代理的类型：数据中心、ISP、住宅和移动代理对比

“代理”这一个词，至少承担着四种东西的含义。一台转发爬虫流量的租用云服务器，和一台转发撞库请求的陌生人家的智能电视，都是代理，但它们让攻击者付出的成本不同，背后隐藏的附带损害规模不同，需要您做出的应对也不同。本文给出在两个关键维度上都实用的分类法，并附上我们在 2026 年 10 月 20 日实际运行的查询结果。

维度一：出口 IP 来自哪里

来源这一维度会改变您的决策，因为它决定了地址在注册信息中的样子，以及一次拦截会波及多少无辜的人。

数据中心代理

出口是云服务商或托管服务商的一台服务器。地址所在空间的 ASN 被归类为托管，而这个网络本就不是用来承载消费者流量的。

数据中心代理便宜、快速，并且成批大量出售，这就是它们最容易被发现的原因。来自数据中心或托管网段的消费者登录或结账请求值得多看一眼，因为真实客户很少从云服务器上购物。我们的托管检查基于 853 个人工整理的托管 ASN，以及 10 家云服务商公布的网段，包括 AWS、Google Cloud 和 Azure。

真正的例外是企业流量。企业 VPN 出口、安全网关和企业 SASE 产品都合法地从托管空间发出流量。这是 B2B 产品中真实存在的一类误报，也是为什么单独一个托管地址的评分落在 allow 区间而不是 block，正如下面的查询所示。

ISP 代理（静态住宅）

ISP 代理是大多数人从未听说过的混合形态。IP 地址注册在消费级 ISP 名下，但在该地址上应答的机器位于数据中心。运营者获取或租用消费级 ISP 的地址空间，并从托管基础设施上宣告这些地址。

结果是一种刻意制造的矛盾：数据中心的速度和在线率，披着消费级 ISP 的 WHOIS 记录。只读取注册信息的检查看到的是一家有线电视公司，于是放行。真正有帮助的证据是行为层面的：该地址上有代理或 VPN 协议在应答，或者某个网段中的每台主机都表现得像服务器。这就是为什么代理检测要叠加多个相互独立的信号，而不是信任单一的注册字段。其局限在于，一个没有开放任何服务、悄无声息的 ISP 代理，看起来就和它的注册信息所说的一样。

住宅代理

出口是真实家庭中的真实消费级连接。地址属于正规 ISP，地理定位到一个合理的郊区，看起来与普通客户完全一样，因为它确实是一位客户，只不过是别人的。

住宅代理价格昂贵，通常按流量而不是按地址出售，并且因为能绕过托管信号，成为严重滥用的默认工具。GeoIPHub 不检测住宅代理。从 IP 层看，一条正在转发代理流量的家庭线路，和同一条正在播放电影的家庭线路，看起来没有区别。真正有帮助的是 IP 之外的一切，为什么您的流量中有这么多住宅代理和反欺诈应对手册对此有详细介绍。

移动代理

出口是真实运营商网络上的真实蜂窝连接。这是最难的情况，而难点更多在于附带损害，而不在于不可见。

移动网络位于运营商级 NAT 之后（RFC 6888，2013 年 4 月），因此一个公网地址可能同时代表许多互不相关的用户。拦截这个地址，就拦截了他们所有人。IP 查询可以告诉您该地址属于某家移动运营商，却无法告诉您其背后的某部手机是否在出售自己的连接。正确的应对是验证，而不是拒绝，字段层面的细节见如何检测移动代理。

四种类型对比

把最后两列放在一起看。数据中心代理容易发现，拦截也安全。移动地址容易定位到运营商，拦截却很危险。住宅出口难以发现，拦截也很棘手。一个单一的 "is_proxy" 布尔值把这些全都抹平了，这就是为什么应当由代理类型来决定您的应对方式。

租用服务器评分为 allow，经探测确认的 VPN 评分为 block

单独一个托管地址不会达到 block，而经确认的 VPN 握手会。我们在 2026 年 10 月 20 日 04:34 UTC 查询了 45.33.32.156，04:35 UTC 查询了 185.213.155.73，用 curl，不带密钥。前者是 scanme.nmap.org，即 Nmap 在 Linode 上的公开测试服务器，它不是代理：它展示的是任何一台租用服务器在做任何事之前的样子。后者是 Mullvad 位于法兰克福的一台 VPN 服务器。以下为精简内容，数值未经修改：

