路由器防火墙应用举例—如何限制内网使用QQ

QQ客户端登录的时候使用的外网端口号有UDP端口8000、TCP端口80和443三个端口，一般来说不建议直接把80以及443端口屏蔽掉，除非您不想浏览网页。所以我们的处理方法是将路由器的域名过滤和IP过滤这两个功能结合来使用。

在下面的介绍中，使用的QQ版本是QQ2010。

1．设置域名过滤：

通过对QQ连接信息的查看，目前QQ登录时使用到了的服务器的域名信息如下：

UDP服务器：

sz.tencent.com

sz2.tencent.com

sz3.tencent.com

sz4.tencent.com

sz5.tencent.com

sz6.tencent.com

sz7.tencent.com

sz8.tencent.com

sz9.tencent.com

sz3.tencent.com

TCP服务器：

tcpconn.tencent.com

tcpconn2.tencent.com

tcpconn3.tencent.com

tcpconn4.tencent.com

tcpconn5.tencent.com

tcpconn6.tencent.com

同时也会使用到qq.com的相关信息，因此在路由器上设置域名过滤，禁止对这些服务器的域名解析。

1）开启域名过滤

2）过滤对tencent.com，qq.com的域名请求

如果设置了域名过滤后已经能成功禁止QQ登陆，就不需要再设置IP地址过滤了，否则需要继续设置IP地址过滤。

2．设置IP地址过滤：

首先必须找到需要过滤哪些IP地址，我们可以通过抓包的方式，查看出QQ登陆的IP地址信息（关于抓包的方法可以查看相关的文档）。

找出QQ登陆使用的IP地址信息后，我们就可以进行IP地址过滤设置了。登陆路由器的管理界面，

1）开启IP地址过滤

注意这里选择的缺省过滤规则是：凡是不符合已设IP地址过滤规则的数据包，允许通过本路由器。

把QQ登陆使用到的所有IP地址都添加到IP地址过滤的列表中，循环这个过程直到QQ不能登陆为止。这里我们过滤了下面这些IP地址段后，QQ就不能登录了：

通过上面设置域名过滤和IP地址过滤后，QQ登陆就能被限制了。但是应注意到，在设置IP地址过滤的时候，我们过滤的是整个8000端口的数据，以及使用IP地址段，因此会把一些正常的不是QQ服务器的IP地址也过滤掉了。如果发生了“需要连接的目的IP地址也被过滤”这种情况，可以把需要使用的IP地址排除在以上的过滤规则列表中就可以正常使用。