MSN和QQ，交流溝通的好工具，拉近了人們的距離。然而，對于很多業務繁忙同時又不太依賴即時交流工具的公司來說，它們可是洪水猛獸，會嚴重影響員工的正常工作、公司的正常運轉。

　　針對以上情況，很多網管會采用措施禁用MSN、QQ等即時通信工具。但簡單的禁用并不能解決問題，由于網絡辦公的需要，網管并不能禁用HTTP協議，因此很多不自覺的員工就利用HTTP代理偷偷使用MSN和QQ。這還了得?豈不是在挑戰網管的權威?封堵即時通信工具的代理勢在必行。

　　封堵原理

　　因為網管必須保證員工能正常上網辦公，所以不可能禁用HTTP協議，這也是禁止即時通信工具MSN和QQ使用HTTP代理的難點。如何解決這個難題呢?恰好現在很多企業級網絡防火墻都新增了“深度防護”的概念，如ISA Server2004，它不但可以對通信中的網絡數據包進行檢驗，而且還可以檢查數據包應用層中的內容，能對HTTP應用層數據進行過濾和檢測。

　　ISA Server 2004一旦發現HTTP應用層數據中包含MSN和QQ的關鍵字信息，就可將該數據包丟棄，以此就能達到禁用MSN和QQ等即時通信工具使用HTTP代理的目的。

　　解決辦法

　　要想阻止MSN和QQ使用HTTP代理，最有效、最簡單的辦法就是過濾掉網絡通信中的IM數據包，這種過濾措施是通過識別IM數據包中所包含的IM關鍵字來實現的，利用ISA Server 2004防火墻提供的“簽名”功能很容易做到。

　　網絡環境:由ISA Server 2004服務器統一管理的網絡

　　封堵工具:ISA Server 2004防火墻

　　提示:ISA防火墻提供了很強大的網絡監控和管理功能，如深度防護和過濾功能，利用這些功能可禁止MSN和QQ使用HTTP代理。當然要知道MSN和QQ數據包中所包含的特征關鍵字才行。

　　封堵步驟:獲得MSN和QQ的關鍵字;啟用ISA簽名功能;啟動“封堵”功能。

　　掌握“關鍵字”

　　做好以上準備工作后，就可以開始進行“封堵”的設置了，在找到MSN和QQ數據包中的關鍵字后，配置一下ISA防火墻即可完成設置工作。

　　因為ISA防火墻就是利用MSN和QQ數據包所包含的特征關鍵字，來過濾掉HTTP數據包中所包含的IM數據包，實現禁用HTTP代理的目的，因此必須首先找出MSN和QQ數據包中的關鍵字。

　　ISA Server 2004 提供的“簽名”功能作用在HTTP應用層中，是利用即時通信軟件數據包中的“關鍵字”進行過濾操作的。如MSN發送的數據包中包含的關鍵字是“MSMSGS”，而QQ數據包使用的關鍵字是“tencent.com”，掌握了這些信息后，就容易利用“簽名”功能封堵HTTP代理。

　　提示:在網上很容易查找到MSN、QQ數據包中的“關鍵字”資料，那別人是如何獲得的呢?這個比較復雜，需要利用工具Sniffer對這些IM數據包進行監控和分析，如利用NAI公司推出的協議分析工具“Sniffer PRo”，由于操作比較麻煩，就不詳細介紹了。

　　開始“封口”

　　掌握了聊天工具使用HTTP代理傳出的數據包中的關鍵字后，我們就可順藤摸瓜，利用這些“關鍵字”封住它們的“口”。

　　ISA防火墻就是利用內置的“簽名”功能，來禁止MSN和QQ使用HTTP代理，因此必須要合理配置“簽名”功能才行。

　　在ISA Server 2004服務器的控制臺窗口中，右鍵單擊“允許用戶訪問外部網絡”規則，在彈出菜單中選擇“配置HTTP”選項。接著在“為規則配置HTTP策略”對話框中，切換到“簽名”標簽頁(圖1)，現在就可以利用簽名功能，禁用HTTP代理。

圖 1

　　提示:安裝ISA Server 2004網絡防火墻后，默認是不允許任何用戶訪問外部網絡的，因此要創建一條訪問規則，允許內網中的員工可以訪問互聯網，這條規則就是剛才所提到的“允許用戶訪問外部網絡”規則。

　　1.禁用MSN

　　禁止MSN使用HTTP代理，只要過濾掉包含有關鍵字“MSMSGS”的數據包即可。

　　在“簽名”標簽頁中，點擊“添加”按鈕，彈出簽名配置對話框(圖2)，在“名稱”欄中輸入“MSN Messenger”，然后在“查找范圍”下拉列表框中選擇“請求頭”選項，在“HTTP頭”欄中輸入“User-Agent:”，然后還要在“簽名”欄中輸入“MSMSGS”，最后連續兩次點擊“確定”按鈕即可完成設置。

圖 2

　　2.禁用QQ

　　和禁止MSN使用HTTP代理一樣，禁止QQ使用HTTP代理，只要過濾掉包含有關鍵字“tencent.com”的數據包即可。

　　在“簽名”標簽頁中點擊“添加”按鈕，彈出簽名配置對話框(圖3)，在“名稱”欄中輸入“QQ”，然后在“查找范圍”下拉列表框中選擇“請求URL”，接著在“簽名”欄中輸入“tencent.com”，最后兩次點擊“確定”按鈕完成設置。

　　3.禁用其他聊天軟件

　　禁止其他IM工具使用HTTP代理的方法也是相同的，只要知道該IM數據包中所包含的特征關鍵字，然后在ISA防火墻的“簽名”功能中進行相應配置即可。

　　最后在ISA Server 2004防火墻策略窗口中選中“允許用戶訪問外部網絡”規則，點擊上方的“應用”按鈕，使以上的簽名配置生效，這樣就可徹底禁止MSN、QQ等聊天工具使用HTTP代理。

　　總結:禁止MSN和QQ使用HTTP代理的原理非常簡單，關鍵就是要知道IM數據包中的特征關鍵字，然后配置ISA防火墻的簽名功能進行相應的過濾即可。

　　小知識：“代理”為聊天軟件服務的原理

　　雖然不同的IM工具使用的通信協議也各不相同，但幾乎所有的IM工具都支持HTTP代理功能，這是因為一旦網管將IM工具封殺，就無法登錄，這時就可以利用HTTP代理，將IM工具的數據包轉換成HTTP數據包，來突破防火墻的限制，畢竟大多數局域網是不會封殺HTTP協議的。