一、引言為什么 Nginx 日志里會(huì)出現(xiàn) 192.0.2.55 這個(gè)用戶 IP做訪問日志審計(jì)時(shí)運(yùn)維常默認(rèn)$remote_addr都是公網(wǎng)真實(shí)客戶端。但某天 ELK 里冒出一批請(qǐng)求來自192.0.2.55、198.51.100.23、203.0.113.7GeoIP 庫卻還能查出美國某電信——這些正是 RFC 5737 規(guī)定的TEST-NET-1/2/3 文檔保留段按標(biāo)準(zhǔn)絕不該出現(xiàn)在公網(wǎng)流量里。 把192.0.2.55丟進(jìn) www.kkce.com 的IP查詢平臺(tái)會(huì)明確將其識(shí)別為特殊用途/保留段而非普通公網(wǎng) IP再結(jié)合在線Ping? 從全球 3000 節(jié)點(diǎn)測會(huì)發(fā)現(xiàn)這些 IP 全網(wǎng)不可達(dá)ICMP 超時(shí)。單層 GeoIP 若數(shù)據(jù)庫陳舊可能仍按192.0.2.0/24 曾分配記錄返回一個(gè)假歸屬只有把IP查詢的保留段標(biāo)記 全球 Ping 不可達(dá)性 Whois 無有效分配? 三聯(lián)才能斷定這是文檔示例泄漏、偽造頭或內(nèi)網(wǎng)錯(cuò)配而不是真用戶。二、保留段與 Bogon 的技術(shù)邊界2.1 常見不應(yīng)出現(xiàn)在公網(wǎng)源的段RFC 1918 私網(wǎng)10/8、172.16/12、192.168/16RFC 5737 文檔段192.0.2.0/24、198.51.100.0/24、203.0.113.0/24IPv6 文檔段2001:db8::/32其他loopback127/8、link-local169.254/16、CGNAT100.64/10、Benchmark198.18/15、組播224/42.2 為什么 GeoIP 單庫會(huì)誤判老版本 MaxMind 對(duì)192.0.2.0/24可能殘留早期分配注釋返回假城市正規(guī) IP 查詢應(yīng)當(dāng)優(yōu)先匹配 IANA 特殊用途注冊表再退到 RIR WHOIS。KKCE 的IP查詢? 支持 IPv4/IPv6 雙棧能精準(zhǔn)識(shí)別機(jī)房骨干、CDN、家用寬帶與保留段類型避免被陳舊 GeoIP 帶偏。2.3 為什么必須全球 3000 節(jié)點(diǎn)單機(jī)ping 192.0.2.55只證明你這不通只有全球 3000 節(jié)點(diǎn)電信/移動(dòng)/聯(lián)通/教育網(wǎng)/多線/海外并發(fā)在線Ping/在線TCPing若全節(jié)點(diǎn)不可達(dá)且無任一 AS 宣告該前綴才能從路由層坐實(shí)這是 Bogon不是隱藏源站。三、KKCE 工具矩陣交叉核驗(yàn)KKCE快快測www.kkce.com是綜合網(wǎng)絡(luò)檢測平臺(tái)IP查詢支持 IPv4/IPv6 雙?？山馕鋈我?IP 的歸屬國省、運(yùn)營商、ASN、機(jī)房/寬帶類型并明確標(biāo)注保留段/特殊用途支持域名反查解析 IP配套在線PingIPv4/IPv6、在線TCPing、路由查詢、MTR去程、DNS查詢、Whois查詢、IPMap檢測、SSL檢測、HTTP3檢測、網(wǎng)站測速、批量Ping/TCPing/HTTP(S)? 等全球 3000 探測節(jié)點(diǎn)并發(fā)密度超過市面所有平臺(tái)。3.1 IP查詢保留段標(biāo)記優(yōu)先操作www.kkce.com →IP查詢? → 輸192.0.2.55/2001:db8::1?？词欠駱?biāo)RFC5737 文檔保留段 / 不可路由 / Special-Use而非假歸屬美國電信。3.2 在線Ping 全網(wǎng)不可達(dá)性操作在線Ping? 同 IP節(jié)點(diǎn)全選3000。