---
title: "ip 风险值受哪些因素影响：网络类型、ASN、代理标记与滥用记录"
description: "逐项说明影响 IP 风险值的七类因素：网络类型、ASN、代理/VPN 标记、Tor、DNS 黑名单、滥用举报和定位一致性，区分哪些是 IP 固有属性、哪些会随时间变化，并给出可直接运行的自查命令。"
url: https://cdnping.org/blog/what-affects-ip-risk-score
language: zh-CN
published: 2026-10-20
category: "IP 与隐私"
tags: ["IP 风险值","IP 信誉","ASN","DNS 黑名单","代理检测"]
source: cdnping.org
license: Free to quote and summarize with a link to the url above.
---
# ip 风险值受哪些因素影响：网络类型、ASN、代理标记与滥用记录

IP 风险值主要由两类信息决定：一类是这个地址“是什么”，比如属于哪个 ASN、是机房还是家宽、是不是 Tor 出口；另一类是它“做过什么”，比如有没有被邮件黑名单收录、有没有滥用举报。前一类基本跟着网段走，很少变化；后一类有时效，会随时间加上或消失。弄清楚某个分数来自哪一类，比盯着总分有用得多。

本文按因素逐项说明它是怎么被判断出来的、在 cdnping 里大致占多少权重、多久会变，最后给一份命令行自查清单。文中权重与 [数据方法](/methodology) 页面在本文发布时的规则一致，之后如有调整，以该页面为准。各来源的完整说明见 [IP 纯净度怎么算：14 个信誉来源的判断依据、权重与误判](/blog/ip-purity-score-explained)，本文不重复逐个来源，而是从“因素”这个角度来讲。

先说明边界：这里讲的是公开信誉数据怎么评价一个 IP，用来排查自己的网络和服务器。各平台的风控规则不公开，本文不讨论怎么绕过它们，也不提供“降低风险值”的技巧。

## 风险值是怎么加出来的？

cdnping 的做法是把信号分组，每组有上限，各组相加，总分封顶 100；纯净度 = 100 − 风险值。其他检测站的算法不同，同一个 IP 分数对不上很常见，原因见 [为什么不同网站测出的 IP 纯净度不一样](/blog/why-ip-purity-sites-disagree)。

下表把各组按“固有属性”和“会变的记录”分开：

| 因素 | cdnping 组上限 | 性质 | 多久会变 |
|---|---|---|---|
| 网络类型（机房特征） | 35 | 固有属性 | 网段换用途时才变 |
| ASN 是否在托管名单 | 计入机房组 | 固有属性 | 极少变 |
| 代理 / VPN 标记 | 45 | 介于两者之间 | 取决于各库更新周期 |
| proxycheck 风险分 | 20 | 介于两者之间 | 随该库模型更新 |
| Tor 出口 | 60 | 会变的记录 | 停止做出口后逐步移除 |
| DNS 黑名单 | 24 | 会变的记录 | 各名单规则不同 |
| 滥用举报（StopForumSpam） | 25 | 会变的记录 | 按记录次数计分，近 90 天内有记录另加分 |
| 广播 IP / 定位分歧 | 10 / 5 | 固有属性为主 | 注册信息或地理库更新时变 |

## 网络类型和 ASN：为什么机房 IP 天生分高？

ASN 是宣告这段地址路由的自治系统编号，对应一家运营商、云厂商或大型机构。判断“机房还是家宽”，首先看的就是 ASN 和网段注册信息：

- ASN 属于云厂商或托管商，ip-api、proxycheck 一类库会把它标为 hosting；
- RDAP 注册信息、组织名里出现 hosting、datacenter、vps、cloud、idc、“机房”等词，cdnping 会额外计分；
- ASN 在公开的托管 ASN 名单里，也会计分。

这几项在 cdnping 里合并成“机房组”，最多 35。设上限的原因是：机房出口本身不说明这个 IP 有问题。你自己的云服务器、公司的出口网关，命中机房组都是正常结果。

这类因素属于 IP 的固有属性。只要网段还归同一家云厂商、还做同样的用途，它就不会变。网段转手或改作企业专线后，各库会陆续更新，但有延迟。机房 IP 和家宽 IP 的五个识别维度见 [机房 IP 和家宽 IP 有什么区别](/blog/datacenter-ip-vs-residential-ip)。

## 代理 / VPN 标记是怎么来的？

代理标记来自 ip-api、proxycheck、IP2Location 等数据库。它们一般综合网段归属、主动扫描（比如端口上是否跑着代理协议）和历史观测来推断，不是某个人工审核的结论。

在 cdnping 里，这几家合成“代理组”，最多 45；proxycheck 另给一个 0–100 的风险分，达到 33 才计入，最多 20。几家库同时标记时分数会叠加，但代理组合计不超过 45。

这一项介于“固有”和“会变”之间：

- 同一网段被大量用作 VPN 出口，标记会长期存在；
- 某个 IP 短期做过代理后停用，标记会留一段时间，具体多久取决于各库的更新周期；
- 企业出口、校园网、运营商 CGNAT 这类多人共用的地址，也可能被误标。

判断时看“几家标了”：只有一家标记，旧数据或误判的可能性较大；多家同时标记，可信度更高。

## Tor 出口为什么权重最高？

Tor 出口节点列表由 Tor Project 公开发布，判断依据明确，不靠推测。cdnping 把 Tor Project 列表、dan.me.uk、proxycheck 的 TOR 类型、StopForumSpam 的 torexit 标记合并，任一命中计 60，命中后代理组不再重复计分。

