Muchos administradores de red por internet tienen problemas con el ultrasurf, parece ser que el modelo de administración basado en ruteo es el problema real.
Ultrasurf puede ser bloqueado e inutilizado prácticamente al usar una configuración proxy mas filtrador, sin rutear, por ejemplo squid + squidguard o dansguardian
El ultrasurf al menos en la versión 10.x que use para este articulo, nunca usa el proxy squid para salir, todo el tiempo intenta encontrar una salida ruteada por la puerta de enlace y para los que proveen el internet ruteado de forma directa es donde vienen los dolores de cabeza, aunque paradójico al mismo tiempo, si le estas dejando salir y rutearse, no tendría sentido intentar bloquear al ultrasurf salvo sea para evitar navegación anónima.
Encontré justificaciones para dejar pasar paquetes ruteados, por ejemplo el correo, es necesario que algunos usuarios puedan salir al puerto 25 o 110 para checar correo en servidores foráneos de la empresa, de esta forma necesitan ruteo, sin embargo la política más sencilla de administración es cerrar todo y solo abrir los puertos que sean necesarios. de esa forma el ultrasurf está prácticamente derrotado.
Un ejemplo de configuración de correo ruteado y web con filtado en proxy que puede frenar al ultrasurf
iptables -F
iptables -t nat -F
iptables -t filter -F
#Las lineas anteriores borran dando un FLUSH a toda regla previa, listo
para introducir las siguientes reglas
#Bloqueando cualquier puerto para todos
iptables -t filter -A FORWARD -s 192.168.0.0/16 -j DROP # Se
bloquea todo lo que no este ACCEPT
iptables -I FORWARD -p tcp –dport 110 -j
ACCEPT # Se permite llegar a POP3 en
internet
iptables -I FORWARD -p tcp –dport 2525 -j ACCEPT #
Se permite llegar al puerto 2525, algunos ISP usan este puerto por que
esta cerrado el 25 SMTP
#No tocar y no agregar nada mas hacia arriba
#Prueba de bloqueo ultra surf
#iptables -I FORWARD -m mac –mac-source 08:00:27:67:DC:DE -j ACCEPT #
Le doy permiso a mi tarjeta de RED, todo los servicios abiertos si se
descomenta la linea
iptables -t nat -A POSTROUTING -j MASQUERADE # Permite que todo
los servicios de ACCEPT salgan
Configurandolo para que salga por proxy, usando conexion directa, intenta conectar a estas ips por el puerto SSL 443
65.49.14.54:443
65.49.14.58:443
219.84.176.250:443
65.49.14.54:443
65.49.14.58:443
65.49.14.58:443
219.84.176.250:443
219.84.176.250:443
s3.amazonaws.com:443
s3.amazonaws.com:443
http://74.125.91.105/gwt/n?
http://74.125.91.103/gwt/n?
http://74.125.91.103/gwt/n?
http://gogle.com/gwt/n?
http://google.de/gwt/n?
http://www.google.com/gwt/n?
http://google.com.jm/gwt/n?
123.204.109.103:443
125.230.40.152:443
125.230.40.152:443
83.222.92.253:443
83.222.92.253:443
112.105.108.241:443
112.105.108.241:443
114.43.198.149:443
114.43.198.149:443
61.31.167.20:443
61.227.218.128:443
61.227.218.128:443
61.31.167.116:443
61.31.167.116:443
61.31.170.164:443
61.31.170.164:443
61.31.170.198:443
61.31.170.198:443
61.31.170.199:443
61.31.170.199:443
174.24.248.14:443
174.24.248.14:443
122.122.130.86:443
122.122.130.86:443
122.122.130.64:443
122.122.130.64:443
59.112.83.15:443
59.112.83.15:443
218.163.17.252:443
218.163.17.252:443
122.123.166.175:443
122.123.166.175:443
65.49.2.14:443
65.49.2.26:443
65.49.2.12:443
65.49.2.14:443
65.49.2.26:443
65.49.2.26:443
65.49.2.12:443
65.49.2.12:443
65.49.14.54:443
65.49.14.58:443
219.84.176.250:443
65.49.14.54:443
65.49.14.58:443
65.49.14.58:443
219.84.176.250:443
219.84.176.250:443
Es facil bloquearlo desde squidguard, simplemente no permitir conexiones ip si estas no llevan dominio, ademas de que se puede bloquear las conexiones a las ips listadas






















