IP Lookup

Узнайте свой IP адрес, геолокацию, провайдера и проверьте использование VPN, прокси или Tor

КАК ЭТО РАБОТАЕТ

Полный анализ IP-адреса

ВВОД IP

Введите IP или используйте автоопределение

ГЕОЛОКАЦИЯ

Определение местоположения и ISP

ISP ИНФОРМАЦИЯ

Получение данных провайдера и ASN

АНАЛИЗ УГРОЗ

Проверка статуса VPN/Proxy/Tor

Что IP-лукап знает о вас на самом деле

Введите IP в lookup-инструмент. Получите страну, город, ISP, иногда флаг VPN/Tor, и 'fraud score'. Выглядит окончательно. На самом деле большая часть это догадка. IP-геолокация это не GPS. Не существует протокола, который бы спросил у IP его местоположение. Существуют базы данных, отображающие диапазоны IP в заявленные местоположения, поддерживаемые горсткой коммерческих вендоров, которые извлекают данные из WHOIS-записей, DNS-имён, BGP-анонсов, таймингов traceroute и миллионов поправок от пользователей замечающих, что их IP показан на 200 км в стороне. Чем ближе lookup пытается подобраться к уровню улицы, тем больше он интерполирует из косвенных сигналов. Что надёжно: AS-номер, страна, часто ISP. Что приблизительно: город, координаты широты/долготы (которые lookup-инструменты показывают с ложной точностью в три знака после запятой). Что орёл-решка: VPN-детект на пограничных случаях, индекс, район. Дальше: как реально строится база, почему ASN полезнее города, и что на самом деле измеряет threat-score.

Как на самом деле строится IP-база

Пять источников, в убывающем порядке доверия. WHOIS-записи. Каждый IP-блок выделяется одним из пяти Региональных Интернет-Регистров (ARIN для Северной Америки, RIPE для Европы, APNIC для Азиатско-Тихоокеанского региона, LACNIC для Латинской Америки, AFRINIC для Африки). Запись регистра называет организацию которая владеет блоком, часто с зарегистрированным адресом. Для 1.1.1.0/24 (публичный DNS-префикс Cloudflare) WHOIS говорит 'Cloudflare, San Francisco, CA'. Это правда о том кто владеет блоком, не обязательно о том откуда идёт трафик. Та же логика что у регистрации флота грузовиков: бумаги говорят про оператора в Мемфисе, а грузовик прямо сейчас стоит у вашего двора. DNS-имена врут вторым слоем. Reverse-DNS PTR-записи иногда содержат подсказки о локации. `ge-0-0-0.london.edge1.example.net` явно указывает на Лондон. Провайдеры держат конвенции именования вроде `cgnat-pool-msk-12.provider.ru` (Москва). Парсеры геолокации извлекают эти паттерны. Имена врут когда провайдер использует общее именование (`pool-12.dynamic.provider.com`) или когда парсер ошибается ('la' это Los Angeles или Луизиана). BGP-анонсы добавляют третий слой. Border Gateway Protocol маршрутизирует IP-трафик между сетями. Публичные BGP-фиды (CAIDA, RouteViews, RIPE RIS) публикуют анонсы. Из них можно вывести что AS-X анонсирует 192.0.2.0/24 своим соседям, кто его аплинк, и какие датацентры участвуют. Маппинг ASN-в-организацию идёт прямо отсюда. Геолокация получает меньше прямой пользы, больше для классификации сети. Триангуляция по латентности работает через пробы с известных landmark-ов. Серверы в крупных городах меряют round-trip time до целевого IP. Скорость света ограничивает как далеко IP может быть от каждой пробы. Три или больше проб ограничивают IP до региона. Используется сервисами вроде CAIDA's ARK и Spur. Эффективна на уровне страны, слаба на уровне города когда IP внутри континента. Корректировочные фиды от пользователей закрывают петлю. У MaxMind есть публичная форма поправок. Облачные провайдеры, CDN, крупные платформы шлют bulk-поправки когда их пользователи жалуются. Через эти фиды Comcast-овский подсетевой блок, неправильно расклассифицированный как Питтсбург, переезжает в Кливленд через три месяца. Реальный lookup-инструмент комбинирует все пять в одну строку базы. 'Ваш IP, Франкфурт, DE, Deutsche Telekom, AS3320' это синтезированное утверждение, не измерение.

