BYOD in Schulen mit SafeSearch

Moin,

ich beschäftige mich derzeit mit dem Thema WLAN an Schulen. Es kommt ja immer häufiger vor, dass in Schulen WLANs angeboten werden, wo die Schüler per BYOD eigene Geräte einbinden können, indem sie sich über einen Voucher oder über einen RADIUS Server mit Schulkonten authentifizieren. Um das ganze sicher zu machen, kann ich VLANs nutzen und eine Firewall mit Webfilter vorschalten, der mir zumindest bestimmte Kategorien sperrt.

Bei schuleigenen Geräten ist meist ein fester Proxy hinterlegt, bzw. HTTPS Deep Inspection aktiv, um Dinge wie SafeSearch zu nutzen. Viele nutzen hier z. B. den Schulrouter von Time for Kids. Bei BYOD Konzepten kann ich keine festen Proxy in Handy hinterlegen - das wäre viel zu aufwendig und HTTPS Inspection geht auch nicht, da ich auf jedem Gerät das Zertifikat der Firewall ausrollen müsste. Hier kann also nur ein transparenter Proxy aktiv sein (HTTPS Inhalte lassen sich via Webfilter blocken - ohne Anzeige, dass der Inhalt geblockt wurde, aber SafeSearch lässt sich nicht erzwingen).

Ich bin jetzt auf cleanbrowsing.org PublicDNS Server gestoßen, die einen FamilyShield DNS bereit stellen, der die meisten kritischen Inhalte filtert - funktioniert soweit auch ganz gut. Jetzt können ich diesen DNS ja an die Clients per DHCP verteilen und via Firewallregel Auflösungen nur über diesen DNS erlauben. Wenn sich dann Clients eigene DNS Server eintragen, kann dieser durch die Firewall nicht erreicht werden.

Welche Möglichkeiten gibt es für Schulen, in BYOD Konzepten das WLAN möglichst so zu gestalten, dass es nicht jugendfreie Inhalte filtert oder blockt? Wäre die o. g. Möglichkeit von cleanbrowsing.org oder OpenDNS eine aktzeptable Möglichkeit? Kenn jemand einen deutschen DNS Dienst, der sowas anbietet?

Kennt jemand ein Whitepaper wie eine technische Ausstattung mit WLAN und BYOD in Schulen ausehen kann (v. a. die Sache mit SafeSearch, transparentem Proxy etc.)?