如何使用SonicWALL防火墙封堵TeamViewer

前言

目前由于TeamViewer（以下简称TV）公司的服务器被攻破，导致目前所有安装了TV的用户都处在危险之中，由于服务器被破，任何有在运行TV的电脑都有被黑客控制的可能。具体内容可以参考附件。

一、使用防火墙策略封堵

前置条件：无
效果：差
配置方法如下：
使用防火墙策略（ACL）进行封堵是一种最基础的方法，具体操作如下：
1、登录防火墙，进入network→service界面，新建2个服务对象，分别是TCP的5938以及UDP的5938端口。

2、切换到service group界面，添加一个服务组TeamViewer，将刚才添加的两个端口加进去

3、进入firewall→access rules页面，选择LAN-WAN区域，新建一条防火墙策略，源地址目的地址any，服务就是刚才建立的Teamviewer服务组，动作选择为Deny。

配置完成。
该方法配置简单，且无需任何前置条件，但是效果也是最差的，这个办法只能在部分情况下封堵TV，因为新版本TV在5938端口不通的情况下会使用443端口和80端口进行通讯，而443端口和80端口作为常用端口无法全部封堵，如果要封堵势必限定源地址或者目的地址，源地址作为内网地址一般可以直接被认为是any，而目的地址因为TV有大量的服务器，并且无法全部确定，要进行封堵不太现实，即使全部知道也需要花费大量的时间去配置策略，故该方法不推荐使用，除非内网用户可以不上网，则可以在服务组中增加HTTPS（TCP 443）服务和HTTP（TCP 80）服务，封堵掉443端口和80端口。

二、使用应用程序控制封堵

前置条件：UTM授权处于激活状态
效果：好
配置方法如下：
1、建立一个匹配对象，进入firewall→match objects，使用应用程序类别建立一个TeamView的匹配对象。

2、进入firewall→App rules，新建一条应用程序控制策略，调用刚才的TeamView匹配对象,动作为Drop。

3、策略配置完成之后，检查界面上是否有黄色感叹号，如果有证明应用程序控制未启用，需要启用。

4、点击感叹号旁边的齿轮进入设置，勾选Enabled启用策略即可。如果是老版本防火墙该选项直接可见，注意勾选即可。

使用应用程序控制策略封堵TV配置简单方便，更重要此方法是是使用应用程序签名进行封堵，比起单纯封堵IP或者端口这种有可能封不完全的更加可靠，推荐使用该方法进行封堵。
下图是SonicWALL签名更新时间，可以看到最近才更新过一次TV相关的签名，故可以保证新版本的TV也可以封堵掉。

三、使用CFS实现封堵
前置条件：CFS授权处于激活状态
效果：一般
配置方法如下：
1、登陆防火墙，进入firewall→Content Filter Objects，新建一个内容过滤对象，将TV域名*.teamviewer.com，*.teamviewer.cn加进去。

2、编辑默认CFS策略，或者新建一条CFS策略，将Teamview对象配置为Forbidden URI List

3、进入Security Services /Content Filter，确保勾选Enable Content Filtering Service以及Enable HTTPS Content Filtering选项。

4、确认有CFS Policies调用到CFS Profile

另外CFS有一个排除管理员的选项，故如果遇到配置了但是不生效请尝试退出管理员再测试或者关闭该选项。

至此配置完成。
此方法主要是通过内容过滤封禁了TV相关的域名，达到阻止TV客户端连接服务器的目的，本方法需要用户有CFS授权，故通用性不是很强。效果方面来说封禁了相关域名之后基本可以阻止TV的使用。

四、使用DNS代理实现封堵

前置条件：固件版本6.5.2以上，启用防火墙DNS代理并且当前使用防火墙作为DNS服务器
效果：一般
配置方法如下：
1、检查DNS代理是否开启，如图：

2、对DNS代理进行配置，添加静态DNS解析，此处将tv的域名解析到一个错误的IP上。

3、依次添加其他域名（以下域名来自TV客户端连接log，如有不全则需要手动增加）

配置完成之后在电脑上进行测试，可以发现TV相关域名已经指向了一个错误的IP，此时TV即无法正常连接使用。

至此配置完成。
此方法类似CFS，通过让TV客户端解析到一个错误的服务器地址上来封堵TV的使用。该方法无需授权支持，只要防火墙是6.5.2版本以上均可实现，但是该方法需要将防火墙配置为内网的DNS服务器才能生效，如果防火墙不是内网DNS则此方法无效，但是同样的如果内网有自建DNS服务器，也可以在服务器上做类似配置来达到封堵效果。

总结

本文主要针对的是TV的封堵，但是不难发现，实际上本文所提及的方法可以适用于绝大多数的应用封堵，只要能找到相应的IP、域名或者签名即可进行封堵。同样，封堵TV的方法可能不仅限于本文介绍的这几种方法，但是殊途同归，不管是如何配置，最终能起到效果即可。

附件一 深圳安全中心通告

附件二 推特截图

附件三 常规断开方法说明