網站通常不需要「破解 VPN」，也不必知道使用者的真實 IP，才能判斷一次連線可能經過 VPN、Proxy 或 Tor。

它可以先查看目前出口 IP 是否屬於已知匿名服務、Hosting 網段或 Tor 出口，再結合 ASN、網路類型、近期流量、WebRTC、DNS、IPv4／IPv6、瀏覽器特徵、自動化跡象、Cookie 和帳戶歷史，產生一個綜合風險判斷。

所以，使用者只更換出口 IP，往往只改變了整個環境中的一個欄位。瀏覽器、裝置、帳戶和使用模式仍然可能保持一致。

先看結論

立即檢查目前 IP 的 VPN、Proxy、Tor 與環境一致性

本站模型提示（1.6.0）： Caylet 將「資料庫確認」「可用來源未發現」與「沒有資料」分開顯示；後兩者都不代表已證明安全。Caylet 綜合 IP 風險分值只使用 Scamalytics 與 AbuseIPDB 的有效數值，IP2Location 與 Feodo Tracker 結果獨立呈現，IPinfo Lite 僅作 ASN 背景參考。

VPN、Proxy 和 Tor 有什麼不同？

這三者都可能改變網站直接看到的來源 IP，但工作方式和可觀測特徵不同。

類型 基本作用 網站通常看到什麼 常見識別難度
VPN 建立加密通道，讓流量從 VPN 伺服器出網 VPN 出口 IP、ASN、國家 已知商業節點較容易
Proxy 代替客戶端向目標網站發出請求或轉送流量 Proxy 出口 IP 和請求特徵 依代理類型差異很大
Tor 透過多個中繼傳送流量，最後由出口中繼連接網站 Tor Exit IP 通常較容易識別出口
Relay 由中繼服務代為轉送部分連線 中繼服務出口 視服務和資料覆蓋而定
Residential Proxy 透過住宅或行動 ISP 出口轉送第三方流量 看似住宅／行動 IP 比機房代理更難，但並非不可識別

需要區分兩個問題：

  1. 網站能否判斷目前出口屬於匿名化或轉送服務？
  2. 網站能否知道使用者原本的真實公網 IP？

第一個問題經常可以得到概率很高的答案；第二個問題則不一定。

第一層：直接查詢 IP 情報資料庫

最常見的方法，是把來源 IP 查詢到商業或內部 IP 情報資料庫。

這些資料庫通常提供哪些欄位？

MaxMind 的 Anonymous IP 資料可以分開提供：

IPinfo 的 Privacy Detection 則可以提供：

Extended 資料還可能包含：

這代表專業系統通常不會只有一個模糊的：

Proxy：是／否

而會分開回答：

VPN：true
Public Proxy：false
Tor：false
Hosting：true
Residential Proxy：false
Provider：某 VPN 服務
Last Seen：近期
Confidence：高

為什麼要分開？

因為以下情況含義不同：

若把所有狀態壓成一個「代理」，很容易誤判。

已知商業 VPN 網段是如何被建立的？

情報供應商可以透過多種方式觀察 VPN 服務。

1. 直接觀察 VPN 產品和配置

供應商可以合法研究公開販售的 VPN 服務，觀察：

IPinfo 的 Extended Privacy Detection 將部分高信心資料描述為對商業使用或 VPN 軟體的直接觀察。

2. 供應商與註冊資料

IP 網段或 ASN 可能登記為：

公司名稱不是決定性證據，但可以和其他訊號一起使用。

3. 網路服務觀測

情報供應商可以觀察某些網段是否出現：

這種觀測通常會配合可信度和首次／最後觀察時間，而不是永久標記。

4. 客戶和跨網站回饋

反欺詐供應商可能從多個客戶取得：

當同一 IP 在多個獨立網站呈現相似模式時，模型更容易建立信心。

ASN 和 Hosting 為什麼有用？

ASN 可以幫助網站理解出口 IP 背後的網路。

例如：

如果普通消費者帳戶突然從大型雲端 ASN 登入，這可能是風險訊號。

但 ASN 不能單獨證明 VPN。

原因包括：

所以，合理模型應該是：

Hosting ASN
+ 已知 VPN 服務
+ 大量共享活動
+ 新裝置
= 較高信心

而不是：

Hosting ASN
= 一定使用 VPN

了解 ASN、ISP 和機構名稱的差異

Tor 為什麼通常更容易識別？

Tor 流量經過多個中繼，最後由 Exit Relay，也就是出口中繼，連接一般公開網站。

目標網站看到的是出口中繼 IP，而不是 Tor 使用者原本的 IP。

Tor Project 本身提供中繼營運與出口相關公開資訊，出口中繼也可以被網路持續觀測和整理。因此，網站和情報供應商通常可以維護高覆蓋率的 Tor Exit 清單。