两个地址都是托管 ASN 中的租用服务器，都返回 is_hosting: true。Linode 服务器到此为止：只有一个方法 datacenter_ip，评分为 10，动作为 allow，因为租用服务器并不是欺诈。Mullvad 服务器则多了三条理由。它在 Mullvad 自己公布的服务器列表上（known_vpn_server，vpn_confidence: 95，这是与提供商自有列表匹配时的取值），该列表将它标注为 WireGuard 服务器（wireguard_open），并且托管信号与 VPN 信号叠加（datacenter_with_vpn_proxy）。评分达到 100，动作为 block。

四种动作对应固定的区间，因此您可以用同样的方式解读任何评分：

另外两种隐藏用户、但不属于这四种类型的地址

Tor 出口节点和 Apple 的 iCloud Private Relay 同样会隐藏背后的用户，两者也常出现在关于代理的讨论中。我们在同一时段查询了它们：

该中继服务的是付费的 Apple 用户，而且评分会把中继地址封顶在 60，因此它们永远不会达到 block。Tor 出口节点来自 Tor Project 公布的出口列表，我们每天加载一次。关于这一行有一点需要说明：no_ptr_datacenter 触发了，尽管该地址目前的实时反向 DNS 可以解析，这是我们存储的 PTR 记录中的一个缺口，我们已记录下来。Tor 有专门的指南：通过 IP 检测 Tor 流量。

维度二：代理使用什么协议

协议这一维度决定代理能承载什么流量，而且它与出口位于何处无关。很多讲“代理类型”的文章把“HTTP 代理”和“住宅代理”并列，好像它们是二选一。它们回答的是不同的问题：住宅代理会使用某种协议，而 SOCKS5 是一种可以运行在四种类型中任意一种之上的协议。

HTTP 代理理解 HTTP。客户端把完整的请求发送给代理，代理可以读取、缓存、改写请求头并进行过滤。配置粗心的 HTTP 代理会添加 Via 和 X-Forwarded-For 请求头，暴露自己的存在。

HTTPS 隧道使用 CONNECT 方法（RFC 9110），它请求代理打开一条原始 TCP 隧道并停止解析。代理变成一根管道，TLS 端到端地穿过它，代理能看到目的地，但看不到内容。

SOCKS5（RFC 1928，1996 年 3 月）位于应用层之下。它中转 TCP，并且与其前身不同，还能中转 UDP，支持认证、域名和 IPv6。它从不检查载荷，也从不添加请求头。

攻击者喜欢 SOCKS5，因为它很安静。防御方可以对它进行测试。我们的扫描器用真实的协议握手探测 25 个端口，覆盖 8 种 VPN 和代理协议，包括 SOCKS5、SOCKS4、HTTP CONNECT 和 OpenVPN。探测步骤最多每 12 小时运行一次，并在之前的命中结果满 7 天后重新检查。它没有 WireGuard 探测：Mullvad 查询结果中的 wireguard_open 来自 Mullvad 自己的服务器列表，该列表把这台服务器标注为 WireGuard。扫描会遍历托管网络和 VPN 提供商的服务器网段，也会检查公开代理源列出的地址。它不会遍历消费级 ISP 地址空间，因此位于家庭注册地址上的 ISP 代理，只有在先被某个公开源列出时才会得到探测结果。

局限是物理层面的。探测只能确认接受入站连接的代理。通过某个应用加入住宅网络的手机或电视盒子，位于家庭路由器之后，因此从外部发起的探测根本找不到可以对话的对象。

正向、反向和透明代理

正向代理代表客户端行事，这正是本文讨论的对象。反向代理代表服务器行事，每个 CDN 和负载均衡器都是如此。透明代理无需客户端配置即可拦截流量，比如酒店的强制门户。只有正向代理与欺诈相关。

