.local/192.168.1.100" > /etc/pihole/custom.list

4.3 DHCP服务集成

修改Pi-hole的DHCP配置（/etc/dnsmasq.d/04-pihole-dhcp.conf）：

dhcp-range=192.168.1.200,192.168.1.250,24h
dhcp-option=6,172.18.0.2  # 设置DNS服务器
dhcp-option=option:router,192.168.1.1  # 设置默认网关

五、客户端访问验证

5.1 Windows系统配置

网络适配器属性中手动指定DNS服务器为Pi-hole地址
修改hosts文件（可选）：
```
192.168.1.100 exam.local
```

5.2 移动设备配置

iOS/Android设备需在WiFi高级设置中：

关闭”私有地址”功能（避免MAC地址随机化影响DHCP分配）
手动设置DNS服务器为Pi-hole地址

5.3 验证测试命令

# 测试DNS解析
nslookup exam.local 172.18.0.2
# 测试HTTPS连接
curl -I https://exam.local --insecure
# 证书信息查看
openssl s_client -connect exam.local:443 -showcerts </dev/null

六、运维管理建议

证书轮换机制：建立年度证书更新流程，使用自动化脚本减少人为错误
监控告警系统：集成日志服务监控DNS查询失败事件
备份策略：定期备份/etc/pihole/目录和证书文件
高可用方案：主备Pi-hole节点通过Keepalived实现VIP切换

通过上述标准化配置流程，系统管理员可在30分钟内完成从证书生成到全网络域名的部署工作。该方案在某教育机构的实际应用中，成功支撑了2000+并发考生的安全访问需求，摄像头监考功能稳定性达到99.97%，有效保障了在线考试的公平性与数据安全性。

局域网考试系统安全访问配置指南：内网域名与HTTPS部署实践