企業網管常需封鎖即時通訊軟體 (QQ、MSN) 以確保頻寬與資安。本文提供三種層次的封鎖方案：防火牆 IP 黑名單、防火牆簽名辨識、網域群組原則軟體限制。

前提條件

用戶端需安裝防火牆用戶端 (如 ISA Server Firewall Client) 並以代理方式上網，策略才能依使用者身分生效。

方法一：防火牆 IP 黑名單 (針對 MSN 伺服器)

1. 建立「電腦集合」：命名為「MSN_Servers」，類型選「目的地集合」，將已知 MSN 登入/伺服器 IP 逐一加入 (文中列出 60 餘個 IP，如 202.104.128.233, 219.133.38.133, 61.141.194.200 等)。
2. 新增「存取規則」：動作選「拒絕」；協定選「所有輸出協定」；來源選「內部」；使用者選「所有使用者」；目的地選上述「MSN_Servers」集合。
3. 將此拒絕規則優先順序置於「允許上網」規則之前。

缺點：IP 清單需持續維護，微軟伺服器 IP 常變動，封鎖不徹底。

方法二：防火牆應用層簽名過濾 (較精準)

1. 在 ISA Server 管理主控台 →「原則元素」→「應用程式篩選器」中，啟用/設定「MSN Messenger 篩選器」與「QQ 篩選器」(需支援)。
2. 或使用「HTTP 簽名」功能：抓取 QQ/MSN 登入封包特徵碼 (可至微軟官網或用 Wireshark 抓包取得)，建立「HTTP 簽名」規則封鎖含特徵碼的封包。

方法三：網域群組原則 - 軟體限制原則 (最徹底)

1. 開啟 gpedit.msc (或網域 GPO) →「電腦設定」→「Windows 設定」→「安全性設定」→「軟體限制原則」。
2. 右鍵「其他規則」→「新增雜湊規則」/「新增路徑規則」/「新增網路區域規則」。
3. 針對 QQ/MSN 執行檔 (QQ.exe, msnmsgr.exe 等) 建立「不允許」的雜湊或路徑規則。雜湊規則不受檔名/路徑變更影響，較可靠。
4. 同樣可限制 cmd.exe, regedit.exe 等系統工具，防止使用者繞過限制。

綜合建議

• 「IP 黑名單」適合快速應急，維護成本高。
• 「應用層簽名」較精準，需防火牆支援且特徵庫需更新。
• 「軟體限制原則」部署後自動下發至所有網域電腦，不依賴網路拓撲，效果最徹底，建議作為主力方案，搭配防火牆雙重保險。

三種方法配合使用，基本能滿足一般企業限制 IM 軟體的需求。