1.
目标与准备
- 目标:确认某个IP是否为“
香港原生IP”,并识别所属运营商与出口AS。
- 工具:ping/traceroute(mtr)、tcptraceroute、whois/rdap、curl、openssl、nmap(可选)、GeoIP库(MaxMind)、在线服务(ipinfo、bgp.he.net)、RIPE Atlas/Looking Glass。
- 环境:有能力从本地和第三方节点发起探测(推荐使用云主机或公开探针)。
2.
获取待测IP并做基本格式检查
- 操作:记录目标IP(IPv4/IPv6)。确认无端口信息,只保留IP。
- 检查:使用ping -c 4
查看是否有响应;若无响应,不代表非香港,继续后续探测。
3.
反向DNS与WHOIS初筛
- 反向DNS:dig -x +short 或 host 查看PTR记录,PTR通常显示ISP或机房信息。
- WHOIS/RDAP:whois 或 rdap ip (部分系统用rdap)查看注册组织、注册地及公告的管理机构(APNIC)。记录NetRange、OrgTechHandle、origin AS等。
4.
使用traceroute/mtr观察路由路径
- 命令示例:traceroute -n 或 mtr -r -c 10 。
- 看点:最后几跳的AS号和地理标签,若跳点直接在香港或经过香港AS(如HKT、PCCW、HGC等),为重要证据。注意中间有“*”或被过滤不代表不在香港。
5.
使用TCP/UDP traceroute与端口探测
- 原因:有些节点对ICMP封锁,可用tcptraceroute或traceroute -T -p 443 探测TCP路径。
- 示例:sudo tcptraceroute 443 或 traceroute -T -p 443 。若返回与HTTPS端口一致的跳点,说明是真实服务节点。
6.
BGP与AS信息核验
- 在线查询:访问 https://bgp.he.net/ip/ 输入IP查看origin AS、公告前缀和路径。
- 本地工具:使用 whois 查询origin AS,或通过命令 bgpq3/routeviews 查询。记录origin AS号并搜索该AS归属(如是否为香港注册运营商)。
7.
使用GeoIP数据库做地理位置比对
- 本地库:下载MaxMind GeoLite2 City,使用 mmdblookup 或 geoiplookup 命令查询:mmdblookup --file GeoLite2-City.mmdb --ip 。
- 在线比对:用 ipinfo.io/、ipapi.co/ 比较返回的country/region/city字段,若多数显示Hong Kong且与BGP/WHOIS一致,可信度高。
8.
证书与HTTP头信息补充验证
- HTTPS证书:openssl s_client -connect :443 -servername <域名>(若无域名可直接连IP)查看证书Subject、Issuer及altNames,证书信息可能显示机房或服务商。
- HTTP头:curl -I --resolve "<域名>:443:" https://<域名>/ 查看Server、Via、X-Forwarded-For等,识别是否有CDN/代理痕迹。
9.
多点延迟比对与RIPE Atlas探针
- 延迟判断:用ping从亚洲多个节点(新加坡、日本、内地不同省份)测延迟,香港到香港通常在5-30ms内。
- RIPE Atlas:若有Atlas账号,可在https://atlas.ripe.net 发起针对目标IP的ping/traceroute测量,从多个全球探针获取延迟与路径差异。
10.
使用Looking Glass与运营商工具交叉确认
- 查找香港主要运营商的Looking Glass(PCCW、HKT、HKBN、HGC等),在LG中执行show ip route 或 traceroute to ,确认该前缀是否由港方AS公告。
- 如果LG显示该前缀在香港广告(advertised),说明该IP前缀从该运营商出口到互联网。
11.
检测是否为代理/VPN/云IP的辅助方法
- 端口与服务检查:nmap -sV -Pn 查看开放端口和服务特征,云服务和VPN常见特征(SSH登录banner、管理面板)。
- IP信誉/数据库:检查是否列入VPN/Proxy数据库(如ipinfo的privacy字段或 VPN/proxy lists),若是则需谨慎判定“原生”。
12.
组合判定规则:如何判定“原生香港IP”
- 必要证据:WHOIS/rdap显示分配给港司或在APNIC记录中有香港信息;origin AS归属香港ISP;traceroute和RIPE Atlas显示经香港跳点且延迟合理;GeoIP多源一致。
- 判定:满足3项以上且无明显代理证据,可判定为“原生香港IP”。若证据冲突,列为“可疑/需更多验证”。
13.
常见伪装与识别技巧
- 伪装方式:使用境外VPN出口香港IP、BGP劫持或任何中间代理。
- 识别要点:延迟异常(与香港探针不符)、WHOIS与AS信息不匹配、证书/HTTP头显示CDN或反向代理、多个GeoIP库结果不一致。
14.
合规性与操作注意
- 合规:探测行为通常无害,但避免对目标发起攻击性扫描或大量探测。遵守当地法律与服务商条款。
- 记录保存:保存所有命令输出(whois、traceroute、mtr、bgp查询、GeoIP结果)以备审计或后续复核。
Q1: 如何最快初步判断一个IP是不是香港IP?
A1: 最快方法是:1) WHOIS/rdap看分配信息;2) traceroute看最后几跳是否在香港AS;3) 用ipinfo/ipapi在线查地理位置;若三者一致大概率为香港。
Q2: 若WHOIS显示香港但GeoIP显示中国大陆,怎么办?
A2: 出现这种情况说明数据库不同步或IP曾被转移。应以BGP/AS公告和实际路由为准,结合RIPE Atlas延迟测量与多个GeoIP库交叉确认。
Q3: 我能百分百确定一个IP是“原生香港”吗?
A3: 很难达到100%绝对确定,但当WHOIS、origin AS、traceroute路径、RIPE Atlas延迟和多个GeoIP一致,并且无代理/云服务证据时,可以做出高度可信的判断。
来源:如何检测和认证香港原生ip节点的真实位置与运营商信息