如何检测移动代理：为什么 4G/5G IP 能绕过基础 IP 检查

数据中心代理是第一波，也最容易识别：云厂商的 ASN 本来就不是普通消费者上网的地方，我们在什么是数据中心 IP 地址中已经讲过。住宅代理是第二波，它们如今大量混入真实流量，原因正是它们借用了家庭 ISP 地址的信任。

移动代理是第三波，它让VPN 与代理检测的每一层都更难应对。住宅 IP 至少对应一条家庭线路，而移动 IP 由于运营商级 NAT，对应的是一群人，藏在人群中的欺诈请求与其他所有人的请求毫无二致。

什么是移动代理？

移动代理是部署在蜂窝网络上的中继，也是四种主要代理类型中最昂贵的一种。运营者控制着带 SIM 卡的设备（一部手机、一个 USB 调制解调器，或一整架数百个调制解调器），并出售通过这些设备转发流量的权利。客户的请求从运营商的 IP 空间进入互联网，带有运营商的 ASN，连接类型为 mobile。

出售的商品并不是带宽，而是信任继承：大型移动运营商地址空间在统计意义上的良好信誉，欺诈团队不敢轻易在这里动用封禁，因为每个 IP 都由合法客户共用。

IP 从哪里来

移动代理网络通过三种方式获取资源，越往后越不光彩：

• SIM 农场。 装有轮换 SIM 卡的 4G/5G 调制解调器机架，专门作为代理基础设施运行。运营者通过切换飞行模式或重新接入网络来强制更换 IP。
• 应用中的代理 SDK。 免费应用通过嵌入 SDK 变现，悄悄转售用户的移动带宽。安全研究人员已记录到这类 SDK 出现在消费类应用甚至智能电视软件中，把普通设备变成出口节点。
• 恶意软件招募。 受感染的手机在机主毫不知情的情况下被编入代理池，这与为住宅代理市场提供大量资源的模式相同。

后两种渠道意味着，“移动代理 IP”往往就是某个真人的手机，所以仅凭 IP 本身永远不能下结论。

移动代理、住宅代理与数据中心代理对比

成本与信任成正比：攻击者只会在住宅和数据中心出口已经被识破的目标上支付移动代理的溢价，例如高价值注册、限量发售、银行业务流程、广告验证。如果您发现了移动代理流量，说明您网站上的某些东西值得对方付出这笔溢价。

为什么移动代理这么难封禁

四个特性叠加在一起，造成了检测难题。

CGNAT 让 IP 变成一群人，而不是一个用户。 运营商让数百甚至数千名用户共用每个公网 IPv4 地址。您附加在该 IP 上的任何信誉描述的都是整群人，您施加的任何封禁也会波及整群人。这与我们在检测匿名流量而不封禁真实客户中剖析的误报陷阱相同，但在运营商网络上，这是常态，而不是边缘情况。

轮换速度超过信誉更新速度。 手机切换飞行模式后几秒钟就能获得新的运营商 IP。等某个 IP 进入黑名单时，代理早已离开，而这条记录描述的是恰好继承了该地址的无辜用户。过时的证据比没有证据更糟。

信任是真实的，这正是问题所在。 这个 ASN 确实属于大型运营商，连接类型确实是 mobile。没有伪造的请求头可抓，所有网络层属性都是真实的。虚假的只是谁在操控这个会话。

地理定位变得模糊。 移动流量通常从离手机很远的运营商网关出口，因此城市级定位恰恰在您最需要它来佐证的地方最不可靠，这一局限在IP 地理定位到底有多准中有量化说明。

真正能抓到移动代理流量的信号

没有哪家诚实的服务商能在一次查询中给您一个神奇的 is_mobile_proxy: true。当 IP 是真实的运营商地址空间时，仅靠网络层无法证明某个具体会话经过了代理。网络层能做的，是准确建立背景，让其余信号发挥作用。这与针对 VPN 和数据中心代理的分层方法一致，只是针对运营商地址空间做了调整：

• 先对网络分类。 ASN 和连接类型会告诉您，这是运营商 X 的移动地址空间，而不是家庭 ISP，也不是数据中心。这一分类决定了其余所有判断适用哪套规则。
• 明确考虑 CGNAT。 CGNAT 标记会把“这个 IP 做了坏事”转换成“这个网关后面的某个人做了坏事”，后者的说服力弱得多，应当压低评分而不是推高评分。
• 按时效加权滥用证据。 在轮换的运营商 IP 上，上个月的黑名单命中只是噪声；过去一小时内的蜜罐活动才是信号。时间戳比是否上榜更重要。
• 统计会话，而不是 IP。 移动代理会让按 IP 计数的速率规则失效，因此应把计数器移到轮换后依然存在的对象上：账户、设备、支付工具，以及每个会话的行为节奏。
• 交叉验证。 会话时区和语言与 IP 地理定位是否一致，连续两次登录之间是否存在不可能的移动，以及“移动”IP 是否搭配了桌面浏览器指纹。每一处不一致都很微小，但叠加起来就能把代理从它藏身的人群中区分出来。