偵測 Tor 出口不等於破解 Tor

網站知道：

這個請求來自已知 Tor Exit。

不代表網站知道：

Tor 的匿名設計和「出口 IP 可識別」可以同時成立。

為什麼平台可能對 Tor 更敏感？

Tor 出口：

但 Tor 也有合法隱私、新聞和反審查用途。平台應採取風險式處理，而不是把所有 Tor 使用者都描述成惡意。

Public Proxy 是如何被識別的？

Public Proxy 通常是任何人都能連接或容易取得的代理。

常見識別方法包括：

Header 能直接暴露 Proxy 嗎？

部分代理可能加入：

但這些欄位不是可靠的通用證據。

原因是：

所以，Header 通常只在可信網路架構中有意義。

住宅代理為什麼比較難偵測？

住宅代理使用由家庭或行動 ISP 對外顯示的 IP。

從 ASN 和 GeoIP 看，它可能完全像：

這讓它比典型資料中心代理更難辨識。

住宅代理仍可能留下哪些訊號？

1. 代理供應商直接觀測

情報公司可以研究商業住宅代理服務，觀察其出口池。

2. 時間型資料

某個 IP 可能在短時間內：

因此，first_seen、last_seen 和活動頻率很重要。

3. 裝置活動與流量分布

如果一個普通家庭 IP 在大量網站中同時呈現：

它可能不像普通家庭使用。

但行動 CGNAT、飯店和大型公寓也可能產生類似訊號，所以仍需要控制誤報。

4. 供應商和網路關係

部分住宅代理透過：

建立出口。情報供應商可能透過程式、服務條款、流量和基礎設施關係建立供應商映射。

住宅 IP 不等於住宅代理

這兩個欄位應該分開：

了解住宅 IP、行動 IP、機房 IP和企業 IP 的區別

第二層：分析 IP 的共享與行為特徵

即使沒有命中已知 VPN 名單，網站也可以觀察 IP 如何被使用。

常見行為訊號

這種判斷可能只發生在平台自己的第一方資料中。

例如，一個 IP 在公開資料庫裡很乾淨，但某社交平台已經觀察到它：

平台仍然可以把它列為高風險。

共享人數不能只靠一次查詢精確知道

IP 檢測網站若顯示：

共享人數：1–10

通常只是估算，而不是直接看到路由器後面有幾個真人。

估算可能基於：

對 CGNAT、公司網路和公共 Wi-Fi，這類數字尤其需要保守解讀。

第三層：比較 IP、DNS、WebRTC 和 IPv4／IPv6

匿名化或代理配置有時會造成不同網路路徑之間不一致。

WebRTC 能看到什麼？

WebRTC 使用 ICE 等機制建立即時通訊連線，可能產生不同類型的候選地址。

在某些瀏覽器、權限和網路設定下，網站可能觀察到：

RFC 8828 專門規範 WebRTC 的 IP 地址處理，現代瀏覽器也加入了隱私保護。WebRTC 並不保證會向任意網站暴露原始真實 IP。

什麼情況比較值得注意？

例如：

HTTP 公開 IP：美國 Hosting
WebRTC 額外公開 IP：香港住宅 ISP

這可能表示：

它是高價值的環境不一致訊號，但仍需要驗證地址是否真的屬於公網，以及測試是否成功。

沒有觀察到額外 IP 代表什麼？

只能表示：

本次 WebRTC 測試沒有觀察到另一個可用的外部地址。

不能表示：

DNS 可以如何提供線索？

DNS Resolver 負責把網域名稱轉換成 IP。

檢測網站可能觀察 DNS 查詢由哪些 Resolver 處理，再比較：

DNS 國家不同一定是洩漏嗎？

不一定。

合理原因包括：

因此，DNS 只能作為輔助訊號。

例如：

公開 IP：美國
DNS Resolver：新加坡

可能是：

需要再看 ASN、時區、WebRTC 和帳戶歷史。

IPv4 和 IPv6 為什麼重要？

部分 VPN 只處理 IPv4，但裝置仍可以透過原生 IPv6 直接連線。

