防火墙基础知识应用及提高篇

设置防火墙禁用QQ、MSN和联众游戏

校园网的建立为教师、学生提供了广阔的学习空间，但不可避免的是也带来了一系列的问题：如有的学生迷恋网上游戏、有的教师在正常的工作时间内利用QQ聊天等。因此，按着学校要求，作为网管就要禁止内网用户使用QQ、联众等聊天和网游软件，现对我们在处理过程中发现的一些解决方法，进行一下总结，希望能供各位同事参考。
阻断ＱＱ的连接
新版QQ不仅仅通过UDP方式登录服务器，还能够以TCP方式登录。QQ在连接时首先向以下七个服务器的8000端口发送UDP包。

sz.tencent.com 61.144.238.145
sz2.tencent.com 61.144.238.146
sz3.tencent.com 202.104.129.251
sz4.tencent.com 202.104.129.254
sz5.tencent.com 61.141.194.203
sz6.tencent.com 202.104.129.252
sz7.tencent.com 202.104.129.253

在阻断8000端口的连接后，发现QQ还会通过UDP的8001和TCP的8000、8001端口进行连接。鉴于这些端口目前只有QQ使用，所以可以基于端口来做阻断规则。
在用防火墙阻断以上端口的数据包后，发现QQ还会通过TCP的80和443端口进行连接。如果针对这两个端口作阻断规则，会影响用户的正常上网，所以只能对服务器的IP地址来做规则。通过试验发现了以下可通过80和443端口建立连接的QQ服务器：

218.17.217.106
219.133.40.95
219.133.40.97
219.133.40.157
219.133.40.177
219.133.40.73
219.133.40.189
218.18.95.153
218.17.209.23
202.104.129.253
218.17.209.42

在针对这些IP作阻断规则后，QQ已基本无法登录。
在试验中还发现，QQ安装目录下的Config.db文件，其中记录了QQ服务器的地址，与我们上面找到的完全符合。
因此，在用防火墙阻止用户使用QQ上网时，除了阻止TCP和UDP的8000、8001端口外，还需阻断与QQ服务器的连接。下面列举了在试验中找到的和在网上查到的QQ服务器IP：

61.141.194.203
61.144.238.145/146/149/155
61.172.249.135
65.54.229.253
202.96.170.164
202.104.129.151/251/252/253/254
211.157.38.38
218.17.209.23/42
218.17.217.106
218.18.95.153/165
219.133.40.21/73/89/90/92/95/97/157/177/189（这个网段的服务器地址较多，可以考虑阻断整个网段）

虽然以上方法可以起到阻断QQ连接的作用，但如果腾讯增加新的QQ服务器，QQ也还是可以登录的。另外，用第三方的代理软件如NEC E-BORDER等，支持Anonymous的Socks5代理还是可能绕过去，登录使用QQ。
阻断ＭＳＮ的连接
MSN的连接在除使用常规的1863端口外，还会使用7001和80端口，因为这两个端口涉及到其他网络服务的应用，所以也只能采用阻断QQ连接的方法，通过阻断与MSN服务器的连接，来达到用户要求。
以下列举了在试验中找到的服务器IP：

64.4.12.200/201
65.54.194.117
207.46.68.23
207.46.104.20
207.46.107.14/125
207.46.110.27/28/254

经查询，这些服务器IP都是北美地区的。
同样，如微软添加新的MSN服务器或者用户使用代理，还是可以登录MSN。
阻断联众的连接
阻断联众的连接相对来说就比较容易啦。在客户端连接服务器时，首先会与服务器的2000端口建立连接（61.55.138.219：2000）。在连接建立后，会用到服务器的1007、2001、2002、3015端口。
在试验中，只阻断了2000端口的数据包，客户端就已经无法连接服务器了。

在此次个人防火墙软件专题中，我们为您介绍了当前流行的个人防火墙软件，基本上这些防火墙软件都能够提供不错的安全防御功能，它们之间的差别只在于所使用的技术和所提供的功能不同。网络安全问题变化莫测，构建一个安全的网络系统，防火墙是必不可少的，但防火墙并非万无一失的，首先，作为互联网通讯基础的TCP/IP协议，就存在着难以完全根除的安全缺陷，在最初设计时就缺乏对安全的考虑，导致其存在一系列安全缺陷，诸如缺乏加密认证机制、TCP序列号易被猜测、定时器以及连接建立过程中存在大量问题等。

除了无法消除TCP/IP协议的致命弱点以外，数据延迟也是防火墙面临的一个难题。防火墙采用的滤波技术使网络的性能降低，过于简单的检测将无法起到安全防御作用，而过于复杂的话，延迟问题又将使网络系统无法支持实时服务请求。此外，您还需要考虑互联网的便利性，过于苛刻的防火墙安全设置可以提供更好的安全性，但不可避免地会影响系统的便利性，在两者之间取得平衡并不是一件简单的事情。配置防火墙可以解决大多数的网络安全问题，但并不能作到一劳永逸。