这是一项会变的记录。一台机器不再做 Tor 出口后，各列表移除它的时间不同，短期内可能还有个别来源命中。

## DNS 黑名单和滥用举报：IP 的“历史”

这两组记录的是这个地址被观测到做过什么。

DNS 黑名单（DNSBL）大多为邮件服务器设计，收录垃圾邮件发送源、被控主机、开放代理等。cdnping 查询 DroneBL、SpamCop、Mailspike、Barracuda、UCEPROTECT、s5h，每命中一个计 8，最多 24，只对 IPv4 查询。

StopForumSpam 收集论坛和网站提交的垃圾注册、垃圾发帖 IP。cdnping 按记录次数计分，最近 90 天内出现过再加分，最多 25。

这两组变化最多，有几点要注意：

1. 记录跟着 IP 走，不跟着人走。动态家宽重新拨号拿到的地址，可能带着上一个用户留下的记录。
2. 共享出口会互相牵连。几百人共用一个出口，一人发垃圾信息，所有人都受影响。
3. 移除规则各不相同。有的名单到期自动移除，有的需要到官网申请。如果是你自己负责的服务器，先找到并修复发信或被控的原因，再按名单官网的流程处理。
4. 看最近一次记录的时间。几年前的举报，参考价值有限。

## 定位一致性：注册地和实际位置对不上

cdnping 用 11 个地理库投票定位，再和 RDAP 注册信息对照：

- 注册信息在 A 国，多数库认为在 B 国，判为广播 IP，计 10；原理见 [原生 IP 和广播 IP 的区别](/learn/native-ip-vs-broadcast-ip)。
- 参与投票的库够多，但结论国家的支持率偏低，计 5。新分配或频繁转手的网段常见这种情况。

这两项权重低，主要是因为大型云厂商和企业经常把在一个地区注册的网段用在别处，注册信息本身也可能过时。

还有一类“一致性”不计入风险值，但同样影响别人对你的判断：浏览器时区、语言和 IP 所在地对不上，或者 DNS、WebRTC 暴露了另一个出口。这部分见 [浏览器指纹与环境检测](/blog/browser-environment-consistency)。

## 怎么自己核对每一项？

先打开 [IP 与环境检测](/ip)，等所有项目跑完，记下命中了哪几组。然后在终端里逐项核对。下面的命令把 `203.0.113.7` 换成你要查的 IP（这是文档保留的示例地址）：

```bash
IP=203.0.113.7

# 0. 确认终端实际走的出口（浏览器和终端可能不是同一个）
curl -s https://www.cloudflare.com/cdn-cgi/trace | grep -E '^(ip|loc)='

# 1. ASN 与组织名（Team Cymru 公开 WHOIS）
whois -h whois.cymru.com " -v $IP"

# 2. RDAP 网段注册信息，看 name、country、remarks
curl -sL "https://rdap.org/ip/$IP" | head -c 2000

# 3. 反向解析，PTR 里常带云厂商或宽带命名
dig +short -x $IP

# 4. 是否在 Tor 出口列表里
curl -s https://check.torproject.org/torbulkexitlist | grep -x "$IP" && echo "Tor 出口"

# 5. 查一个 DNS 黑名单（IPv4 四段倒序 + 名单域名）
REV=$(echo $IP | awk -F. '{print $4"."$3"."$2"."$1}')
dig +short $REV.bl.spamcop.net   # 返回 127.0.0.2 表示已列入，无输出表示未列入
```

结果对照表：

| 核对结果 | 说明什么 | 下一步 |
|---|---|---|
| ASN 是云厂商，PTR 带云厂商命名 | 机房组命中是正常结果 | 知道即可，不需要处理 |
| 只有一家库标代理，其余未标 | 可能是旧数据或共享出口误判 | 过一段时间复查 |
| 在 Tor 列表里 | 风险值最大的一项 | 确认是否本机或网络里有 Tor 出口配置 |
| 自己的服务器在 DNSBL 里 | 曾被观测到发垃圾邮件或被控 | 先排查发信程序和入侵，再按名单官网流程申请移除 |
| 家宽 IP 在 DNSBL 里 | 多为整段动态地址收录或前一个用户的记录 | 一般不影响上网，不发邮件就无需处理 |
| 浏览器和终端出口不一样 | 两个出口要分别查 | 参考 [IPv6 代理不生效](/blog/ipv6-dual-stack-proxy-mismatch) 排查分流和双栈 |

如果想把出口 IP、DNS、WebRTC、API 延迟一起排查，可以按 [开发者网络自检清单（2026 版）](/blog/developer-network-self-check-2026) 的顺序走一遍。

## 风险值能说明什么，不能说明什么？

风险值描述的是公开信誉来源怎么看这个 IP。它能告诉你：这个地址属于什么网络、被哪些名单收录过、定位是否一致。它不能预测某个具体平台会怎么处理你的请求，各平台有自己的规则，也不公开。

分数高，最常见的原因是机房出口和共享出口，不一定是这个 IP 做过坏事；分数低，也不代表可以不看服务条款。使用 AI 服务时，以服务方公布的支持地区和条款为准，并遵守当地法规。