А нафига вообще асю банить?
Народ иногда не только лясы точит, но и дела делает
в частности, это касается программистов...
И как сказал один человек - видно - на месте человек или нет:-))))
Человек - начальник (не мой)

Я это делал так:
ставил поверх IPtable  L7filter -  он отфильтровывает то что надо по сигнатурам в начале  пакетов 

 плюс запрет на HTTPS (имхо выловить сигнатуру в шифрованом пакете нельзя) 

 плюс в проксе добавлял банящий список на анонимные и публичные прокси скоторый брал urlfilter.org  
Последний автоматически вмонтирован и обновляется в Endian-FW, IPcopFW. 
  Главное, что  L7filter работает без привязок к портам и даже душит асю с go.icq.com без запрета доступа к самому сайту, хотя забанить AOL  по IP b доменным именам не будет лишним - еще ограничаться возможности пегистрации-смены паролей и пр.