摘要]腾讯QQ在实验室对教学形成了较大的冲击，学生耽于聊天而荒废了学业。本文从分析QQ的工作方式入手，探讨禁用QQ的思路，在此基础上提出利用Windows 2000服务器版自带的“IP安全策略”（即Ipsec）来禁用QQ的方法，在不安装任何新的软件的情况下，较好地解决了网络环境教学过程中这个使教师倍感头痛的问题。
[关键词]禁用QQ IP安全策略 Ipsec
禁用QQ，不是与腾讯公司过不去，实在是万不得已。作为一款优秀的即时通讯软件，QQ为我们的生活平添了许多方便，增添了许多乐趣，语音、视频QQ更是使学生乐此不疲，许多学生耽于其中不能自拔，尤其是实验室中许多学生养成了一边上QQ聊天，一边听老师讲课的恶习，甚至把聊天当成了主要任务，聊天之余再去做老师布置的内容甚至不做，老师没有办法只好在实验室关掉网络，但许多实验课需要在网上查找资料甚至完全在网上进行实验，如笔者所授《网络营销》课程就完全是以互联网作为实验对象和实验手段，关闭网络实验就无法进行，因此急需探寻一种既不影响正常网络操作又能屏蔽掉QQ使用的方法。
在网上搜索很久，得到了许多与禁用QQ相关的资料，但试用之后往往难以奏效，只好自己想办法解决。经过笔者近半年的摸索，总算较好地解决了这个问题。
一、 腾讯QQ的工作方式
1、 查看QQ登录方式的方法
以QQ2005betaII为例（以下同）。
打开QQ面板，点左下角“菜单”→“个人设置”→“系统设置”→“登录设置”，就可查看到当前QQ的登录方式和所登录的服务器。
2、 QQ的工作方式
主要有四种：
① UDP方式
这是最普遍的一种方式，客户端使用4000端口，服务端采用8000端口
② 会员VIP服务器登录方式
这是连通性最强的一种方式，可以通过大部分防火墙的限制，服务端使用443端口
③ TCP方式
禁用QQ时碰到的最麻烦的一种方式，使用TCP的80端口，而网页浏览也是使用80端口，总不成为了禁用QQ连网页浏览也禁用了吧
④ 代理
包括HTT代理与Socks5多种，关于使用代理突破网络封锁的方式，连网警都无能为力，我们同样也没有办法。不过如果我们的学生能自己找到利用代理破解QQ禁用的方法，对这样的学生我们还是应该予以鼓励吧（苦笑ing~~~）。
二、 QQ禁用思路
1、 UDP端口的禁用
① 关闭发向服务端口8000的向外请求
② 关闭来到本地4000端口的向内请求
2、 会员VIP登录的禁用
关闭向服务器端口443的请求，协议方式为TCP
3、 TCP方式的禁用
普通用户使用TCP登录时一般采用80端口，80端口同样也是网页浏览的端口，当然不能禁。首先我针对QQ的每一个服务器IP地址予以封锁，但太繁琐，效果也不是很好，因为QQ有二十多台服务器，并且还在不断增加中，之后我发现QQ服务器IP地址集中在三个C类网段上，分别为 218．18．95．0、219．133．49．0和219．133．38．0，针对这三个网段禁止本地机器与它们来往的通讯，那就简单得多，同时据我观测，新增的QQ服务器都是这三个网段中的地址，所以即使QQ新增了服务器，禁用QQ也是可行的。
4、 关于QQ代理的禁用
如果使用本地代理的话，那好说，只要在本地代理服务器上使用以上三种方法即可使所有通过本地代理连网的客户端实现对QQ的禁用，问题是我们现在使用的均是网关型的透明代理，这就没有办法了。
三、 禁用QQ实战
实验机房均通过Internet连接共享的方式共享上网，均为透明网关型代理，一般没有安装代理软件，采用系统一般为Windows 2000的高级服务器版，故在实际操作中选用Windows 2000中自带的“本地安全策略”工具来实现QQ禁用，这样不要另外安装任何新的软件。如果代理服务器采用Windows 98 加代理软件的话，可根据QQ禁用思路予以设置，同样比较简单。
1、 打开“本地安全策略”
在开始菜单中，选“程序”→“管理工具”→“本地安全策略”，在界面左边右击“IP安全策略”，选“创建IP安全策略”即可打开IP安全策略向导，点“下一步”将此条Ipsec取一个好记的名字，如禁用QQ。然后一路默认至出现一个警告窗口，不理它，选“是”进入下一步，点“完成”即可进入“禁用QQ属性”窗口。