因此可能出現：

IPv4：美國 VPN
IPv6：本地 ISP

如果不同檢測網站分別優先使用 IPv4 和 IPv6，使用者甚至會看到完全不同的 IP 國家。

但兩者不同也可能源自：

所以應比較完整的 ASN、國家和路由，而不是只看地址不同。

第四層：瀏覽器指紋與環境一致性

網站可以利用瀏覽器提供的多項資訊，建立一組環境特徵。

MDN 將瀏覽器指紋描述為：網站收集並組合瀏覽器和作業系統的可區分特徵，用於識別特定瀏覽器。

可能的訊號包括：

現代瀏覽器正在減少部分可識別資料。例如 Chrome 已完成 User-Agent Reduction，預設 User-Agent 會減少裝置型號、完整平台版本和完整瀏覽器版本等細節；更詳細資料需要透過 User-Agent Client Hints 並受瀏覽器政策控制。

網站如何使用這些資料？

它不一定需要精確識別某個人，而可以檢查環境是否合理。

例如：

IP：美國住宅 ISP
時區：Asia/Shanghai
瀏覽器語言：俄文
OS 宣告：Windows
GPU：Apple Metal
觸控資訊：Android 型態

其中任何一項都可能有合理原因，但多項互相衝突時，風險會上升。

語言不同不是高風險證據

以下情況很正常：

語言應該是低權重訊號，不能作為國籍或惡意判定。

第五層：自動化和 Headless Browser 偵測

網站可能不只想知道是否使用 VPN，還想知道請求是否由自動化程式發出。

Navigator.webdriver

瀏覽器提供 navigator.webdriver 屬性，用於表示 User Agent 是否受到 WebDriver 自動化控制。

這是一個明確訊號，但不能代表全部自動化：

JavaScript 檢測

Cloudflare 公開說明，其 Bot Management 可以使用：

JavaScript 檢測可以識別部分 Headless Browser 和惡意指紋，而機器學習會結合 Header、Session 和瀏覽器訊號產生 Bot Score。

請求與瀏覽器宣告不一致

網站還可以比較：

Cloudflare 的公開 Detection IDs 文件就舉例說明，系統可以檢測「Header 順序與宣告瀏覽器不一致」的情況。

這類判斷的重點不是某一個欄位，而是：

請求是否像它所宣稱的瀏覽器正常產生。

本文不提供繞過這些檢測的方法。對網站安全而言，這些技術用於降低批量濫用、帳戶接管和自動化攻擊。

第六層：Cookie、裝置與帳戶歷史

只換 IP 仍被平台識別，最常見的原因往往不是 IP 洩漏，而是帳戶和裝置本來就有持續狀態。

Cookie

Cookie 可以保存：

IP 改變後，Cookie 通常不會自動消失。

App 安裝與裝置綁定

行動 App 可能使用：

這些訊號通常比 IP 更穩定。

帳戶歷史

平台可能知道：

因此，一個新 IP 不會讓帳戶歷史歸零。

行為模式

平台還可以觀察：

這些訊號不一定用來識別個人，也可以用來判斷是否像自動化或被遠端控制。

第七層：平台自己的第一方情報

外部 IP 檢測網站通常無法看到某個平台的內部資料。

例如，社交平台可能知道：

銀行則可能知道：

所以，公開 IP 網站顯示「乾淨」，不能推翻平台自己的第一方風險情報。

只換 IP，哪些訊號其實沒有改變？

訊號 換 IP 後是否自然改變
公開出口 IP 會
ASN／國家 可能會
IP Fraud Score 會跟隨新 IP
Cookie 通常不會
登入帳戶 不會
裝置密鑰／Passkey 不會
App 安裝紀錄 通常不會
瀏覽器版本 不會
系統語言 不會
裝置時區 通常不會
GPU／硬體特徵 不會
操作習慣 通常不會
平台歷史紀錄 不會

