住宅代理检测：为何如此困难
住宅代理检测，是指试图识别那些经由普通家庭或移动网络连接路由的流量，这些连接被其所有者出租出去，这是 IP 情报领域最困难的问题之一。ipto 不检测住宅代理。它的标记涵盖 VPN、Tor、滥用和数据中心地址，而住宅代理通常会返回干净的结果，因此在你仅围绕 IP 数据设计防御之前，值得先弄清楚原因。
住宅代理如何运作
数据中心代理运行在托管网络的服务器上，因此其地址属于托管 ASN，很容易归属。住宅代理则不同：出口地址属于消费级 ISP，分配给真实的家庭或手机。服务商通过捆绑在应用、浏览器扩展或设备中的软件获得对这些连接的访问权，其中设备所有者同意（往往没有太留意）共享带宽；或者通过未经同意就把设备登记进来的恶意软件。客户的流量会经由服务商选定的任何一台已登记设备中继。
对目标网站而言，请求来自一个由正常 ISP 拥有的地址，位于正常的消费级地址段，城市也合乎情理。注册数据中没有任何内容将其标记为代理，因为在网络层面，它并不是代理服务，而是一条合法的用户线路，承载着并非由该用户发起的流量。
为什么基于列表的检测会失败
大多数基于 IP 的代理检测依靠归属与列表：已公布的 VPN 和 Tor 出口列表，加上显示某个地址位于托管或 VPN 网络内的 ASN 数据。由于基础设施集中且稳定，这种方法对数据中心代理有效。住宅网络则打破了每一项假设。
- 没有稳定的基础设施。出口地址分布在成千上万个消费级 ISP 中，因此没有一小批 ASN 可以标记。封锁这些 ASN 会封锁普通客户。
- 持续轮换。服务商可以为每个请求或会话分配不同的设备，因而是不同的地址。任何列表在发布之前就已经过时。
- 共享地址。同一个 IP 可能同时服务于一个真实的家庭、一个有许多用户的运营商级 NAT 池，以及一个代理会话，因此即便在原理上，地址级别的结论也是含糊的。
- 起初信誉干净。新登记的设备没有滥用历史，所以在它被不当使用之前，信誉情报源无从报告。
实际后果是，像 ipto 的 VPN、Tor 与代理检查器这样的查询返回“未知”，告诉你的只是该地址不在已知的 VPN 或 Tor 列表中，也不在面向托管的网络里。它并不能告诉你这些流量来自真人。
哪些方法仍然有帮助
既然 IP 本身携带的证据很少，检测就转向行为和上下文。这些方法单独来看都不是决定性的，而且都需要来自你自己应用的数据，而不是来自 IP 查询。
- 行为模式：请求节奏、导航顺序、缺失的资源加载、完全相同的表单填写耗时，以及不像真人的会话时长。
- 客户端一致性：解析出的 User-Agent 与其他请求头、语言设置或 TLS 特征不一致。User-Agent 解析器是快速检查所声明的浏览器和操作系统在内部是否合理的方法。
- 跨账户的速率：大量注册、登录或结账分散在许多各自安静的不同地址上。
- 网络上下文：ASN 查询告诉你某个地址位于哪个 ISP，这有助于发现一波流量在各服务商之间的分布异常广泛，不过它无法证明存在代理。
- 综合风险：将 IP、邮箱和电话信号结合起来，如欺诈评分检查器所做的那样，可以捕捉地址看似正常但身份信息有问题的情形。
围绕这一缺口进行设计
将 IP 情报视为其中一层，并明确说明它覆盖什么。ipto 的 IP 查询返回 is_vpn、is_tor、is_abuser 和 is_datacenter，其威胁情报源每 6 小时刷新一次，这对于从托管网络发出的大部分不受欢迎的自动化流量很有用。对于其余部分，应依靠按账户和按操作的速率限制、敏感操作的升级验证，以及评估客户端而非地址的机器人挑战流程。
对任何声称仅凭 IP 地址就能确定识别住宅代理的人要保持警惕。由于该地址是真实的用户线路，诚实的立场只能是概率性的：有些服务商和供应商声称可以从流量分析或设备级数据推断代理使用，但没有任何公开的 IP 列表能够确证这一点。关于 VPN 列表如何构建的相关背景，见 VPN 检测的工作原理。