Me desculpe nobre Chará rsrsrsrs!
Mas acredito que fazendo por este meio descrito neste artigo
do V|OL que o senhor indicou seria bem mais custoso do que
criar uma única regra para bloqueio de
duas únicas strings (tor e ultrasurf). só a formação do
arquivo de log já exige disco e memória então o caso seria de
escolher segundo a demanda da rede o que seria melhor.
Abraços,