校園網的建立為教師、學生提供了廣闊的學習空間，但不可避免的是也帶來了一系列的問題：如有的學生迷戀網上游戲、有的教師在正常的工作時間內利用QQ聊天等。因此，按著學校要求，作為網管就要禁止內網用戶使用QQ、聯眾等聊天和網游軟件，現對我們在處理過程中發現的一些解決方法，進行一下總結，希望能供各位同事參考。
阻斷ＱＱ的連接
新版QQ不僅僅通過UDP方式登錄服務器，還能夠以TCP方式登錄。QQ在連接時首先向以下七個服務器的8000端口發送UDP包。
|
在阻斷8000端口的連接后，發現QQ還會通過UDP的8001和TCP的8000、8001端口進行連接。鑒于這些端口目前只有QQ使用，所以可以基于端口來做阻斷規則。
在用防火墻阻斷以上端口的數據包后，發現QQ還會通過TCP的80和443端口進行連接。如果針對這兩個端口作阻斷規則，會影響用戶的正常上網，所以只能對服務器的IP地址來做規則。通過試驗發現了以下可通過80和443端口建立連接的QQ服務器：
|
在針對這些IP作阻斷規則后，QQ已基本無法登錄。
在試驗中還發現，QQ安裝目錄下的Config.db文件，其中記錄了QQ服務器的地址，與我們上面找到的完全符合。
因此，在用防火墻阻止用戶使用QQ上網時，除了阻止TCP和UDP的8000、8001端口外，還需阻斷與QQ服務器的連接。下面列舉了在試驗中找到的和在網上查到的QQ服務器IP：
|
雖然以上方法可以起到阻斷QQ連接的作用，但如果騰訊增加新的QQ服務器，QQ也還是可以登錄的。另外，用第三方的代理軟件如NEC E-BORDER等，支持Anonymous的Socks5代理還是可能繞過去，登錄使用QQ。
阻斷ＭＳＮ的連接
MSN的連接在除使用常規的1863端口外，還會使用7001和80端口，因為這兩個端口涉及到其他網絡服務的應用，所以也只能采用阻斷QQ連接的方法，通過阻斷與MSN服務器的連接，來達到用戶要求。
以下列舉了在試驗中找到的服務器IP：
|
經查詢，這些服務器IP都是北美地區的。
同樣，如微軟添加新的MSN服務器或者用戶使用代理，還是可以登錄MSN。
阻斷聯眾的連接
阻斷聯眾的連接相對來說就比較容易啦。在客戶端連接服務器時，首先會與服務器的2000端口建立連接（61.55.138.219：2000）。在連接建立后，會用到服務器的1007、2001、2002、3015端口。
在試驗中，只阻斷了2000端口的數據包，客戶端就已經無法連接服務器了。
(t113)
