什么是 IP 情报？超越基础地理定位

大多数 IP 查询工具返回的是位置。现代 IP 情报返回的是一份档案。本文拆解完整的数据面：每一层包含什么、来自哪里，以及支持哪些决策。每个字段及其类型，请参阅 IP 数据字段完整参考。

第 1 层：地理定位

这是基础层。每个 IP 地址都属于某个网络，该网络注册在某个国家，从某个特定地区宣告，并且通常在某个特定城市使用。地理定位数据结合注册机构记录（RIPE、ARIN、APNIC、LACNIC、AFRINIC）、网络拓扑分析和主动测量，把 IP 段映射到物理位置。

下面是地理定位查询返回的内容，取自 Telegram 的 91.108.56.1 的真实 GeoIPHub 响应中的 geo 组（精简，查询于 2026 年 10 月 2 日）：

准确度因 IP 类型而有显著差异。住宅 ISP 的 IP 通常可精确到城市级别。CDN 边缘节点和任播 IP（如 Cloudflare 的 1.1.1.1）定位到的是网络基础设施的位置，而不是用户。移动 IP 在国家和地区级别定位准确，在城市级别则不太可靠。VPN IP 定位到的是 VPN 服务器的位置，而不是用户的真实位置，这是仅靠地理定位不够的第一个原因。

第 2 层：ASN 与网络所有权

每个 IP 都由一个自治系统（AS）宣告，这是一个拥有唯一 ASN、控制一组 IP 段的网络。ASN 告诉您该 IP 所属网络由谁运营，这是现有信息量最大的单项数据之一。下面是 Cloudflare 的 1.1.1.1 的 asn 组（精简的真实响应）：

ASN 类型：

• ISP / 住宅（Comcast、Deutsche Telekom、Jio）：来自真人的流量
• 移动运营商（AT&T Mobility、Vodafone）：位于 CGNAT 之后的手机
• 数据中心 / 云（AWS、Google Cloud、Azure、OVH）：服务器基础设施
• CDN（Cloudflare、Akamai、Fastly）：内容分发边缘节点
• 托管 / 机房托管：通常是租用的服务器，而非云规模
• VPN ASN：有 VPN 服务器历史记录的自治系统

在考虑任何行为证据之前，ASN 类型就是一个先验概率。来自 AS7922（Comcast）的请求几乎肯定来自真人。来自 AS16509（Amazon）的请求几乎肯定来自服务器或自动化进程。仅这一项数据，就改变了您对该连接应有的预期和接受程度。

第 3 层：基础设施分类

比 ASN 更深入一层，基础设施分类会识别该 IP 所处网络环境的具体类型：

• 住宅：由消费级 ISP 分配给家庭宽带连接
• 移动：通过 CGNAT 分配给蜂窝网络上的手机
• 数据中心：运行在云服务商、专用服务器或机房设施中
• 企业：分配给商业机构的办公基础设施
• CDN 边缘：流量从内容分发网络的边缘节点出口
• 卫星：由卫星 ISP（Starlink、Viasat）分配

对于一台 DigitalOcean droplet（104.248.50.21），分类字段如下（精简的真实响应）：

这一层对欺诈和访问控制很重要，因为大多数消费级产品的真实用户都来自住宅或移动 IP。数据中心 IP访问您的消费级产品，在结构上就不寻常。这并不总是恶意的（开发者、自动化流水线和企业用户都会合理地从数据中心连接），但它足够不寻常，值得在风险计算中加权。

第 4 层：匿名化检测

匿名化检测用于判断表面上的 IP 是用户的真实 IP，还是他们所经由的中继。主要有三种类型：

VPN（虚拟专用网络）：用户的流量从 VPN 服务器出口。地理定位显示的是 VPN 服务器的位置，而不是用户的真实位置。检测依据已公布的服务商服务器列表、主动协议探测（OpenVPN、IKEv2、PPTP 和 L2TP 握手）以及 ASN 历史。NordVPN、ExpressVPN 和 Mullvad 等商业 VPN 服务商维护着公开的基础设施，可以被可靠地检测出来。

