看了一些精华的文章，然后按照上面提供的思路和数据，做了一个脚本来封指定用户的QQ,可是封不住，不知道为什么？没有采取其他手段来使用QQ,用我自己的机子做的试验

首先，用下面一条命令，使所有用户拥有上网的所有功能
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE

然后用下面一段脚本来封指定用户的QQ功能(比如我的192.168.0.2)
#!/bin/sh
#封QQ,用法:qq.sh 被封用户IP地址

for usr_ip in $*     #循环多个需封的用户IP
do
  #首先封QQ服务器端口
  port="8080 1080 8000"
  for i in $port
  do 
    /sbin/iptables -A FORWARD -s $usr_ip -p udp --dport $i -j DROP
    /sbin/iptables -A FORWARD -s $usr_ip -p tcp --dport $i -j DROP
  done
  #其次封QQ域名
  domain="tcpconn.tencent tcpconn2.tencent tcpconn3.tencent tcpconn4.tencent  http.tencent  http2.tencent"
  for i in $domain
  do 
    /sbin/iptables -A FORWARD -s $usr_ip  -d ${i}.com -j DROP
  done
  #最后封QQ服务器IP地址
  qq_server_ip="61.144.238.146 61.144.238.156 61.144.238.150 202.104.129.251 202.104.129.254 202.104.129.252 202.104.129.253 61.141.194.203 202.96.170.166 218.18.95.221 219.133.45.15 61.141.194.200 61.141.194.224 202.96.170.164 202.96.170.163 219.133.40.216 218.18.95.209 61.141.194.227 218.18.95.171 218.18.95.221 219.133.38.31 218.18.95.165 202.96.170.188 202.104.129.246 61.144.238.137 202.96.170.175 202.103.190.61 202.103.149.40 218.18.95.140 218.18.95.153 61.135.131.240 216.239.33.99 218.17.209.23 202.104.129.251 202.104.129.251" 
  for i in $qq_server_ip
  do 
    /sbin/iptables -A FORWARD -s $usr_ip -d $i  -j DROP
  done
done

执行 ./qq.sh 192.168.0.2      没有出现错误提示

在192.168.0.2 的机子上登陆QQ,居然能够登陆

大家帮我看看是哪里出了问题

4000

呵呵，终于到我可以说两句的时候了，呵呵，我是学信息安全的。在封QQ这方面知道一点。现丑了啊！
   其实，不管大侠你怎么去封端口，呵呵，你不可能把80端口也封掉吧？！（那样也不需要再上网什么的了！呵呵）QQ用代理服务器（http）就可以畅通无阻地用80端口上网的啦！
   或许你会说，我用软件把从QQ服务器来的包全封掉（管他是不是80的端口的包）！呵呵，没有用的。我是说，在网上有很多代理服务器的。外加“肉鸡”。。。呵呵。不讲了！自己想吧。。。
   如果你管的那些人技术不是很高的话，我建议你去找一个可以分析包的防火墙什么的，设定一些关键字，如“QQ好友”“www.qq.com”之类，一旦搜索到这些包，就直接扔掉！当然，就是这种方法也不是最保险的（我不是说了？在默认上机的人是菜鸟的情况下）。如果你真的遇到高手，呵呵。。。只有拔网线一招了！

