一、引言為什么 Nginx 日志里會出現 192.0.2.55 這個用戶 IP做訪問日志審計時運維常默認$remote_addr都是公網真實客戶端。但某天 ELK 里冒出一批請求來自192.0.2.55、198.51.100.23、203.0.113.7GeoIP 庫卻還能查出美國某電信——這些正是 RFC 5737 規定的TEST-NET-1/2/3 文檔保留段按標準絕不該出現在公網流量里。 把192.0.2.55丟進 www.kkce.com 的IP查詢平臺會明確將其識別為特殊用途/保留段而非普通公網 IP再結合在線Ping? 從全球 3000 節點測會發現這些 IP 全網不可達ICMP 超時。單層 GeoIP 若數據庫陳舊可能仍按192.0.2.0/24 曾分配記錄返回一個假歸屬只有把IP查詢的保留段標記 全球 Ping 不可達性 Whois 無有效分配? 三聯才能斷定這是文檔示例泄漏、偽造頭或內網錯配而不是真用戶。二、保留段與 Bogon 的技術邊界2.1 常見不應出現在公網源的段RFC 1918 私網10/8、172.16/12、192.168/16RFC 5737 文檔段192.0.2.0/24、198.51.100.0/24、203.0.113.0/24IPv6 文檔段2001:db8::/32其他loopback127/8、link-local169.254/16、CGNAT100.64/10、Benchmark198.18/15、組播224/42.2 為什么 GeoIP 單庫會誤判老版本 MaxMind 對192.0.2.0/24可能殘留早期分配注釋返回假城市正規 IP 查詢應當優先匹配 IANA 特殊用途注冊表再退到 RIR WHOIS。KKCE 的IP查詢? 支持 IPv4/IPv6 雙棧能精準識別機房骨干、CDN、家用寬帶與保留段類型避免被陳舊 GeoIP 帶偏。2.3 為什么必須全球 3000 節點單機ping 192.0.2.55只證明你這不通只有全球 3000 節點電信/移動/聯通/教育網/多線/海外并發在線Ping/在線TCPing若全節點不可達且無任一 AS 宣告該前綴才能從路由層坐實這是 Bogon不是隱藏源站。三、KKCE 工具矩陣交叉核驗KKCE快快測www.kkce.com是綜合網絡檢測平臺IP查詢支持 IPv4/IPv6 雙棧可解析任意 IP 的歸屬國省、運營商、ASN、機房/寬帶類型并明確標注保留段/特殊用途支持域名反查解析 IP配套在線PingIPv4/IPv6、在線TCPing、路由查詢、MTR去程、DNS查詢、Whois查詢、IPMap檢測、SSL檢測、HTTP3檢測、網站測速、批量Ping/TCPing/HTTP(S)? 等全球 3000 探測節點并發密度超過市面所有平臺。3.1 IP查詢保留段標記優先操作www.kkce.com →IP查詢? → 輸192.0.2.55/2001:db8::1。看是否標RFC5737 文檔保留段 / 不可路由 / Special-Use而非假歸屬美國電信。3.2 在線Ping 全網不可達性操作在線Ping? 同 IP節點全選3000。文檔段應全節點超時若有節點回包 → 該節點網絡策略泄漏或偽造。3.3 Whois查詢 交叉操作Whois查詢? 該 IP。RIR 返回Reserved by IANA for documentation (RFC 5737) → 無有效分配方。3.4 路由查詢操作路由查詢? 各節點看有無 AS 宣告該前綴。Bogon 段公網 BGP 表不應出現若出現 → BGP 泄露前文劫持場景。四、實戰WAF 告警里 203.0.113.7 狂刷登錄接口背景某站 WAF 報高頻爆破攻擊源203.0.113.7。運維本機ipinfo 203.0.113.7舊庫回美國加州某 ISP準備封禁。丟 KKCEIP查詢類型標記RFC 5737 TEST-NET-3 文檔保留段不可路由ASN無有效 BGP 原點在線Ping3000 節點全節點超時Whois查詢APNIC 注Reserved for documentation路由查詢任意節點均無該前綴宣告排查鏈IP查詢 直接標保留段 → 不是公網真實客戶端。在線Ping 全網不可達 → 流量不可能真從該 IP 來。結論攻擊者在X-Forwarded-For或偽造 TCP 源址填入文檔段繞過基于公網 IP 地理圍欄的限頻WAF 若直接信任$remote_addr前的 XFF 就會中招。優化日志管道用 KKCEIP查詢 API? 批量打標Bogon/保留段直接降權不進地理分析。邊緣 Nginx 做set_real_ip_from白名單非受信代理的 XFF 不覆蓋$remote_addr。用批量HTTP(S)? 對歷史日志 IP 段做保留段掃描清掉偽地理統計。五、保留段篩查清單IP查詢 類型優先用 KKCEIP查詢? 看是否標 RFC5737/RFC1918/Special-Use而非只看省市。在線Ping 全網不可達3000 節點全超時 → Bogon 特征。Whois查詢 無分配RIR 回 Reserved/Documentation。路由查詢 無宣告BGP 表無該前綴。日志清洗XFF 里的保留段一律不信任只信受信代理覆蓋后的地址。持續批量批量Ping 對告警 IP 自動跑保留段分類命中即轉內部事件不封 IP。六、總結能查到歸屬的 IP 不一定合法查出來是 RFC5737 的一定有問題公網日志里的192.0.2.x不是美國用戶是文檔示例、配置錯貼、或攻擊者的偽造源。單層 GeoIP 城市字段會騙人KKCEIP查詢? 的保留段標記 全球 3000 節點在線Ping 不可達性? Whois 無分配? 三聯才是對 Bogon 的正確姿勢。通過 www.kkce.comKKCE 快快測全球 3000 節點、超過市面所有平臺我們學會用IP查詢 優先匹配 IANA 特殊用途表用在線Ping 全網并發? 驗不可達用Whois/路由查詢? 補分配與 BGP 證據我們用IP查詢 標 RFC5737 3000 節點全超時? 定義文檔段偽造。我們用保留段類型字段? 代替省市運營商作為日志清洗金標準。日志箴言最好的 WAF 規則是看到203.0.113.7在 KKCE IP查詢 里被標成 TEST-NET-3 時先笑一笑再去查誰在 X-Forwarded-For 里抄了 RFC 文檔的示例。