Como Fazer para Bloquear o UltraSurf, Solução Definitiva (iptables + fail2ban)

Por Rodrigo Luis Silva em 16 de janeiro de 2012

Fazendo a revisão do firewall de um cliente eu consegui bloquear o acesso as redes BitTorrent e ao terrível UltraSurf.
Vou descrever como fiz para bloquear o UltraSurf.

Em um primeiro momento eu acreditei que seria fácil bloquear o UltraSurf, porém o uso de proxy transparente obriga que a porta 443 (HTTPS) fique liberada. Já o BitTorrent foi bloqueado sem dificuldades.

Com o uso do tcpdump eu identifiquei que todo o acesso do UltraSurf sai pela porta 443, logo a solução mais óbvia seria bloqueá-la, porém não é possível. Bloquear o IP ou range de IP do servidor de destino seria outra opção.

Quando fiz o bloqueio pelo range de IP, descobri que o UltraSurf tenta uma centena de IPs diferentes até conseguir o acesso que ele precisa, e certamente devem existir novos IPs a cada nova versão.

Pesquisei pelo Google e não encontrei nenhuma forma eficiente de bloquear o UltraSurf, foi então que tive pensei em criar uma regra no iptables e fazer log dos acesso ao IP do UltraSurf para depois criar um daemon para ler esse log e fazer um bloqueio em tempo real.

Íntegra em Dicas-L

Leia Mais ►

Bloqueando host usando code 554 do postfix com fail2ban

Administrar um servidor de email com muitas contas não é tarefa facil, quem administra sabe disso, ultimamente venho recebendo muito o erro 554 no postfix, exemplo abaixo:

Oct 14 13:27:36 server postfix/smtpd[13396]: NOQUEUE: reject: RCPT from serveremailsdobrasilnet2.co.cc[217.114.221.77]: 554 5.1.1 <user@dominio.com>: Recipient address rejected: User unknown in virtual mailbox table; from=<contato@serveremailsdobrasilnet2.co.cc> to=<user@dominio.com> proto=ESMTP helo=<serverpr-068.prempresas.com> 

A mensagem 554 normalmente é usada para clientes que fazem conexão suspeita, como podem ver o 

exemplo acima, bem vamos ao que interessa.

Eu já estou levando em consideração que o fail2ban está instalado e funcionando corretamente em sua maquina.

edite o arquivo postfix.conf dentro de /etc/fail2ban/filter.d e adicione a linha abaixo:

Info:. Rejeita quando coincidir com as mensagens de falhas de senha no arquivo de log.

failregex = NOQUEUE: reject: RCPT from \S*\[(?P\S*)\]: 554 <\S*>: Recipient address rejected

essa regra assim pode ser alterada para sua necessidade, então use sua imaginação e faça bom uso.

feito isso salve o arquivo.

No arquivo jail.conf deixa como abaixo:

enabled = true

filter = postfix

action = iptables[name=SMTP, port=smtp, protocol=tcp]

sendmail[name=Postfix, dest=user@dominio.com]

logpath = /var/log/maillog

maxretry = 1

bantime = 30000000

bem, em maxretry você pode colocar quantos hints no log vai aparece até o ip ser bloqueado, eu costumo usar 1, para min a tolerância é zero e o bantime você pode coloca o tempo em segundo que quer dizer quanto tempo o ip vai ficar bloqueado.

Espero ter ajudado em algo: até a proxima.

Esse conteúdo está disponibilizado sobre a licença de uso - Tiu enhavo estas disponebla sur uza permesilo LiPE

Leia Mais ►