用路由器禁用QQ和网络游戏(2009-01-21 14:49:33)转载分类：网络应用标签：杂谈用路由器禁用QQ和网络游戏已发表在网管员世界2004年2期上用路由器禁用QQ和网络游戏引子公司早就有制度规定禁止在上班时间禁止使用QQ和网络游戏，可是一直以来只是靠大家的自觉执行，在公司里上班时间用QQ聊天和打网络游戏之类的情况还是非常普遍，最近领导终于按耐不住，要我想办法从技术角度解决这个问题。
关于禁止QQ和网络游戏其实可以通过路由器的访问控制列表（Access lists，以下简称ACL）实现的。
我公司上网是通过Cisco 2611路由器的NAT功能上网的，WEB和Mail都是通过NAT的端口映射实现的。
访问控制列表介绍那么什么是访问控制列表呢？访问控制列是Cisco的IOS提供的一种控制网络访问的强大的工具，利用ACL可以在路由器的接口上灵活地控制过滤数据包，从而可以决定在路由器的任意接口上允许或者禁止我们需要控制的数据包。
一个IP 访问列表是一串控制一个或一组IP或其上的端口的命令序列。
IP访问控制列表分为三类，分别为标准访问控制列表（Standard access lists），扩展访问控制列表（Extended access lists）和命名访问控制列表(Named access lists)。
标准访问控制列表是基于源地址和掩码，是对整个TCP/IP协议族的过滤；Standard ACL的编号是1~99；格式如下：Router(config)#access-list access-lists-number(1~99) {deny|permit} souce [wildcard]Router(config-if)#{protocol} access-group access-list-number {in|out} 扩展访问列表检查源地址和目的地址，可以精确地过滤TCP或者UDP的端口；Extended ACL的编号是100~199；格式如下：Router(config)#access-list access-list-number(100-199) {permit|deny} protocol source source-wildward [operator port] destination destination destination-wildcard [operator port] [established] [log]Router(config-if)#ip access-group access-list-number {in|out}命名访问控制列表可以使用一组字母和数字的组合来代替扩展访问控制列表中的数字，使用它可以用来删除某一条特定的控制字符串，这样就可以更方便的精心修改。
∙∙∙∙∙∙∙∙∙TCP登录服务器∙∙∙∙∙∙所以我们在路由器作了如下限制：图1防火墙设置确认防火墙、IP过滤、域名过滤都开启着。
我们再看域名过滤的具体设置：图2域名过滤设置通过上面的设置我们可以把所有和QQ有关的域名请求都予以过滤。
我们再看看IP过滤的设置：图3IP地址过滤设置上图3是“IP地址过滤”页面的抓图，前面两条先屏蔽了8000和443两个端口，剩下的80端口的服务器只能通过过滤服务器IP地址的方法屏蔽掉。
下面的三条IP地址过滤规则的作用就是将发往219.133.38.29、219.133.38.30、219.133.38.232这三个QQ服务器的数据包禁止掉了！那么这三个服务器的IP地址是怎样得来的呢？使用80端口的QQ服务器有多少呢？它们的IP地址又都是多少呢？后面会介绍如何查看QQ 登录时使用的服务器IP地址。
当我们发现了新的可以登录的服务器IP地址，需要自己再继续添加过滤条目。
下面说明一下上图中这三个QQ服务器的地址是怎么得来的？我们按照图2中所示的方法使用“域名过滤”封锁掉一部分QQ服务器，接着如图3所示，在“IP地址过滤”页面最上面的两条规则中“禁用443和8000端口”后，发现内网电脑还是可以登录QQ的，那说明连接的服务器使用的是80端口提供服务，网络管理员可以在QQ2005的“登录设置”页面查看当前客户端登录的QQ 服务器的IP地址，过程就这么简单。
试验中找到的三个服务器的IP地址（219.133.38.29、219.133.38.30、219.133.38.232）都被封锁了，但是QQ2005又一次成功登录，于是继续打开QQ2005的“登录设置”页面如下图：图4QQ登录设置界面从图4中可以看到，QQ2005又连接了新的服务器，IP地址是219.133.49.5 ，连接的是80端口，没有关系，把这个新发现的服务器IP地址也加入到“IP地址过滤”中去就可以了。