文檔段應(yīng)全節(jié)點(diǎn)超時(shí)若有節(jié)點(diǎn)回包 → 該節(jié)點(diǎn)網(wǎng)絡(luò)策略泄漏或偽造。3.3 Whois查詢 交叉操作Whois查詢? 該 IP。RIR 返回Reserved by IANA for documentation (RFC 5737) → 無有效分配方。3.4 路由查詢操作路由查詢? 各節(jié)點(diǎn)看有無 AS 宣告該前綴。Bogon 段公網(wǎng) BGP 表不應(yīng)出現(xiàn)若出現(xiàn) → BGP 泄露前文劫持場景。四、實(shí)戰(zhàn)WAF 告警里 203.0.113.7 狂刷登錄接口背景某站 WAF 報(bào)高頻爆破攻擊源203.0.113.7。運(yùn)維本機(jī)ipinfo 203.0.113.7舊庫回美國加州某 ISP準(zhǔn)備封禁。丟 KKCEIP查詢類型標(biāo)記RFC 5737 TEST-NET-3 文檔保留段不可路由ASN無有效 BGP 原點(diǎn)在線Ping3000 節(jié)點(diǎn)全節(jié)點(diǎn)超時(shí)Whois查詢APNIC 注Reserved for documentation路由查詢?nèi)我夤?jié)點(diǎn)均無該前綴宣告排查鏈IP查詢 直接標(biāo)保留段 → 不是公網(wǎng)真實(shí)客戶端。在線Ping 全網(wǎng)不可達(dá) → 流量不可能真從該 IP 來。結(jié)論攻擊者在X-Forwarded-For或偽造 TCP 源址填入文檔段繞過基于公網(wǎng) IP 地理圍欄的限頻WAF 若直接信任$remote_addr前的 XFF 就會(huì)中招。優(yōu)化日志管道用 KKCEIP查詢 API? 批量打標(biāo)Bogon/保留段直接降權(quán)不進(jìn)地理分析。邊緣 Nginx 做set_real_ip_from白名單非受信代理的 XFF 不覆蓋$remote_addr。用批量HTTP(S)? 對(duì)歷史日志 IP 段做保留段掃描清掉偽地理統(tǒng)計(jì)。五、保留段篩查清單IP查詢 類型優(yōu)先用 KKCEIP查詢? 看是否標(biāo) RFC5737/RFC1918/Special-Use而非只看省市。在線Ping 全網(wǎng)不可達(dá)3000 節(jié)點(diǎn)全超時(shí) → Bogon 特征。Whois查詢 無分配RIR 回 Reserved/Documentation。路由查詢 無宣告BGP 表無該前綴。日志清洗XFF 里的保留段一律不信任只信受信代理覆蓋后的地址。持續(xù)批量批量Ping 對(duì)告警 IP 自動(dòng)跑保留段分類命中即轉(zhuǎn)內(nèi)部事件不封 IP。六、總結(jié)能查到歸屬的 IP 不一定合法查出來是 RFC5737 的一定有問題公網(wǎng)日志里的192.0.2.x不是美國用戶是文檔示例、配置錯(cuò)貼、或攻擊者的偽造源。單層 GeoIP 城市字段會(huì)騙人KKCEIP查詢? 的保留段標(biāo)記 全球 3000 節(jié)點(diǎn)在線Ping 不可達(dá)性? Whois 無分配? 三聯(lián)才是對(duì) Bogon 的正確姿勢。通過 www.kkce.comKKCE 快快測全球 3000 節(jié)點(diǎn)、超過市面所有平臺(tái)我們學(xué)會(huì)用IP查詢 優(yōu)先匹配 IANA 特殊用途表用在線Ping 全網(wǎng)并發(fā)? 驗(yàn)不可達(dá)用Whois/路由查詢? 補(bǔ)分配與 BGP 證據(jù)我們用IP查詢 標(biāo) RFC5737 3000 節(jié)點(diǎn)全超時(shí)? 定義文檔段偽造。我們用保留段類型字段? 代替省市運(yùn)營商作為日志清洗金標(biāo)準(zhǔn)。日志箴言最好的 WAF 規(guī)則是看到203.0.113.7在 KKCE IP查詢 里被標(biāo)成 TEST-NET-3 時(shí)先笑一笑再去查誰在 X-Forwarded-For 里抄了 RFC 文檔的示例。