广告投放中如何识别代理和 VPN 流量？一套可落地的工程实践

在程序化广告投放中，代理和 VPN 流量的识别一直是个“老大难”问题。它不像 SQL 注入或 XSS 那样有明确的攻击特征，而是通过合法的网络转发行为，把异常流量包装成正常用户请求。

这带来的直接后果是：广告消耗被虚增，虚假展示和点击污染第一方数据资产，基于这些数据训练的投放模型逐渐偏离真实用户画像，最终导致整体投放效率下降。

更棘手的是，早期的识别手段——查端口、看协议名称、匹配已知代理 IP——现在基本失效了。Shadowsocks、Trojan、Hysteria 等工具早已将自身流量伪装成正常的 HTTPS 或 QUIC 连接，住宅代理更是直接使用真实家庭宽带 IP，从网络类型上判断与普通用户毫无差异。

那么，在工程实践中，我们到底该如何有效地识别这类流量？本文从三个层次展开。

第一层：IP 情报分析——从哪里来？

IP 地址是广告请求中最基础的信号。识别代理流量的第一步，就是判定发起请求的 IP 属于何种网络环境。

一个 IP 可能来自以下几个场景：家庭宽带（ISP）、移动蜂窝网络、数据中心（如 AWS、阿里云），以及代理/VPN 出口节点。

数据中心 IP 段通常是公开的，通过 BGP 路由信息或 IP 注册信息可以较容易识别。但真正的挑战在于代理和 VPN 的识别——它们经常动态变化，且高级住宅代理使用的就是真实家庭 IP。

这时候需要依赖专业的 IP 情报数据库。这类数据源通常提供几个关键字段：

网络类型（network_type）：标记 IP 属于数据中心、ISP 还是移动网络。如果返回“Data Center”，基本可判定为机房流量，这类 IP 常被用于部署自动化脚本或批量点击。

代理/VPN 标识：布尔字段，表明该 IP 当前或近期是否被用于代理/VPN 服务。需要注意的是，这个标识的准确率高度依赖数据的新鲜度——代理 IP 池的更新频率可能以小时为单位，静态库几乎无效。

风险评分：基于 IP 的历史行为（是否曾作为垃圾邮件源、攻击源）给出的综合评估值。

在技术选型上，IPIP、IP2Location 和 Digital Element 是常被提及的选型参考，不过，仅靠 IP 情报远远不够。黑产已经大量使用住宅代理，这类 IP 在网络类型上与真实用户完全一致，必须引入第二层判断。

第二层：行为特征分析——像不像人？

IP 可以被代理轻松更换，但行为模式很难完美模拟。

“不可能的地理跳跃”检测是其中最有效的策略之一。通过会话 ID 或设备 ID 关联用户的历史请求记录，如果同一用户在 5 分钟内分别来自北京和纽约，无论 IP 属性如何，这都是一次高度可疑的请求。物理位移的极限决定了这种跳跃不可能由真人完成。

高频与模式化请求检测同样关键。真实用户的操作存在随机性和间隔，而自动化工具常表现为在极短时间内发出大量规律性请求，比如每秒固定次数的轮询。对单一 IP 在时间窗口内的请求频次进行统计分析，可以快速锁定异常。

转化链路一致性校验是另一个实用手段。对比广告点击事件和后续转化事件（如表单提交、App 下载）发生的 IP 属地，如果不一致，说明归因路径可能被代理跳转污染。这在家装、金融等高客单价行业的广告投放中尤其需要关注。

时区与活跃时间矛盾也能提供辅助信号。一个 IP 归属地为巴西的用户，持续在巴西时间凌晨 3 点产生大量点击行为，显然不符合自然人作息。

第三层：设备指纹与一致性校验——换 IP 也换不掉的特征

IP 可以被代理轻松更换，但设备的软硬件特征组合难以被完美模拟。

设备指纹技术通过收集操作系统版本、浏览器版本、屏幕分辨率、已安装字体列表、WebGL 渲染器信息、时区与系统语言设置等维度，生成相对唯一的设备标识。

在代理流量识别中，设备指纹的价值体现在两方面：

集群识别：如果大量“不同用户”请求携带的指纹信息完全一致（例如均为相同的无头浏览器环境），则极可能是同一台代理服务器在批量发送请求。

一致性校验：IP 归属地对应的时区/语言，与设备指纹中的系统时区/语言设置是否匹配。一个声称来自日本的请求，如果系统语言是简体中文、时区是 Asia/Shanghai，且浏览器 Accept-Language 为 zh-CN，其可信度就值得怀疑。

工程落地的几个实际问题

自建还是采购？ 维护一套覆盖全球、日更级别的代理/VPN 识别库，成本极高。大多数团队的选择是采购商业数据源。MaxMind 提供了相对经济的入门方案，Digital Element 在准确度和代理数据库的全面性上有更深的积累，IP2Location 则在中低价位段有较多用户。关键指标不是数据库大小，而是更新频率和误报率。

误报的代价。 广告投放场景下，把真实用户误判为代理的代价可能比漏判更高——你损失的是一个真实的高价值转化。建议在策略上分级处理：代理 IP 标识明确的直接过滤，风险评分中等的降权而非封禁，结合设备指纹和行为数据做综合判断。

住宅代理的对抗。 这是目前最难解决的问题。住宅代理 IP 本身来自真实家庭宽带，网络类型字段无法区分。有效的思路是结合行为特征：住宅 IP 配合异常请求频率、固定时间间隔、无鼠标轨迹等信号，可以较高置信度地判定为代理流量。

结语

代理和 VPN 流量的识别，本质上是一场持续对抗。没有一劳永逸的规则，只有不断迭代的多信号融合策略。从 IP 情报到行为分析再到设备指纹，每一层都在提高伪装的成本。对于广告投放团队而言，理解这三层框架，比单纯依赖某一个“黑名单”或“风险评分”字段更为重要。