因此，只換 IP 並不等於建立新裝置、新帳戶或新身份。

偵測到 VPN 是否等於知道真實 IP？

不等於。

網站可能得到：

VPN：true
Hosting：true
Provider：某服務

但仍不知道：

它可能透過其他方式建立關聯，例如：

但這些是額外訊號，不是「檢測到 VPN」本身必然帶來的結果。

為什麼有時網站 A 能偵測，網站 B 卻不能？

常見原因包括：

1. 使用不同情報供應商

不同資料庫的 VPN、Proxy 和住宅代理覆蓋不同。

2. 更新時間不同

新節點可能只被部分供應商觀察到。

3. 網站取得的瀏覽器資料不同

有些網站只查 IP；有些會執行 JavaScript、WebRTC 和 Bot Detection。

4. 第一方資料不同

平台 A 可能已觀察該 IP 大量濫用，平台 B 從未見過。

5. 風險容忍度不同

6. 判定目標不同

有些網站只想知道：

能不能提供這個國家的內容？

另一些網站想知道：

這次登入是否像帳戶本人？

兩者不需要使用同一規則。

偵測系統有哪些常見誤報？

企業 VPN

員工透過公司安全出口上網，可能被標成 VPN 或 Hosting，但完全符合公司政策。

行動 CGNAT

大量用戶共用 IP，可能看起來像高共享 Proxy。

飯店和機場網路

同一出口服務大量陌生裝置和國家旅客。

Apple Private Relay 或隱私中繼

隱私服務可能被標成 Relay，但不是傳統商業 VPN。

防毒和安全閘道

部分安全軟體會在雲端檢查流量，造成出口或 TLS 行為改變。

漫遊 eSIM

手機所在國家與出口國家不同，但並非使用者刻意偽裝。

Anycast 和公共 DNS

DNS 或 IP 地理位置可能顯示另一地區。

合理的風控系統應該採用：

而不是因一個標籤直接永久封鎖。

使用者如何降低正常使用被誤判的機率？

這裡的重點不是規避偵測，而是維持真實、穩定和可解釋的使用方式。

正常使用者不需要把系統語言、時區和硬體特徵偽裝成某個模板。過度、不穩定的環境修改反而可能製造更多矛盾。

Caylet 應如何展示 VPN／Proxy 偵測結果？

Caylet 適合把結果拆成四層。

第一層：原始網路身份

第二層：匿名化標籤

目前本站只在設定的供應商明確提供欄位時呈現判定：Scamalytics 可提供部分 匿名化標記、IP2Location 提供 Proxy 屬性，Tor Project 完整出口名單只補充 正向 Tor 命中；IPinfo Lite 在本站只提供 ASN 背景，並不提供 VPN／Proxy 判定。Public Proxy、Relay 與 Residential Proxy 沒有專用來源時保持未知。

每個欄位使用：

第三層：環境一致性

本站目前不執行 DNS 洩漏檢測，也不會用缺少 DNS 資料作出安全結論。

第四層：可解釋摘要

例如：

部分資料源將此 IP 識別為 Hosting 和商業 VPN。瀏覽器時區與 IP 時區一致，未觀察到額外 WebRTC 公網 IP。VPN 判定可信度較高，但這不代表網站已取得原始 IP。

或者：

此 IP 屬於住宅 ISP，但住宅代理資料存在衝突。由於只有單一資料源，結果應視為有限可信度。

使用 Caylet 檢查目前 IP 的匿名化與瀏覽器環境

常見誤解

誤解一：網站知道我用了 VPN，就一定知道我的真實 IP

錯誤。識別出口類型和取得原始 IP 是兩個不同問題。

誤解二：只有機房 IP 才會被識別為代理

錯誤。住宅代理和行動代理也可能被專門資料庫識別。

誤解三：關閉 WebRTC 就完全無法偵測 VPN

錯誤。IP 情報、ASN、DNS、IPv4／IPv6、瀏覽器、Cookie 和帳戶歷史仍然存在。

誤解四：Tor 出口被識別代表 Tor 已被破解

錯誤。公開網站本來就需要看到出口中繼 IP，這不等於知道 Tor 內部來源。

誤解五：沒有命中 VPN 資料庫就證明不是 VPN

錯誤。新節點、自建出口和資料覆蓋不足都可能造成漏報。

誤解六：VPN=true 就代表使用者正在欺詐

錯誤。VPN 有合法隱私、企業辦公和公共網路安全用途。

誤解七：換一個住宅 IP 就等於新身份

錯誤。裝置、Cookie、帳戶與行為紀錄通常仍然存在。

常見問題

網站能百分之百確定我正在使用 VPN 嗎？

通常不能只靠單一訊號百分之百確定。網站會綜合已知 VPN 網段、ASN、Hosting、流量行為、瀏覽器環境和帳戶歷史作出概率判斷。部分已知商業 VPN 出口可以高信心識別，企業 VPN、私人自建出口和新節點則可能較難判斷。

