VPN & Tor 出口節點資料庫

涵蓋商業 VPN 服務、Tor 中繼，以及透過多個獨立威脅訊號偵測到的高濫用個別 IP 背後的基礎架構。VPN 供應商歸屬是根據 ASN 所有權資料推斷——當某網路範圍直接註冊給已知的 VPN 業者時，即可識別出該供應商。託管於共用基礎架構（M247、Datacamp、Clouvider）的範圍僅顯示 ISP 名稱，因為這些 ASN 上共存數十個 VPN 服務，單一供應商歸屬會產生誤導。

此資料庫中的每筆項目均來自四條分類管線之一。來自多條管線的項目會依來源優先順序去除重複：Tor 出口節點優先於 VPN 範圍，VPN 範圍優先於一般威脅情資。結果是每個 IP 只有一個標準分類，不會在各類別間出現重複列。

欄位定義

IP / CIDR

網路範圍或個別 IP。CIDR 標記如 185.220.101.0/24 表示整個 /24 子網路皆已確認為 VPN 或 Tor 基礎架構——而非其中單一被標記的主機。

供應商

透過 ASN 所有權與此範圍連結的 VPN 服務。僅當該 ASN 專屬註冊給某 VPN 業者時才會填入；共用主機 ASN 則留空，ISP 欄位會顯示實際的網路業者。

ISP

透過 BGP 宣告此 IP 區塊的自治系統（AS）。若為業者自有 ASN，則與供應商一致；若為租用基礎架構，則顯示託管公司（如 M247、Zenlayer、Serverius）。

國家

此區塊註冊或路由所在的國家。對 VPN 與 Tor 節點而言，這是伺服器所在地，而非背後使用者的位置。業者會刻意基於法律與路由考量選擇司法管轄區。

分類

VPN——已確認的商業 VPN 出口範圍。Tor 出口節點——將 Tor 電路流量導向公開網際網路；來自此處的連線已離開匿名網路。Tor 中繼——僅為網路內部跳點，不會發起對外連線。威脅情資——經 3 個以上獨立封鎖清單佐證的個別 IP。

分類運作方式

此管線同時執行四種資料來源，再將結果合併為每個 IP 一筆的標準項目。當某 IP 出現在多個類別中時，分類優先順序為：Tor 出口 > VPN 範圍 > 威脅情資 > Tor 中繼。這可避免重複計算，並確保最具安全意義的標籤勝出。

威脅情資項目需要跨情資來源佐證：僅納入被 3 個以上獨立封鎖清單標記的 IP。單一來源的標記會被排除，以降低過時或低品質情資造成的誤判。

應用情境

存取控制

封鎖或標記來自 VPN 出口節點與 Tor 出口的註冊、登入與購買行為。在真實身分至關重要的情況下，可減少退款爭議、憑證填充攻擊與帳戶詐騙。

分析資料清理

從產品分析管線中過濾 VPN 與 Tor 流量。單一重度使用者頻繁切換 VPN 出口節點，就可能大幅膨脹工作階段數並扭曲轉換漏斗。

詐騙評分

與速度檢查、裝置指紋辨識及行為模式一併納入綜合風險訊號。單靠命中 VPN 並不等於詐騙——但結合其他訊號後會實質改變風險機率。

資安維運

豐富 SIEM 事件與 WAF 記錄。無論酬載內容為何，來自 Tor 出口節點或已知威脅情資 IP 的連入連線都值得提高警覺。

具直接 ASN 歸屬的 VPN 供應商（已識別 19 家）

歸屬判定為盡力而為。向共用主機公司租用 IP 空間的供應商，會顯示在該託管 ISP 之下。要達到完整的 VPN 涵蓋範圍，需要主動的伺服器列舉，這已超出僅憑 BGP／ASN 資料所能支援的範圍。上述清單僅代表已確認的業者對 ASN 對應關係。

情資來源

VPN 範圍

由 BGP 推導出的已知 VPN 伺服器範圍 CIDR 清單，根據路由分析與主動伺服器列舉建立，由社群持續更新。

Tor 出口節點

來自 Tor Project 的官方大量出口節點清單——即任何時刻可能發起 Tor 出口流量的 IP 之權威紀錄。

Tor 中繼節點

完整的 Tor 中繼登記資料，包含中繼指紋、IP 位址與 OR 連接埠，涵蓋未列於出口清單的網路內部中繼。

威脅情資

多來源黑名單彙整工具。每個貢獻情資皆獨立運作；通過 3 個情資門檻的 IP，代表已由多個彼此無協調的組織確認為惡意。