On peut aussi bloquer les ports en sortie, mais l'expérience montre qu'il faut en réouvrir un nombre non négligeable, ne serais-ce que pour ne pas bloquer les connexions par ftp.