Почему ASN всегда побеждает город

Поле ASN в lookup-инструменте это самое информативное единичное значение, и большинство пользователей его пропускают. Autonomous System Number это глобально уникальный идентификатор сетевого оператора в публичном интернете. AS15169 это Google, AS16509 это Amazon, AS13335 это Cloudflare, AS3320 это Deutsche Telekom, AS8075 это Microsoft. Активных ASN сейчас примерно 110000 на 2024 год. Маппинг IP-в-ASN берётся из BGP-route data и меняется медленно (операторы анонсируют стабильные префиксы месяцами или годами). Что ASN говорит то чего город не скажет: Датацентр против резидентного. AS16509 (Amazon AWS), AS14061 (DigitalOcean), AS24940 (Hetzner), AS63949 (Linode/Akamai). Все хостинг-провайдеры. AS7922 (Comcast), AS701 (Verizon), AS3320 (Deutsche Telekom). Все резидентные ISP. AS-level классификация это то как каждая fraud-detection система отличает 'пользователя дома' от 'пользователя на VPS'. Дешевле чем проверять каждый IP отдельно, той же логикой что почтовые индексы работают для сортировки против чтения каждого адреса. Дальше определение VPN-провайдера. Большинство крупных коммерческих VPN работают на собственной AS или арендуют IP с конкретных датацентровых ASN. AS9009 был M247, крупный датацентровый оператор VPN-выходов для ExpressVPN, NordVPN и других до их реструктуризации в 2023. AS197902 (Datacamp) размещает выходы Surfshark. ASN-матчинг надёжнее чем поддержка списка IP-по-IP потому что список IP ротируется быстрее чем ASN. Сигналы типа сети тоже сидят в ASN. Трафик от AS15169 на не-гугловый сервис почти всегда это краулер Google или одна из их платформ (Google Search, Google Cloud и т.д.). AS396982 это ISP-подразделение Google Fiber. ASN говорит о роли. Маршрутизация на уровне страны тоже на слое ASN. ASN регулируются национально. У российских операторов RU-выданные ASN, у китайских CN-выданные, независимо от того где физически стоят серверы. ASN ближе к 'регуляторной юрисдикции' чем к 'географической локации'. Геолокация на уровне города, для контраста, может ввести в заблуждение на сотни километров. Трафик мобильного оператора показывает город egress-а, не реальный город устройства. CDN-маршрутизированный трафик показывает PoP CDN, не origin-сервер. Недавно перевыделенные IP-блоки отстают от базы на недели. Поле города лучше воспринимать как 'примерно, часто', не как факт.

Что на самом деле измеряет fraud score

Поле fraud-score на большинстве IP lookup-инструментов синтезирует около десятка субсигналов в число от 0 до 100. Знание того что в него входит говорит вам стоит ли ему доверять. Субсигналы которые двигают счёт вверх: - IP появляется в DNSBL (Spamhaus, SpamCop, Composite Blocking List) - IP принадлежит известному VPN/proxy-провайдеру (данные от Spur и IPQS) - IP это Tor exit-нода (опубликованный список Tor Project) - IP на хостинговом/датацентровом ASN - IP недавно слал abuse-трафик (неудачные логин-попытки, паттерны скрапинга) согласно threat-фидам - Геолокация отличается от заявленной страны биллинга пользователя (когда контекст доступен) - IP в CGNAT-диапазоне с задокументированным abuse от соседей - TCP/TLS-фингерпринт IP совпадает с известными сканер-инструментами (Shodan, Censys, masscan) Субсигналы которые счёт не двигают: - Делает ли пользователь что-то плохое прямо сейчас. Счёт это prior, не posterior. Он даёт априорную вероятность что незнакомый IP это fraud-риск, основанную на историческом поведении похожих IP. По-байесовски это ровно такое: как медсестра triage в приёмном отделении смотрит на витальные показатели до результатов любых анализов. Ранжирует риск, не ставит диагноз. - Легитимны ли намерения пользователя. Журналист использующий Tor для доступа к банковскому сайту покажет fraud-score 95 потому что так выглядит IP, не то что он делает. Коммерческие провайдеры скоринга (IPQS, Spur, MaxMind minFraud, Sift, DigitalElement) все публикуют примерно похожие счета в пределах нескольких пунктов на любой данный IP. Где они расходятся это edge-кейсы: residential-прокси (компрометированные домашние роутеры перепродающие bandwidth), свежие VPN-выходы, недавно ротированные CGNAT-диапазоны. Spur лидирует по детекции residential-прокси на 2024-2025 потому что они активно краулят прокси-перепродавцов. IPQS лидирует по сигналам потребительского fraud-а потому что их фид интегрирован в e-commerce стек. Чтение fraud-score: 0-25 это базовый резидентный потребитель, 25-50 это 'что-то интересное' (мобильный, CGNAT, VPN), 50-75 это 'датацентр или анонимайзер', 75-100 это 'высокая вероятность автоматизированного/abusive трафика'. Число это не вердикт, это сортированная корзина. Считать его вердиктом это ошибка которую fraud-команды делают пока не увидят 90 на реальном клиенте на корпоративном VPN. IP lookup в WHOX тянет AS-номер, зарегистрированную организацию, геолокационный треугольник (страна, регион, город), классификацию VPN/proxy/Tor из текущих публичных фидов, и разбивку fraud-score которая показывает какие субсигналы внесли вклад. Важна именно разбивка. Само по себе число ничего не значит.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

Могут ли сайты видеть мой реальный IP адрес?

Да, если вы не используете VPN, прокси или Tor. Ваш IP адрес отправляется с каждым запросом в интернете. Сайты могут использовать его для определения вашего примерного местоположения и идентификации вас между сессиями.

Что означает 'VPN обнаружен'?

Когда мы обнаруживаем VPN, это означает, что ваш IP адрес принадлежит известному VPN-провайдеру. Это не обязательно плохо — это значит, что ваш реальный IP скрыт. Однако некоторые сервисы могут блокировать VPN IP.

Почему моё местоположение неправильное?

IP геолокация основана на базах данных, которые сопоставляют диапазоны IP с местоположениями. Эти базы не всегда точны, особенно для мобильных сетей или недавно перераспределённых IP диапазонов. Точность обычно составляет около 50 км для большинства подключений.

Все наши тесты

Запускайте весь набор WHOX из одного блока: проверки утечек, fingerprint-пробы, сетевую диагностику, репутацию IP и тесты приватности.