住宅代理的供给究竟从何而来

住宅代理网络需要真实的家庭，而真实的家庭很少自愿参与。这就是为什么“直接拦截住宅代理”是一条天真的指令。

第一项严肃的学术研究 Resident Evil（IEEE 安全与隐私研讨会，2019 年）渗透进了这些服务，在超过 230 个国家、超过 52,000 个 ISP 中检测到约 600 万个住宅代理 IP。尽管提供商声称参与者都是自愿的，但其中很多运行在可能已被入侵的主机上，包括物联网设备。

FBI 在 2026 年 3 月 12 日的公共服务公告中列出了招募渠道，共五种：代理服务付费让应用开发者嵌入的 SDK、把加入条款藏在服务条款里的免费 VPN、被入侵的物联网设备、藏在免费游戏和盗版媒体中的恶意软件，以及付钱让用户出让带宽的“被动收入”应用。设备清单值得读两遍。其中包括电视流媒体设备、流媒体棒、Android TV 盒子、数码相框、智能手机、平板电脑、路由器、数字投影仪以及后装的车载信息娱乐系统。

其规模有据可查。911 S5 僵尸网络在美国司法部于 2024 年 5 月 29 日宣布的一次行动中被摧毁，它关联了超过 1,900 万个独立 IP 地址，其中 613,841 个位于美国。

因此，当一个住宅代理访问您的登录页面时，这个地址通常属于一个毫不知情的人。这就是反对永久拦截家庭地址的理由，也是主张在不拦截真实客户的前提下处理匿名化流量的理由。

为什么恶意地址列表敌不过住宅代理的供给

黑名单假定恶意地址会再次出现，而住宅代理的供给在它再次出现之前就已轮换走了。两项最新的测量证明了这一点。

GreyNoise 分析了 2025 年 11 月 29 日至 2026 年 2 月 27 日之间约 40 亿个会话，并报告称，攻击网络边缘的独立 IP 中有 39% 来自家庭互联网连接，而这些地址只产生了 22% 的会话。这个差距本身就是结论：78% 的住宅 IP 在 90 天内只出现在一两个会话中。信誉列表无法标记一个在第二次请求之前就已消失的地址。

流量规模也指向同一方向。Infoblox 在 2026 年 6 月 9 日报告称，每月对住宅代理域名的 DNS 查询从将近 4,000 亿次增长到超过 5,000 亿次，增幅约 25%。它还发现，超过 65% 的 Threat Defense Cloud 客户查询过与住宅代理网络相关的域名。

IP 情报在判断地址是什么这件事上依然有效：托管、VPN、Tor、中继、运营商。一份静态的恶意家庭地址列表则不然。

对于住宅和移动代理，IP 层能显示和不能显示什么

IP 层可以把一个地址归入某种网络类型，却看不到该网络上的设备在做什么。对于最难的两种类型，剩下的可用事实只有一小份清单：

• 家庭 ISP 地址会被善意推定，直到它带有代理证据。我们通过住宅反向 DNS 识别出的家庭线路，会因 ISP 减去 17 分，因反向 DNS 再减去 16 分。一旦同一地址带有代理、VPN 或 Tor 证据，ISP 折扣就会被替换为一条 residential_with_threat 理由，增加 21.25 分。
• 移动运营商地址的折扣更小。移动运营商地址减去 12 分，看起来像移动地址池的反向 DNS 再减去 7 分。
• 共享地址有封顶。运营商级 NAT 地址如果本身没有代理、VPN、Tor、僵尸网络或滥用证据，评分不会超过 50，因此仅凭 IP，它们最多只会达到 review。
• 开放的代理端口是证据，但在这里很少能拿到。我们的探测覆盖 SOCKS5、SOCKS4 和 HTTP CONNECT，但只有当公开代理源列出某个家庭注册地址时，探测才会到达它。该地址上的监听服务并不能说明任何住宅代理网络的情况。