代理（HTTP/SOCKS）：在应用层而不是网络层中继的流量。可通过端口探测检测，因为 SOCKS5 和 HTTP 代理会在各自的特征端口上响应对应的问候序列。

住宅代理：最复杂的匿名化手段。流量从真实的住宅 IP 出口，这些 IP 通常来自被恶意软件感染的设备或付费的点对点代理网络。IP 本身属于家庭 ISP，因此基于 ASN 的检测会失效。检测需要行为信号：同一个 IP 出现在代理网络的广告中、异常的轮换模式，或与单一家庭连接不符的 UA 多样性。

Tor：Tor 匿名网络让流量经过一连串加密中继，再从 Tor 出口节点出去。出口节点 IP 公布在 Tor 共识目录中，因此检测可靠且完整。

下面是 185.213.155.73 的 detection 组，这是 Mullvad 公布的中继列表中的一台 WireGuard 服务器（精简的真实响应）：

第 5 层：威胁情报

威胁情报汇总恶意行为的外部证据：来自网络滥用处理台的报告、蜜罐捕获、僵尸网络 sinkhole 数据、扫描活动日志以及垃圾邮件陷阱触发记录。

关键信号（IP 信誉评分的原始素材）：

• 黑名单收录：有多少个独立黑名单收录了该 IP，以及属于哪些类别
• 滥用报告：ISP 和滥用处理台投诉的数量与时效
• 僵尸网络历史：与已知恶意软件命令与控制基础设施的关联
• 扫描器指纹：端口扫描、漏洞探测或撞库的证据

这些信号归入 threat 组。对于同一台 Mullvad 服务器，唯一的威胁类别就是匿名化工具本身（精简的真实响应）：

威胁情报天生具有时效性。黑名单条目会随着 IP 易主而过期；三个月前的滥用报告只是微弱的证据；昨天的扫描活动则是有力的证据。有效的威胁情报会持续刷新，而不是按月批量更新。与位置和基础设施数据结合后，这些情报源正是边缘封锁、不可能旅行检查和地域限制所依据的内容。

第 6 层：风险评分

以上所有内容被压缩成一个 0-100 的分数，即 scoring.fraud_score：您据此路由决策的数字。对同一台 Mullvad 服务器（精简的真实响应）：

分数的价值取决于它的可解释性。一个莫名其妙地忽高忽低的黑盒数字，既无法调优，也无法在拒付争议中为自己辩护，更无法审计其偏见。detection_methods 数组列出了起作用的证据（这里是：该 IP 位于服务商的服务器列表上，该列表将其标记为 WireGuard 服务器，并且它位于托管基础设施上），而 recommended_action 把分数映射到一个区间：不超过 25 为 allow，不超过 50 为 review，不超过 75 为 step_up，高于 75 为 block。因此，当某个分数误拦了合法客户时，您可以找出是哪个信号造成的，并调整阈值或权重。

完整的 IP 情报响应是什么样子

把所有层整合到一次查询中：

精简的真实响应（查询于 2026 年 10 月 2 日；完整响应包含 10 个组：ip、asn、geo、whois、network、detection、threat、dns、scoring、meta）：

这个 IP 是 Cloudflare 的基础设施，定位到多伦多：不是真人，没有恶意，也没有隐藏任何东西。15 的欺诈评分反映的是数据中心环境（以及数据中心地址空间常见的缺失反向 DNS），没有匿名化或滥用证据，所以落在 allow 区间。恰当的动作取决于使用场景：对于消费者结账流程，这值得在会话日志中记一笔；对于 B2B API 客户端，这正是您所预期的。要把这样的查询接入您自己的注册或结账流程，请参考使用免费 API 添加 IP 欺诈检测的分步指南。

哪些层对哪些使用场景重要

跨团队与行业的 IP 情报

不同团队会用到不同的层，同一个信号对不同的业务也意味着不同的东西。这就是“IP 情报”会同时出现在欺诈平台、安全工具和分析类搜索中的原因。它是一套服务于多项工作的数据：