输出应当是加权评分，而不是布尔值，这正是加权风险评分原因所采用的方法。

按操作设定策略，而不是按 IP

由于每个移动 IP 都是共享的，应对方式和检测同样重要。硬性封禁是在运营商网段上唯一始终错误的做法：欺诈流量会轮换离开，而您的真实客户仍被挡在门外。

可行的模式是按操作设定阈值，与如何选择 IP 欺诈评分阈值采用相同的框架，再加入运营商背景：低风险的移动流量直接放行，评分偏高时要求二次验证（OTP、邮件确认、挑战），真实用户几秒钟就能通过；只有当近期、针对该 IP 的滥用证据与会话层面的异常叠加时，才考虑封禁。

用 GeoIPHub 检测移动代理流量

GeoIPHub 在一次查询中返回移动代理决策所依赖的运营商背景，并附带每项判断背后的证据，而不是一个黑盒标记：

对于运营商 IP，响应中的相关部分如下所示。我们不公开真实用户的地址，因此这是一个示意值示例，并非真实查询结果（ASN 和 MCC/MNC 均为保留的文档和测试编码）；字段名称和结构与线上 API 一致：

对运营商流量最重要的几个字段：

• asn.asn_type、asn.connection_type 和 detection.is_mobile 对网络进行分类（移动运营商、住宅宽带或数据中心），asn.carrier、asn.mcc 和 asn.mnc 则标识运营商，让您的规则在正确的背景下触发。
• threat.is_cgnat 标记运营商级 NAT 网段，而 scoring.fraud_score 在这些网段上被刻意设置了上限。共享网关永远不会被当作专用的恶意基础设施来评分，这就是内置的误报防护。
• threat.is_abusive 和 threat.threat_types 告诉您当前的威胁情报源是否收录了该地址。对于轮换的运营商 IP，请把收录记录当作会话的背景信息，而不是关于其背后用户的证据。
• detection.is_vpn、detection.is_proxy、detection.is_tor 用于捕捉“移动”流量实际上经由已知匿名工具出口的情况（参见经主动探测验证的 VPN 与代理检测）。

您无需注册即可在免费 IP 查询工具中查询任意 IP，也可以获取免费 API 密钥，并按照 API 文档接入。所有字段在包括免费版在内的每个套餐中都可使用：每天 1,500 次请求，没有字段付费墙。

移动代理之所以能击败以 IP 为中心的防御，是因为这个 IP 本身确实是清白的：它属于运营商和一群普通用户。它们在分层防御面前则会败下阵来：准确地对运营商网络分类，考虑 CGNAT，按时效加权证据，把计数器移到轮换后依然存在的对象上，并用验证摩擦而不是封禁来应对偏高的风险。这样做之后，欺诈者为 4G 出口多付的溢价就什么也买不到了。

常见问题

什么是移动代理？

移动代理会把他人的网络流量路由到真实蜂窝网络上的某台设备（智能手机、USB 调制解调器或一整架 SIM 卡），使流量从真实的 4G/5G 运营商 IP 出口访问网络。对接收请求的任何网站来说，这看起来就像普通用户在用手机上网，这正是欺诈团伙愿意为移动代理支付高于数据中心代理或住宅代理的价格的原因。

为什么移动代理比住宅代理更难检测？

运营商网络使用运营商级 NAT（CGNAT），让成百上千名真实用户共用同一个公网 IP，并且不断重新分配地址。住宅代理至少对应某个家庭的一条线路，而移动代理则藏在一个同时服务大量合法手机用户的 IP 里。附着在该 IP 上的信誉几分钟内就会失效，封禁它还会误伤同一网关后面的所有人。

能按 IP 地址封禁移动代理吗？

不能安全地封禁。由于 CGNAT 的存在，硬性封禁一个移动 IP 会连带封禁共用该网关的每一位用户，其中包括真实客户。可行的做法是风险评分而非封禁：把运营商 IP 视为共享基础设施，重视近期的滥用证据而不是陈旧的黑名单记录，并在评分偏高时要求二次验证（电子邮件、OTP、挑战），而不是直接拒绝。

移动代理与 CGNAT 有什么区别？

CGNAT 是正常的运营商网络机制：由于 IPv4 地址稀缺，移动运营商让多个用户共用一个公网 IP。移动代理则是对这一机制的滥用：运营商网络内的设备转发第三方流量，从而借用共享 IP 的掩护。每个移动代理都受益于 CGNAT，但绝大多数 CGNAT 流量只是普通人在使用手机，因此绝不能仅凭 CGNAT 就把它当作欺诈信号。

欺诈者如何获得移动代理 IP？

主要有三条供应链：SIM 农场（专门作为代理基础设施运行的调制解调器和 SIM 卡机架）、嵌入免费应用的代理 SDK（悄悄转售用户的带宽；安全研究人员已记录到这类 SDK 出现在消费类应用甚至智能电视软件中），以及在机主不知情的情况下把受感染手机编入代理网络的恶意软件。

GeoIPHub 如何帮助检测移动代理流量？

GeoIPHub 在一次查询中返回移动代理决策所依赖的网络背景：ASN 及其分类、连接类型（数据中心、住宅、移动）、标记运营商级 NAT 网段的 is_cgnat 字段、运营商名称及其 MCC 和 MNC 代码、当前威胁情报源标记，以及 0-100 的欺诈评分。该评分在 CGNAT 网段上被刻意设置了上限，因此共享的运营商 IP 永远不会被当作专用的恶意基础设施来评分。