在“禁用QQ属性窗口”中，点“添加”至下一步，一路默认至出现警告窗口，同样不理它，选“是”即可打开“安全规则向导”窗口。
在“安全规则向导”窗口中，点“添加”，在出现的界面中给“IP筛选器列表”取个名字如“禁用QQ”，再在此界面去掉对“使用添加向导”的选择，然后点“添加”即可打开“筛选器属性”配置界面。
具体配置参数见下表：
通讯协议 源端口 目标端口 源 地 址 目标地址
UDP 任何 8000 我的IP地址 任何IP地址
UDP 任何 4000 任何IP地址 我的IP地址
任何 任何 任何 我的IP地址 218．18．95．0
任何 任何 任何 218．18．95．0 我的IP地址
任何 任何 任何 我的IP地址 219．133．49．0
任何 任何 任何 219．133．49．0 我的IP地址
任何 任何 任何 我的IP地址 219．133．38．0
任何 任何 任何 219．133．38．0 我的IP地址
TCP 任何 443 我的IP地址 任何IP地址
全部参数配置完成之后，回到“安全规则向导”，选中“禁用QQ”，点“下一步”，在出现的界面中去掉对“使用添加向导”的选择，点“添加”，给筛选器操作取个名字如“QQ筛选器“，一路默认到“筛选器操作”，选中“阻止”，一路回车回到“筛选器操作”界面，选中新建的“QQ筛选器”，点“下一步”至“完成”。
2、 IP安全策略（Ipsec）的导入与导出
在每台服务器进行Ipsec的配置太过麻烦，此时我们可将在一台服务器上所作的配置通过Ipsec的导出功能保存成一个文件，传到FTP服务器上，另一台服务器上也想禁用QQ的话，可从FTP服务器上将这个配置文件下载到本地机器，使用Ipsec的导入功能来实现，而不需要重新配置。具体做法如下：
在“本地安全策略”中，右击“IP安全策略”→“所有任务”→“导出策略”，即可将已配好的策略保存成文件，如果选择“导入策略”即可完成导入。
3、Ipsec的指派
在默认情况下，所导入的策略并未发生作用。此时应在“Ip安全策略”上单击，在右边找到“禁用QQ”项右击，在出现的右键菜单中选“指派”即可。
[关键词]禁用QQ IP安全策略 Ipsec
禁用QQ，不是与腾讯公司过不去，实在是万不得已。作为一款优秀的即时通讯软件，QQ为我们的生活平添了许多方便，增添了许多乐趣，语音、视频QQ更是使学生乐此不疲，许多学生耽于其中不能自拔，尤其是实验室中许多学生养成了一边上QQ聊天，一边听老师讲课的恶习，甚至把聊天当成了主要任务，聊天之余再去做老师布置的内容甚至不做，老师没有办法只好在实验室关掉网络，但许多实验课需要在网上查找资料甚至完全在网上进行实验，如笔者所授《网络营销》课程就完全是以互联网作为实验对象和实验手段，关闭网络实验就无法进行，因此急需探寻一种既不影响正常网络操作又能屏蔽掉QQ使用的方法。
在网上搜索很久，得到了许多与禁用QQ相关的资料，但试用之后往往难以奏效，只好自己想办法解决。经过笔者近半年的摸索，总算较好地解决了这个问题。
一、 腾讯QQ的工作方式
1、 查看QQ登录方式的方法
以QQ2005betaII为例（以下同）。
打开QQ面板，点左下角“菜单”→“个人设置”→“系统设置”→“登录设置”，就可查看到当前QQ的登录方式和所登录的服务器。
2、 QQ的工作方式
主要有四种：
① UDP方式
这是最普遍的一种方式，客户端使用4000端口，服务端采用8000端口
② 会员VIP服务器登录方式
这是连通性最强的一种方式，可以通过大部分防火墙的限制，服务端使用443端口
③ TCP方式
禁用QQ时碰到的最麻烦的一种方式，使用TCP的80端口，而网页浏览也是使用80端口，总不成为了禁用QQ连网页浏览也禁用了吧
④ 代理
包括HTT代理与Socks5多种，关于使用代理突破网络封锁的方式，连网警都无能为力，我们同样也没有办法。不过如果我们的学生能自己找到利用代理破解QQ禁用的方法，对这样的学生我们还是应该予以鼓励吧（苦笑ing~~~）。
二、 QQ禁用思路
1、 UDP端口的禁用
① 关闭发向服务端口8000的向外请求
② 关闭来到本地4000端口的向内请求
2、 会员VIP登录的禁用
关闭向服务器端口443的请求，协议方式为TCP
3、 TCP方式的禁用
