MSN、QQ 雖是溝通利器，但對不依賴即時通訊的企業卻是干擾生產力的「洪水猛獸」。單純封鎖通訊埠無效，因員工可利用 HTTP 代理繞過限制。ISA Server 2004 的「深度防護」與「簽名」功能可精準識別並過濾 IM 流量。

封鎖原理

ISA Server 2004 能檢查 HTTP 應用層資料內容，偵測封包中特定 IM 關鍵字（MSN: MSMSGS、QQ: tencent.com），命中即丟棄封包，達到禁用 HTTP 代理目的。

操作步驟

1. 取得 IM 關鍵字（可透過 Sniffer Pro 等協定分析工具擷取封包分析獲得）。
2. 啟用 ISA 簽名功能。
3. 配置封鎖規則並套用。

1. 封鎖 MSN Messenger

ISA 管理主控台 → 右鍵「允許使用者存取外部網路」規則 →「設定 HTTP」→「簽名」索引標籤 →「新增」：

• 名稱：MSN Messenger
• 搜尋範圍：要求標頭
• HTTP 標頭：User-Agent:
• 簽名：MSMSGS

2. 封鎖 QQ

同樣在「簽名」頁新增：

• 名稱：QQ
• 搜尋範圍：要求 URL
• 簽名：tencent.com

3. 其他 IM 工具

同理，只需取得其特徵關鍵字，於簽名功能對應配置即可。

完成後於防火牆原則視窗選中規則點擊「套用」，即生效徹底封鎖 MSN/QQ 等聊天工具的 HTTP 代理通道。

小知識：IM 代理突破原理

幾乎所有 IM 工具皆支援 HTTP 代理：將 IM 封包封裝為 HTTP 封包傳輸，利用企業不可封鎖 HTTP 協定的特性穿透防火牆。ISA 深度檢查應用層負載，打破此偽裝機制。