網站偵測到 VPN，是否代表它知道我的真實 IP？

不一定。網站可能只知道目前出口屬於 VPN 或代理，卻不知道使用者原本的公網 IP。只有在其他協定暴露額外地址、網站本身曾觀察過原始環境，或帳戶歷史可建立關聯時，才可能獲得更多線索。

Tor 為什麼通常比一般 VPN 更容易被識別？

Tor 出口節點需要代表 Tor 使用者連接公開網站，其出口中繼資訊可被網路觀測和整理成清單。網站因此較容易識別出口 IP，但這不代表它能直接知道使用者在 Tor 網路內的來源 IP。

住宅代理為什麼也可能被偵測？

住宅代理使用真正的住宅或行動 ISP 出口，所以只看 ASN 可能很像普通用戶；但情報供應商仍可透過代理服務觀測、首次和最後出現時間、裝置活動、流量分布、供應商資料及跨客戶行為識別部分住宅代理。

關閉 WebRTC 就能避免網站識別 VPN 嗎？

不能。WebRTC 只是眾多訊號之一，而且現代瀏覽器已有不同的 IP 隱私處理。即使沒有額外 WebRTC 地址，網站仍可利用 IP 情報、DNS、IPv4／IPv6、瀏覽器特徵、Cookie、帳戶歷史和行為分析。

為什麼只換一個 IP，平台仍然認得同一個帳戶或裝置？

因為 IP 只是識別環境的一部分。Cookie、登入帳戶、裝置密鑰、App 安裝紀錄、瀏覽器特徵、時區、語言和操作行為可能仍然保持一致，所以更換 IP 不會自動建立全新的身份。

總結

網站偵測 VPN、Proxy 和 Tor，通常依靠一個多層系統：

  1. IP 情報資料庫
  2. ASN、Hosting 與網路類型
  3. 已知 VPN、Proxy 和 Tor 出口觀測
  4. 住宅代理和時間型行為資料
  5. IP 共享與跨帳戶活動
  6. DNS、WebRTC 和 IPv4／IPv6 一致性
  7. 瀏覽器指紋與自動化偵測
  8. Cookie、裝置和帳戶歷史
  9. 平台自己的第一方風險情報

因此，只換 IP 通常只改變了第一層的一部分。

網站可能知道出口屬於 VPN，卻不知道原始 IP；也可能無法準確標記某個新 VPN，卻能從裝置、Session 和操作行為看出環境異常。

最準確的理解不是：

網站有一種神奇方法可以看穿所有代理。

而是：

網站可以把許多不完整的訊號組合起來，得到比單一 IP 查詢更可靠的風險判斷。

主要資料來源

  1. MaxMind, GeoIP Anonymous IP Databases
  2. MaxMind, GeoIP Anonymous IP Binary Database Fields
  3. MaxMind, GeoIP Anonymous Plus Databases
  4. MaxMind, GeoIP Residential Proxy Databases
  5. IPinfo, Privacy Detection Extended API
  6. IPinfo, IP Privacy Detection Database
  7. Tor Project, Lifecycle of a Tor Exit
  8. Tor Project, Exit Relay
  9. MDN Web Docs, Fingerprinting
  10. MDN Web Docs, Navigator.webdriver
  11. MDN Web Docs, RTCIceCandidate.address
  12. Google Chrome for Developers, What is User-Agent Reduction?
  13. RFC Editor, RFC 8828: WebRTC IP Address Handling Requirements
  14. RFC Editor, RFC 8826: Security Considerations for WebRTC
  15. Cloudflare, Bot Detection Engines
  16. Cloudflare, Bot Scores
  17. Cloudflare, Detection IDs

本文只提供一般網路安全與隱私技術教育資訊，不提供繞過網站安全、反欺詐或平台規則的方法。VPN、Proxy、Tor 和隱私服務有合法用途；實際處理應結合使用情境、資料完整度與申訴機制。