简单来说,香港原生IP指的是真实分配并运营在香港地区、由香港ISP或数据中心持有并在本地出口的IP地址。判断的目的包括内容投放地域判断、合规审计、反欺诈与流量质量评估等。
判断通常结合两条主线:一是网络路径与时延的实际路由证据(即路由追踪),二是各类数据库与WHOIS信息的归属证明(即地理库核验)。单一方法易被伪装,需综合判断。
用工具对目标IP做多点路由追踪(traceroute/MTR/tracert),观察跳数、路由中出现的香港ISP节点(例如以 HKT、PCCW、SINGTEL-HK、HKBN、HGC 等标识)和末跳时延。真实香港出口通常在到达香港节点后,延迟稳定且在20-80ms范围(取决于测试点)。
1) 在不同大陆或国外节点执行 traceroute -n 或 mtr -r -c 100,记录每跳IP与AS信息。2) 使用IP到ASN映射(whois 或 bgp.he.net)确认中间节点是否属于香港ASN。3) 观察末跳反向DNS(PTR)是否含有“hk”、“hongkong”或ISP名称。
若路由中多数高频节点为香港ASN、末跳延迟与地理位置匹配、反向DNS指向香港托管服务商,则路由追踪支持香港原生判断;若中间路径经由国外再回到目标且延迟异常,则需谨慎。
使用多家地理库(如 MaxMind GeoIP2、IP2Location、DB-IP、ipinfo、纯真/QQWry)对目标IP做查询,并比对WHOIS注册信息。地理库各有差异,合并结果能提高准确率。
1) 对目标IP分别调用多家API或本地库获取国家/城市/ISP标签。2) 拉取WHOIS并确认注册组织与联系方式是否指向香港运营商。3) 若可能,使用第三方测点(例如 RIPE Atlas、测控平台)从香港节点做直接探测验证。
可给每项证据赋权重:路由证据、地理库一致性、WHOIS匹配、反向DNS一致性。多项一致则判定为香港原生IP概率较高;若冲突,记录为可疑并继续监测。
常见伪装包括VPN/代理、境外Anycast、CDN覆盖、NAT穿透以及虚拟化托管把香港流量做国外出口(所谓“香港机房”但出口不在香港)。识别需结合多角度证据。
1) 延迟异常:若来自附近节点的RTT远低于预期或忽高忽低,可能是中间隧道或代理。2) ASN跳变:路径中出现非香港ASN或多次跨国跳转是警示。3) TLS/HTTP头信息:证书颁发机构、服务器标识或CDN Server头可暴露真实托管位置。4) 多点验证:从不同地域的探测点同时测试,一致性越差越可疑。
使用 traceroute/mtr、whois、ripe bgp / Hurricane Electric BGP Toolkit、Shodan/ Censys 查服务指纹,以及多家地理库并行比对。
1) 准备:选择至少3个不同地域的探测点(大陆、东亚、欧美)。2) 路由追踪:分别运行 traceroute -n 与 mtr,保存结果并提取中间IP。3) ASN与WHOIS:对关键跳点做 whois 与 bgp 查询,确认归属。4) 地理库核验:调用至少三家地理库API,记录城市/国家/ISP字段。5) 交叉验证:比较反向DNS、证书信息、HTTP头、延迟分布。6) 打分决策:按预先设定权重合成可信度。
避免单次测验结论,网络路径瞬时性强,应多次在不同时间段复测。尊重法律与隐私,不进行未授权的大规模端口扫描或入侵性测试。记录所有原始数据以便复查。
Linux/UNIX:traceroute -n -w 1 -q 3 目标IP;mtr -r -c 100 目标IP;whois 目标IP。Windows:tracert -d 目标IP。API示例:调用 MaxMind/IpInfo/IP2Location 获取地理字段并比对。