个人防火墙的使用
要使用好个人防火墙，除了挑选一款合适的软件以外，用户通常还需要具备一定的网络知识，对有关TCP/IP协议的基础知识要有一定了解，这样才能正确地设置安全规则。如果您不具备这样的条件，那么选择一款智能化程度较高的个人防火墙软件，可以减少不少麻烦。在使用程序控制、通讯控制以及特洛伊木马和入侵检测功能时，应避免频繁地设置安全规则与处理安全警报。因此，您应该选择一款易用性较高的个人防火墙软件，例如提供设置向导，帮助和提示信息友好，软件提示的安全警告容易读懂等。
Norton Internet Security 2003
Norton Internet Security是此次专题中表现比较突出的一款产品，下面为您介绍一下Norton Internet Security的使用方法。
安装
Norton Internet Security 安装步骤非常简单，软件使用微软的安装程序Microsoft Installer进行安装，需要用户干涉的有以下几步：

1. 选择是否安装Norton Antivirus病毒防护软件；
2. 选择是否需要安装“父母控制”功能；
3. 选择是否需要选择特定的路径安装该软件；
4. 选择是否需要在安装完成后马上更新软件。
另外，在安装完成时安装程序将自动弹出一对话框要求用户注册，您可以按自己的实际情况进行选择。
运行
安装完成并重新启动电脑后，“安全设置助手”将自动运行。安全设置助手分为五个类别：家庭网络、程序扫描、隐私控制、密码保护、父母控制，各项功能都可以按照向导的提示逐一进行设置。如果您在局域网环境中使用，可以在“安全设置助手”的“家庭网络”选项中，单击“设置家庭网络”按钮，然后按照“家庭网络向导”的提示设置局域网信息，使局域网内部的通讯不需要受到防火墙的限制。另外，对于初涉网络的用户，建议在“程序扫描”设置向导中单击“自动扫描程序”，让防火墙自动搜索硬盘上的应用程序。扫描完成后，Norton Internet Security会列出所有可以自动配置防火墙的应用程序，您只需选中准备允许其访问互联网的应用程序名称前的复选框，然后单击“完成”按钮，防火墙就会自动为这些程序设置防火墙规则。

在“安全设置助手”向导设置完毕后，防火墙将开始运行，除了在系统状态栏显示一个Norton Internet Security的地球图标以外，还会在屏幕的一侧显示一个半球形的“警报跟踪器”。当Norton Internet Security检测到需要报告的事件时，“警报跟踪器”会自动弹出并显示相应的提示信息。另外，“警报跟踪器”上还有一个“广告垃圾箱”，如果您启用了“禁止广告”功能，在浏览网站时，可以将准备禁止的广告用鼠标拖到“广告垃圾箱”中，防火墙就会自动为您设置相应的过滤规则。

双击系统状态栏上Norton Internet Security的地球图标，可以打开软件的主界面，其首页显示着当前防火墙各项功能的状态。单击功能的名称，该软件将显示一个打开或者关闭该项功能的按钮，以及另外一个对该功能进行配置的按钮。主界面的上方是一个“禁止通信”按钮，它可以截断所有网络通信，对于开机即在线的宽带网用户来说，该功能在发生突发事件时会非常有帮助。“禁止通信”按钮旁边是“Live Update”按钮，Norton Internet Security会定时自动更新，但您也可以使用“Live Update”按钮手工在线更新软件以及安全数据库。
响应警报
Norton Internet Security在检测到多种事件时将发出警报，下面为您介绍有关安全事件警报的处理方法。首先，当应用程序初次尝试访问网络时，防火墙将会发出警报，该警报的处理方法非常简单，您只需要简单地从下拉菜单上选择“允许”、“禁止”即可实现控制。如果您了解该程序的安全性，可以选择下方的“总是使用该操作”复选框，让防火墙对该程序访问互联网的请求执行相同的操作。另外，您也可以选择“创建防火墙规则”，按照向导的提示设置程序使用网络通信的权限，例如程序是否影响系统接受来自外部的连接请求，允许通信的网络地址、网络协议、端口等等。如果防火墙能够识别该应用程序，下拉菜单中将比平常多出一项“自动配置防火墙规则”选项，只需要选择它并单击“确认”，即可为该应用程序创建防火墙规则。

如果您不清楚该应用程序是否安全，可以单击“警报助手”的链接查看详细信息。警报助手中包括警报类型、威胁级别、触发此警报的通信、警报类型的含义、如何减少收到的警报数目等信息。您可以根据事件的情况自行判断，或是根据防火墙的判断和建议选择处理的方法。

多数与网络通信有关的安全警报都会触发“自动禁止”功能，它将自动禁止触发警报的网络主机地址在30分钟内与您的电脑建立任何连接，这样可防止别人试用各种方式反复进行攻击。 在Norton Internet Security 的主界面上，单击“警报信息”即可查看和管理被禁止连接的网络IP地址，单击“攻击者详情”按钮，可以查看被禁止的IP地址的进一步信息，这样有助于用户识别攻击源。