望高手提点！

QQ 功能 增强了 如果 udp 8000 被封 
会自动转成 tcp 80
如果依然不成 转成 tcp 443
你都封了就好了

这就是QQ
黑的地方
不让上QQ 索性 html 也不让上 让老板两难
:(

你最好 把 QQ 的 数个 服务器 IP地址封掉

这就是QQ
黑的地方
不让上QQ 索性 html 也不让上 让老板两难

~~~~
老马疯了~

你把QQ目录下的
Config.db
中的IP都封掉

可以理解

我也期待能封住，可我咨询了一位CCIE工程师，他说完全封住是不可能的，我心都凉了！

【QQ  版本】Build 12.71.8039
【QQ  号码】24214185
【操作系统】Microsoft Windows 2000 Service Pack 4 [Build 5.0.2195]

【网络设置】局域网内使用透明代理
【登录过程】
---------------------------------------------------------------------------
开始登录......时间[2005-01-13 17:21:38]
初始化登录服务器列表，上次的登录方式为【TCP登录方式】
尝试TCP方式登录,尝试连接TCP服务器IP【218.18.95.165】,端口【80】
连接TCP登录服务器失败,服务器IP【218.18.95.165】,端口【80】
尝试TCP方式登录,尝试连接TCP服务器IP【218.18.95.165】,端口【443】
连接TCP登录服务器失败,服务器IP【218.18.95.165】,端口【443】
尝试TCP方式登录,准备连接TCP服务器IP【tcpconn.tencent.com】,端口【80】,先进行域名解析
TCP登录服务器【tcpconn.tencent.com】域名解析成功,解析为【218.17.209.23】,准备连接该服务器
连接TCP登录服务器失败,服务器IP【tcpconn.tencent.com】,端口【80】
尝试TCP方式登录,准备连接TCP服务器IP【tcpconn.tencent.com】,端口【443】,先进行域名解析
TCP登录服务器【tcpconn.tencent.com】域名解析成功,解析为【218.17.209.23】,准备连接该服务器
连接TCP登录服务器失败,服务器IP【tcpconn.tencent.com】,端口【443】
尝试TCP方式登录,准备连接TCP服务器IP【tcpconn2.tencent.com】,端口【80】,先进行域名解析
TCP登录服务器【tcpconn2.tencent.com】域名解析成功,解析为【219.133.38.230】,准备连接该服务器
连接TCP登录服务器失败,服务器IP【tcpconn2.tencent.com】,端口【80】
尝试TCP方式登录,准备连接TCP服务器IP【tcpconn2.tencent.com】,端口【443】,先进行域名解析
TCP登录服务器【tcpconn2.tencent.com】域名解析成功,解析为【219.133.38.230】,准备连接该服务器
连接TCP登录服务器失败,服务器IP【tcpconn2.tencent.com】,端口【443】
TCP登录服务器全部尝试失败
尝试UDP方式登录,先创建UDP网络组件
创建UDP网络组件成功，本地IP【192.168.5.39】,端口【4001】，准备连接登录服务器
尝试连接UDP服务器IP【202.104.129.254】,端口【8000】......
连接UDP服务器成功，服务器IP【202.104.129.254】,端口【8000】
确定登录UDP服务器IP【202.104.129.254】,端口【8000】
向登录服务器发送登录第一步骤数据
登录第一步骤超时
尝试UDP方式登录,先创建UDP网络组件
创建UDP网络组件成功，本地IP【192.168.5.39】,端口【4002】，准备连接登录服务器
尝试连接UDP服务器IP【61.144.238.145】,端口【8000】......
连接UDP服务器成功，服务器IP【61.144.238.145】,端口【8000】
确定登录UDP服务器IP【61.144.238.145】,端口【8000】
向登录服务器发送登录第一步骤数据
登录第一步骤超时
尝试UDP方式登录,先创建UDP网络组件
创建UDP网络组件成功，本地IP【192.168.5.39】,端口【4001】，准备连接登录服务器
尝试连接UDP服务器IP【61.141.194.203】,端口【8000】......
尝试连接UDP登录服务器超时,转尝试连接下一组服务器
UDP登录服务器全部尝试连接失败,尝试下一种登录方式
最终登录失败,时间:2005-01-13 17:22:27

其实是用一些手段是可以封住的，但是涉及公司机密，不便透露，上面的记录就是在采用某些手段的情况下QQ的记录

关注ing

什么一些手段啊呵呵不就是把网线给拔了么？？？？！

iptables当然有顺序，FreeBSD下面的ipfirewall，Linux下的ipchains都有顺序，只要一个packet符合从上往下匹配的任意一条规则，这个包就会被按照这条规则处理掉了，这样的话它根本就到不了下一个规则处理的地方。

你第一条开的是允许所有的包通过，就这一条已经让QQ的包出去了，后面的规则根本就不会被匹配到！你应该把所有的阻止规则全都放到前面去（特别是你要封堵QQ的规则），把允许的规则放在最后才能让防火墙真正的起作用！

什么一些手段啊呵呵不就是把网线给拔了么？？？？！
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 当然不是行政手段，是技术手段，而且不是网关，第三方的角度

不是网关也不是本机， 是在第三方的机器上通过某些手段封qq

我们应该是第一家实现成功封堵qq的
：） 自己吹一下~~

……透明代理……晕，还不是类似于防火墙一样的东西？只不过iptables是基于包过滤，透明代理可以解析数据包内容而已……

国人的智慧都用在这里了。。。值得关注。

关注ing...

其实得解析到高层的协议才可以的，否则没有办法判断是否是qq的数据包