校園網(wǎng)的建立為教師、學(xué)生提供了廣闊的學(xué)習(xí)空間，但不可避免的是也帶來(lái)了一系列的問(wèn)題：如有的學(xué)生迷戀網(wǎng)上游戲、有的教師在正常的工作時(shí)間內(nèi)利用QQ聊天等。因此，按著學(xué)校要求，作為網(wǎng)管就要禁止內(nèi)網(wǎng)用戶使用QQ、聯(lián)眾等聊天和網(wǎng)游軟件，現(xiàn)對(duì)我們?cè)谔幚磉^(guò)程中發(fā)現(xiàn)的一些解決方法，進(jìn)行一下總結(jié)，希望能供各位同事參考。
阻斷ＱＱ的連接
新版QQ不僅僅通過(guò)UDP方式登錄服務(wù)器，還能夠以TCP方式登錄。QQ在連接時(shí)首先向以下七個(gè)服務(wù)器的8000端口發(fā)送UDP包。
|
在阻斷8000端口的連接后，發(fā)現(xiàn)QQ還會(huì)通過(guò)UDP的8001和TCP的8000、8001端口進(jìn)行連接。鑒于這些端口目前只有QQ使用，所以可以基于端口來(lái)做阻斷規(guī)則。
在用防火墻阻斷以上端口的數(shù)據(jù)包后，發(fā)現(xiàn)QQ還會(huì)通過(guò)TCP的80和443端口進(jìn)行連接。如果針對(duì)這兩個(gè)端口作阻斷規(guī)則，會(huì)影響用戶的正常上網(wǎng)，所以只能對(duì)服務(wù)器的IP地址來(lái)做規(guī)則。通過(guò)試驗(yàn)發(fā)現(xiàn)了以下可通過(guò)80和443端口建立連接的QQ服務(wù)器：
|
在針對(duì)這些IP作阻斷規(guī)則后，QQ已基本無(wú)法登錄。
在試驗(yàn)中還發(fā)現(xiàn)，QQ安裝目錄下的Config.db文件，其中記錄了QQ服務(wù)器的地址，與我們上面找到的完全符合。
因此，在用防火墻阻止用戶使用QQ上網(wǎng)時(shí)，除了阻止TCP和UDP的8000、8001端口外，還需阻斷與QQ服務(wù)器的連接。下面列舉了在試驗(yàn)中找到的和在網(wǎng)上查到的QQ服務(wù)器IP：
|
雖然以上方法可以起到阻斷QQ連接的作用，但如果騰訊增加新的QQ服務(wù)器，QQ也還是可以登錄的。另外，用第三方的代理軟件如NEC E-BORDER等，支持Anonymous的Socks5代理還是可能繞過(guò)去，登錄使用QQ。
阻斷ＭＳＮ的連接
MSN的連接在除使用常規(guī)的1863端口外，還會(huì)使用7001和80端口，因?yàn)檫@兩個(gè)端口涉及到其他網(wǎng)絡(luò)服務(wù)的應(yīng)用，所以也只能采用阻斷QQ連接的方法，通過(guò)阻斷與MSN服務(wù)器的連接，來(lái)達(dá)到用戶要求。
以下列舉了在試驗(yàn)中找到的服務(wù)器IP：
|
經(jīng)查詢(xún)，這些服務(wù)器IP都是北美地區(qū)的。
同樣，如微軟添加新的MSN服務(wù)器或者用戶使用代理，還是可以登錄MSN。
阻斷聯(lián)眾的連接
阻斷聯(lián)眾的連接相對(duì)來(lái)說(shuō)就比較容易啦。在客戶端連接服務(wù)器時(shí)，首先會(huì)與服務(wù)器的2000端口建立連接（61.55.138.219：2000）。在連接建立后，會(huì)用到服務(wù)器的1007、2001、2002、3015端口。
在試驗(yàn)中，只阻斷了2000端口的數(shù)據(jù)包，客戶端就已經(jīng)無(wú)法連接服務(wù)器了。
(t113)
