VPN 与 Tor 出口节点数据库

涵盖商业 VPN 服务、Tor 中继，以及通过多个独立威胁信号检测到的高滥用个别 IP 背后的基础设施。VPN 供应商归属基于 ASN 所有权数据推断——当某网络地址段直接注册给已知的 VPN 运营商时，即可识别该供应商。托管在共享基础设施（M247、Datacamp、Clouvider）上的地址段仅显示 ISP 名称，因为这些 ASN 上共存数十个 VPN 服务，单一供应商归属会产生误导。

此数据库中的每条记录均来自四条分类管线之一。来自多条管线的记录会按来源优先级去重：Tor 出口节点优先于 VPN 地址段，VPN 地址段优先于一般威胁情报。结果是每个 IP 只有一个标准分类，不会在各类别间出现重复行。

列定义

IP / CIDR

网络地址段或单个 IP。CIDR 表示法如 185.220.101.0/24 表示整个 /24 子网都已确认为 VPN 或 Tor 基础设施——而非其中单个被标记的主机。

供应商

通过 ASN 所有权与该地址段关联的 VPN 服务。仅当该 ASN 专属注册给某 VPN 运营商时才会填入；共享托管 ASN 则留空，ISP 列会显示实际的网络运营商。

ISP

通过 BGP 宣告该 IP 地址段的自治系统（AS）。若为运营商自有 ASN，则与供应商一致；若为租用基础设施，则显示托管公司（如 M247、Zenlayer、Serverius）。

国家

该地址段注册或路由所在的国家。对 VPN 与 Tor 节点而言，这是服务器所在地，而非背后用户的位置。运营商会刻意基于法律与路由考量选择司法管辖区。

分类

VPN——已确认的商业 VPN 出口地址段。Tor 出口节点——将 Tor 电路流量导向公开互联网；来自此处的连接已离开匿名网络。Tor 中继——仅为网络内部跳点，不会发起对外连接。威胁情报——经 3 个以上独立封锁列表佐证的单个 IP。

分类运作方式

该管线同时运行四种数据源，再将结果合并为每个 IP 一条的标准记录。当某 IP 出现在多个类别中时，分类优先级为：Tor 出口 > VPN 地址段 > 威胁情报 > Tor 中继。这可避免重复计数，并确保最具安全意义的标签胜出。

威胁情报记录需要跨情报源佐证：仅纳入被 3 个以上独立封锁列表标记的 IP。单一来源的标记会被排除，以降低过时或低质量情报源造成的误报。

应用场景

访问控制

阻止或标记来自 VPN 出口节点与 Tor 出口的注册、登录与购买行为。在真实身份至关重要的场景下，可减少拒付、撞库与账户欺诈。

分析数据清理

从产品分析管线中过滤 VPN 与 Tor 流量。单个重度用户频繁切换 VPN 出口节点，就可能大幅膨胀会话数并扭曲转化漏斗。

欺诈评分

与速度检查、设备指纹和行为模式一并纳入综合风险信号。单靠命中 VPN 并不等于欺诈——但结合其他信号后会显著改变风险概率。

安全运营

丰富 SIEM 事件与 WAF 日志。无论负载内容如何，来自 Tor 出口节点或已知威胁情报 IP 的入站连接都值得提高警惕。

具有直接 ASN 归属的 VPN 供应商（已识别 19 家）

归属判定为尽力而为。向共享托管公司租用 IP 空间的供应商，会显示在该托管 ISP 之下。要实现完整的 VPN 覆盖，需要主动的服务器枚举，这已超出仅凭 BGP/ASN 数据所能支持的范围。上述列表仅代表已确认的运营商与 ASN 对应关系。

情报来源

VPN 地址段

由 BGP 推导出的已知 VPN 服务器地址段 CIDR 列表，基于路由分析与主动服务器枚举构建，由社区持续更新。

Tor 出口节点

来自 Tor Project 的官方批量出口节点列表——即任何时刻可能发起 Tor 出口流量的 IP 的权威记录。

Tor 中继节点

完整的 Tor 中继注册数据，包含中继指纹、IP 地址与 OR 端口，涵盖未列入出口列表的网络内部中继。

威胁情报

多来源黑名单聚合工具。每个贡献情报源均独立运作；通过 3 个情报源门槛的 IP，代表已由多个彼此无协调的组织确认为恶意。