普通用户使用TCP登录时一般采用80端口，80端口同样也是网页浏览的端口，当然不能禁。首先我针对QQ的每一个服务器IP地址予以封锁，但太繁琐，效果也不是很好，因为QQ有二十多台服务器，并且还在不断增加中，之后我发现QQ服务器IP地址集中在三个C类网段上，分别为 218．18．95．0、219．133．49．0和219．133．38．0，针对这三个网段禁止本地机器与它们来往的通讯，那就简单得多，同时据我观测，新增的QQ服务器都是这三个网段中的地址，所以即使QQ新增了服务器，禁用QQ也是可行的。
4、 关于QQ代理的禁用
如果使用本地代理的话，那好说，只要在本地代理服务器上使用以上三种方法即可使所有通过本地代理连网的客户端实现对QQ的禁用，问题是我们现在使用的均是网关型的透明代理，这就没有办法了。
三、 禁用QQ实战
实验机房均通过Internet连接共享的方式共享上网，均为透明网关型代理，一般没有安装代理软件，采用系统一般为Windows 2000的高级服务器版，故在实际操作中选用Windows 2000中自带的“本地安全策略”工具来实现QQ禁用，这样不要另外安装任何新的软件。如果代理服务器采用Windows 98 加代理软件的话，可根据QQ禁用思路予以设置，同样比较简单。
1、 打开“本地安全策略”
在开始菜单中，选“程序”→“管理工具”→“本地安全策略”，在界面左边右击“IP安全策略”，选“创建IP安全策略”即可打开IP安全策略向导，点“下一步”将此条Ipsec取一个好记的名字，如禁用QQ。然后一路默认至出现一个警告窗口，不理它，选“是”进入下一步，点“完成”即可进入“禁用QQ属性”窗口。
在“禁用QQ属性窗口”中，点“添加”至下一步，一路默认至出现警告窗口，同样不理它，选“是”即可打开“安全规则向导”窗口。
在“安全规则向导”窗口中，点“添加”，在出现的界面中给“IP筛选器列表”取个名字如“禁用QQ”，再在此界面去掉对“使用添加向导”的选择，然后点“添加”即可打开“筛选器属性”配置界面。
具体配置参数见下表：
通讯协议 源端口 目标端口 源 地 址 目标地址
UDP 任何 8000 我的IP地址 任何IP地址
UDP 任何 4000 任何IP地址 我的IP地址
任何 任何 任何 我的IP地址 218．18．95．0
任何 任何 任何 218．18．95．0 我的IP地址
任何 任何 任何 我的IP地址 219．133．49．0
任何 任何 任何 219．133．49．0 我的IP地址
任何 任何 任何 我的IP地址 219．133．38．0
任何 任何 任何 219．133．38．0 我的IP地址
TCP 任何 443 我的IP地址 任何IP地址
全部参数配置完成之后，回到“安全规则向导”，选中“禁用QQ”，点“下一步”，在出现的界面中去掉对“使用添加向导”的选择，点“添加”，给筛选器操作取个名字如“QQ筛选器“，一路默认到“筛选器操作”，选中“阻止”，一路回车回到“筛选器操作”界面，选中新建的“QQ筛选器”，点“下一步”至“完成”。
2、 IP安全策略（Ipsec）的导入与导出
在每台服务器进行Ipsec的配置太过麻烦，此时我们可将在一台服务器上所作的配置通过Ipsec的导出功能保存成一个文件，传到FTP服务器上，另一台服务器上也想禁用QQ的话，可从FTP服务器上将这个配置文件下载到本地机器，使用Ipsec的导入功能来实现，而不需要重新配置。具体做法如下：
在“本地安全策略”中，右击“IP安全策略”→“所有任务”→“导出策略”，即可将已配好的策略保存成文件，如果选择“导入策略”即可完成导入。
3、Ipsec的指派
在默认情况下，所导入的策略并未发生作用。此时应在“Ip安全策略”上单击，在右边找到“禁用QQ”项右击，在出现的右键菜单中选“指派”即可。
至此，禁用QQ的操作就全部完成了，看到屏幕上QQ的小企鹅在拼命挣扎，心中有说不出的痛快，于是世界清净了，实验室少了许多的喧闹。当然下课之后，我们又可以不指派导入的策略，此时QQ小企鹅又会欢快的笑了。
本文转自loveme2351CTO博客，原文链接：http://blog.51cto.com/loveme23/8214 ，如需转载请自行联系原作者