其余一切都必须来自您这一侧：每个账户的速率、老账户上出现的新设备、与会话不一致的账单国家。要端到端地追查一个可疑地址，请按照针对单次事件的 IP 调查流程操作。

根据代理类型匹配您的应对方式

这套分类法的价值在于分级应对，而不是一条粗暴的规则。以 scoring.recommended_action 作为默认值，再按类型调整：

• 消费者操作中的数据中心地址。单独的托管地址评分落在 allow 区间，正如 Linode 查询得到的 10 分。加入您自己的上下文：如果您的产品需要，在消费者登录和结账时拦截或隔离它，并为 B2B 场景豁免已知的企业出口。
• ISP / 静态住宅。一旦有证据与注册信息相矛盾，就按数据中心对待。detection_methods 中出现探测方法即可构成这种矛盾，但我们的扫描只通过公开代理源才会触及消费级 ISP 地址空间，因此矛盾通常来自您自己的数据。仅看注册信息，它会被认定为住宅。
• 住宅。您通常不会知道它是代理。依据您自己数据中的佐证进行升级处理，并优先选择加强验证而不是拒绝，因为这个家庭很可能是受害者。
• CGNAT 之后的移动地址。绝不要仅凭地址就拦截。放宽针对共享 IP 的速率限制，验证用户，并依靠账户和设备信号。
• VPN 和 Tor。经探测确认或被列出的 VPN 可能达到 block，正如那台 Mullvad 服务器，但单独使用 VPN 并不是欺诈。对于 VPN 登录，您可能更倾向于 step_up，而把 block 留给 Tor 和多个信号叠加的情况。

五种情况背后的共同规则是：代理类型决定网络信号占多大权重，其余部分必须由其他信号来承担。

先确定代理类型，再选择应对方式

方法论记录了上述每个信号的采集方式。所有字段都包含在免费套餐中，每天 1,500 次查询，反欺诈概览展示了评分如何转化为决策。要立即检查一个地址，可以用 VPN 检测测试或数据中心 IP 检查，在判断您面对的是哪种代理之前，先看看触发了哪些 detection_methods。

常见问题

代理主要有哪些类型？

代理可以按两个相互独立的维度分类。按出口 IP 的来源分为四种：数据中心代理（租用的云服务器或托管服务器）、ISP 代理或静态住宅代理（托管在数据中心硬件上的消费级 ISP 地址空间）、住宅代理（真实家庭中的真实消费级网络连接）和移动代理（运营商 NAT 之后的真实蜂窝网络连接）。按代理使用的协议分为三种常见协议：HTTP 代理、通过 CONNECT 方法建立的 HTTPS 隧道，以及 SOCKS5。第一个维度决定 IP 查询能看到什么以及代理有多昂贵，第二个维度决定它能承载什么流量。

数据中心代理和住宅代理有什么区别？

数据中心代理从租用自云服务商或托管服务商的服务器发出流量，因此其地址位于被归类为托管的 ASN 空间中，IP 查询可以清楚地显示这一点。住宅代理从真实家庭中的真实消费级连接发出流量，这些连接通常是通过应用 SDK、免费 VPN、带宽共享软件或恶意软件加入的，因此地址属于正规 ISP，看起来与普通客户完全一样。仅凭 IP，您通常无法区分住宅代理出口和拥有这条线路的家庭，这就是它让攻击者付出更高成本、并成为严重滥用默认工具的原因。

什么是 ISP 代理？

ISP 代理有时以静态住宅代理的名义出售，是一种混合形态：IP 地址注册在消费级 ISP 名下，但在该地址上应答的机器位于数据中心。运营者购买或租用消费级 ISP 的地址空间，并从托管基础设施上宣告这些地址。注册信息检查看到的是住宅地址；真正有用的证据是矛盾之处，例如该地址上有代理协议在应答。

移动代理比住宅代理更难应对吗？

是的，原因在于附带损害。移动代理通过运营商级 NAT 之后的真实蜂窝连接发出流量，因此一个地址可能同时代表许多互不相关的用户。IP 查询可以告诉您该地址属于某家移动运营商，但无法告诉您其背后的某个人是否在运行代理。拦截该地址会惩罚所有共享它的人，因此移动地址应当触发加强验证，而不是硬性拦截。

SOCKS5 比 HTTP 代理更好吗？

它们解决的是不同的问题。HTTP 代理理解 HTTP，可以读取和改写请求，因此适合做缓存和过滤，但仅限于 Web 流量。SOCKS5 由 RFC 1928 定义，工作在应用层之下，只是中转 TCP 和 UDP，因此可以承载任何协议，并且从不检查载荷。攻击者通常更喜欢 SOCKS5，因为它泄露的可识别请求头更少。