就这样找到一个新的服务器IP 地址，添加到“IP地址过滤”中把它禁止掉！有些用户会担心，“IP地址过滤”规则的可设定条目数是有限的，可设定条目数不够怎么办？不用担心，因为我司的宽带路由器“IP地址过滤”条目在设置的时候，“局域网IP地址/广域网IP地址”这两个参数都是可以输入一段IP地址的，比如我们上面发现的四个服务器IP地址可以合并为下面的两个条目：219.133.38.0-219.133.38.255219.133.49.0-219.133.49.255或者还可以把上面的两段地址继续合并为下面更大的一段：219.133.38.0-219.133.49.255通过这样设置IP地址段，足够将所有的使用80端口的QQ服务器IP地址囊括！需要做的只是下面的操作循环：使用QQ2005成功登录——>发现新的服务器IP地址——>设定“IP地址过滤”规则禁止，重复直到QQ客户端再也不能连接到服务器。
qq如何关闭防火墙qq关闭防火墙方法一：你用的是什么防火墙，各种防火墙关闭qq的方法是不一样的。
如果你有时间想彻底关闭qq的话，就找一个抓包工具查出qq服务器的地址。
然后在访问策略里面直接把这些地址全禁止掉。
qq关闭防火墙方法二：windows防火墙禁止qq登陆后，可以直接关闭防火墙来登录qq;如果不想关闭防火墙，就按照下面的方法，把qq添加到允许通过windows防火墙通讯，就可以了。
1、点击系统的“开始”菜单---“控制面板”2、在“控制面板”中找到“windows防火墙”。
3、在“windows防火墙”中，找到“允许程序或功能通过windows 防火墙”。
4、在“允许程序通过windows防火墙通讯”中找到“腾讯qq”把后面家庭和公用网络都勾选上，点击确定即可。
相关阅读：防火墙相关知识防火墙在网络中经常是以两种图标出现的。
一种图标非常形象，真正像一堵墙一样。
而另一种图标则是从防火墙的过滤机制来形象化的，在图标中有一个二极管图标。
而二极管我们知道，它具有单向导电性，这样也就形象地说明了防火墙具有单向导通性。
这看起来与防火墙过滤机制有些矛盾，不过它却完全体现了防火墙初期的设计思想，同时也在相当大程度上体现了当前防火墙的过滤机制。
因为防火最初的设计思想是对内部网络总是信任的，而对外部网络却总是不信任的，所以最初的防火墙是只对外部进来的通信进行过滤，而对内部网络用户发出的通信不作限制。
当然防火墙在过滤机制上有所改变，不仅对外部网络发出的通信连接要进行过滤，对内部网络用户发出的部分连接请求和数据包同样需要过滤，但防火墙仍只对符合安全策略的通信通过，也可以说具有“单向导通”性。
防火墙的本义是指古代构筑和使用木制结构房屋的时候，为防止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋周围作为屏障，这种防护构筑物就被称之为“防火墙”。
其实与防火墙一起起作用的就是“门”。
如果没有门，各房间的人如何沟通呢，这些房间的人又如何进去呢?当火灾发生时，这些人又如何逃离现场呢?这个门就相当于我们这里所讲的防火墙的“安全策略”，所以在此我们所说的防火墙实际并不是一堵实心墙，而是带有一些小孔的墙。
1.新建通信协议这里我们根据QQ的三种不同登录方式所使用的协议和端口号，新建三条通信协议，协议名依次为UDP-8000、TCP-80和TCP-443。
为何要新建这些协议呢？这是因为，QQ登录服务器时，使用了QQ服务器的UDP协议的8000端口、TCP协议的80端口、TCP协议的443端口，先定义好这些协议内容，是为了方便建立禁用QQ的规则。
●UDP-8000协议在ISA 2004管理控制台窗口中，选择进入右侧框体的“工具箱”标签页(图1)，点击“协议”分栏，接着点击“新建→协议”，弹出“新建协议向导”对话框，在名称栏中输入“UDP-8000”。
点击“下一步”按钮后，在“首要连接信息”对话框中点击“新建”按钮，弹出“新建/编辑协议连接”对话框，在“协议类型”中选择“UDP”，将“方向”设为“发送”，端口范围设置为“从8000到8000”，然后点击“确定”按钮，接着一路点击“下一步”按钮完成UDP-8000协议的建立。
●TCP-443协议首先在“新建协议向导”对话框的名称栏中输入“TCP-443”，接着在“首要连接信息”对话框中点击“新建”按钮，弹出“新建/编辑协议连接”对话框，在“协议类型”中选择“TCP”，将“方向”设为“出站”，端口范围设置为“从443到443”，点击“确定”按钮后，一路点击“下一步”按钮即可完成TCP-443协议的新建。
●TCP-80协议在“新建协议向导”的名称栏中输入“TCP-80”，接着在“首要连接信息”对话框中点击“新建”，弹出“新建/编辑协议连接”对话框。
在“协议类型”中选择“TCP”，将“方向”设为“出站”，端口范围设置为“从80到80”，点击“确定”按钮后，一路点击“下一步”按钮即可完成TCP-80协议的新建。
2.新建计算机集由于QQ服务器较多，我们将QQ服务器划分为三类，它们依次是QQ-Server UDP_8000、QQ-Server TCP_443&80和QQ-Server VIP。