• 欺诈与风控团队主要依靠匿名化、威胁历史和风险评分，实时决定结账、登录和注册的结果。
• 安全团队使用基础设施层和威胁层对入站流量分流、发现扫描，并用 ASN 和托管上下文丰富 SIEM 告警。我们另文介绍了这些信号如何应对具体的网络犯罪模式。
• 信任与安全团队把匿名化标记与行为结合起来，抓捕封禁规避、虚假账户和协同滥用。
• 增长与营销团队使用地理定位和 ASN 进行本地化、无效流量过滤，并获得更干净的分析数据。
• 合规团队使用国家和匿名化数据来执行地域限制、制裁筛查和判断司法辖区。

行业改变的是风险高低，而非数据本身。金融科技与银行最看重匿名化和风险评分，因为账户接管尝试会躲在 VPN 或代理之后。游戏关心封禁规避和授权区域。电商与交易平台对抗支付欺诈和虚假卖家。SaaS 评估登录风险和 API 滥用。流媒体针对 VPN 绕过来执行地域授权。同样是六层，权重各不相同。这就是 IP 情报平台比任何单个字段都更有用的原因，也是在选择之前值得查看 IP 数据服务商究竟覆盖了哪些层的原因。参见每个风险评分背后的命名原因。

地理定位留下的缺口

为了让差异更具体：如果莫斯科的一位用户通过 185.213.155.73 的 Mullvad 服务器连接，地理定位查询会返回德国法兰克福。完整的 GeoIPHub 查询会返回同样的 geo.country_code: DE，外加 detection.is_vpn: true、scoring.fraud_score: 100，以及 detection_methods 中的 known_vpn_server 和 wireguard_open。位置数据完全相同，情报却不同。

在地域限制场景中（比如拥有德国版权的流媒体服务），仅凭地理定位就会放行该请求。IP 情报则指出该位置不可信。是封锁还是放行是产品决策；但没有情报层，您甚至无法有意识地做出这个决策。

这就是 IP 地理定位与 IP 情报之间的实际分界：地理定位告诉您地址声称了什么。情报告诉您应当在多大程度上相信它。

常见问题

什么是 IP 情报？

IP 情报是可以从一个 IP 地址推导出的全部数据。这不仅包括国家和城市，还包括拥有它的自治系统、它属于住宅还是数据中心基础设施、它是否运行着 VPN、代理或 Tor 中继、它的滥用历史、它的威胁分类，以及综合以上所有信息的风险评分。这个术语用来把全面的 IP 分析与通常只返回位置字段的基础地理定位区分开来。

IP 地理定位和 IP 情报有什么区别？

IP 地理定位回答的是：这个 IP 在哪里？包括国家、地区、城市、坐标、时区和 ISP 名称。IP 情报回答的是：这个 IP 是什么，它有多可信？它增加了基础设施类型（数据中心、住宅、移动）、匿名化检测（VPN、代理、Tor）、威胁分类（扫描器、僵尸网络、垃圾邮件源）、滥用历史以及综合风险评分。地理定位是 IP 情报中的一层。

IP 情报能告诉您哪些地理定位不能告诉您的信息？

它能告诉您：该 IP 是否是隐藏真实位置的 VPN 或代理（这会让地理定位字段失去意义）；是否是背后没有真实用户的数据中心 IP；最近是否上过滥用黑名单；是否正在运行代理或扫描器服务；以及来自该 IP 的请求风险有多高的概率估计。基础地理定位返回坐标；IP 情报则告诉您是否应该相信它们。

IP 情报在实践中如何使用？

欺诈团队用它在结账、登录和注册时评估风险。安全团队用它对入站流量分流，并识别扫描或自动化滥用。广告平台用它在无效流量消耗广告活动预算之前将其过滤。合规团队用它来执行地域限制和判断司法辖区。内容平台用它来做地域授权和付费墙决策。使用场景决定了哪些情报层最重要。

IP 情报对移动用户准确吗？

部分准确。移动用户通过运营商级 NAT（CGNAT）共享 IP，因此地理定位在国家和地区级别通常正确，但在城市级别不够精确。基础设施分类（移动运营商还是数据中心）是可靠的。匿名化检测也是可靠的：使用 VPN 的移动用户看起来与原生移动连接大不相同。移动网络的风险评分应当与住宅 IP 的校准方式不同，因为 CGNAT 使得针对单个 IP 追责变得模糊。