Soga 连接 IP 怎么辅助调查订阅共享与账号关联 | XBoard 安全审计

Soga 真实连接 IP 的含义与调查价值

Soga 真实连接 IP 是节点后端在客户端建立代理隧道时记录的出口地址，它与 XBoard 面板的订阅请求 IP 和登录 IP 构成三层证据链。订阅请求 IP 反映客户端更新订阅配置时的位置，登录 IP 显示用户访问面板的来源，而 Soga 连接 IP 证明订阅配置实际被谁使用。当订阅 IP 始终来自北京某住宅网段，但连接 IP 同时出现广州、深圳、成都三地且 User-Agent 各不相同，说明订阅链接已被分发给多人。单独依赖某一类 IP 容易误判，真正的调查逻辑是比对三者的时间差、地理跨度和设备特征，判断行为模式是否符合单一用户的合理轨迹。

需要明确的是，风险概率不是封禁唯一依据。同 Token 多 IP 可能是移动网络切换、旅行或多设备，同 IP 多 Token 可能是家庭 NAT 或企业网关。订阅共享调查必须结合历史关系、UA 和时间分布，通过人工复核确认传播路径并排除正常场景，避免将合法用户误封。

从 Soga 日志提取连接 IP 并关联 Token

Soga 默认将连接事件写入 /var/log/soga/soga.log 或 systemd journal，典型日志格式为 [INFO] user=12345 ip=203.0.113.45 connected 或 [INFO] [email protected] connected from 198.51.100.78。提取和关联步骤：

1. SSH 登录 Soga 服务器，执行 grep "connected" /var/log/soga/soga.log | tail -n 1000 获取最近连接记录 2. 用正则 user=(\d+) 和 ip=([\d\.]+) 或 from ([\d\.]+) 提取用户 ID 与 IP，保存为 soga_connections.csv 3. 在 XBoard MySQL 执行 SELECT id, user_id, token FROM v2_server_v2ray_user UNION SELECT id, user_id, token FROM v2_server_shadowsocks_user，导出用户 ID 与 Token 映射表 4. 用 user_id 关联 Soga 日志与 XBoard Token，生成 Token、连接时间、连接 IP 三列清单 5. 查询 v2_stat_user 表的 subscribe_ip 和 v2_user_login_log 表的 ip，对比三者地理位置和时间戳

看到同一 Token 在 15 分钟内从中国电信、中国移动、阿里云三个 ASN 连接，且订阅 IP 仅有一个住宅网段地址，判断为订阅链接被分发后多人同时使用；若连接 IP 与订阅 IP 始终属于同一运营商且地理位置相近，更可能是用户正常移动或设备切换。

同 Token 多 IP 与同 IP 多 Token 的判断边界

同 Token 多 IP：一个订阅 Token 在 24 小时内出现 5 个以上不同 /24 网段的连接 IP，且地理位置跨省或跨国，需结合订阅请求时间判断。如果订阅更新仅发生一次且在用户登录 IP 相同地区，分发行为发生在客户端本地；如果订阅请求本身来自多个不同城市 IP，说明多人持有订阅链接并各自更新配置。进一步检查 User-Agent：若连接 IP 对应的 UA 包含 Windows、macOS、iOS、Android 四种操作系统且版本差异大，共享概率更高。

同 IP 多 Token：一个出口 IP 短时间内为 10 个以上 Token 建立连接，可能是 NAT、校园网、企业网或运营商 CGNAT。查询该 IP 的 WHOIS ASN 和 IP 类型，教育网、移动网络 CGNAT 段和 IDC 段误判率高；检查这些 Token 的注册时间、订阅历史和登录设备，若注册时间相近、支付信息相同或 UA 高度重合，转为账号关联调查；若用户分布随机且无其他交集，属于网络环境正常现象，不应封禁。风险概率不是封禁唯一依据，必须结合历史 IP 变化和用户行为进行人工复核。

订阅共享证据的采集与多维交叉验证

Soga 连接 IP 需要与订阅请求 IP、登录 IP 和 UA 交叉验证才能构成有效证据。具体步骤：首先在 XBoard 数据库 v2_stat_user 表提取过去 7 天同一 Token 的订阅请求 IP 和时间戳，记录去重后的 IP 数量和地理位置；其次在 v2_user_login_log 表提取该 Token 的登录 IP 和 User-Agent，判断设备类型和浏览器版本是否一致；然后从 Soga 日志提取同期连接 IP，用 MaxMind GeoLite2 或 IP2Location 标注 ASN 和城市；最后对比三类 IP 的时间分布和地理跨度。看到订阅 IP 仅有家庭宽带一个、登录 IP 也在同一城市、但连接 IP 分布在三个省份且 UA 包含 iOS、Android 和 Windows 三种系统，说明订阅链接被分发给多人使用。看到订阅 IP 和连接 IP 均在同一移动网络 ASN、UA 一致且仅设备型号不同，则更可能是用户更换手机或平板。孤立的 IP 数量不能作为封禁依据，必须结合时间、地理和设备特征判断行为模式是否符合单用户轨迹。

风险评分不是封禁唯一依据与人工复核要点

即使风险评分显示同一 Token 关联 15 个 IP、同一 IP 关联 20 个 Token，也不应直接封禁，必须通过人工复核排除 NAT、移动网络、旅行和公共 Wi-Fi 等正常场景。复核要点包括：检查该 Token 近 30 天订阅频率，正常用户每天更新 1-3 次、共享账号可能每小时更新数十次；查看连接 IP 的 WHOIS 信息，教育网、运营商 CGNAT 和机场中转 IP 段误判率高，需结合历史登录 IP 判断；对比 User-Agent 的设备型号和系统版本，若 10 个连接 IP 对应 10 种不同设备且地理位置分散，共享概率高；若仅操作系统版本小幅升级且 IP 变化集中在同一城市或相邻基站，更可能是正常用户。复核过程应记录每个 Token 的证据清单、判断依据和处置结果，避免重复调查。风险概率用于排序调查优先级，但封禁决策必须由人工确认传播路径、排除误判并保留完整证据，单纯依赖自动化规则会导致大量误封和申诉成本上升。

历史关系追踪与账号关联传播链的长期积累

单次快照只能看到当前 IP 和 Token 的关联，无法发现「源账号 A 在第 1 天分发给 B 和 C、B 在第 3 天再分发给 D 和 E」的多层传播路径。历史关系追踪需要在独立数据库中持续记录每个 Token 的订阅 IP、登录 IP、Soga 连接 IP 和时间戳，构建 IP-Token 时间序列图。当发现新的高风险 Token 时，回溯其历史关联 IP 并查找这些 IP 在更早时间关联的其他 Token，识别核心传播者和二级、三级传播节点。Manguo Labs XBoard 订阅安全审计系统支持最多 8 层传播追踪，可以显示「Token X 在 7 天前与 IP Y 关联、IP Y 同期还关联了 Token Z、Token Z 又在 3 天前分发给 5 个新 IP」的完整链条，帮你定位组织性共享的源头并评估影响范围。长期积累的历史关系还能降低误判：看到某个 IP 在过去 60 天内仅关联 1-2 个 Token 且订阅行为稳定，即使短期出现新 IP 也可排除共享风险。

持续审计、历史查询和人工复核构成订阅安全的长期闭环，单靠脚本或一次性排查无法应对持续变化的共享行为和网络环境。

什么时候这已经不是单点配置问题

当单一 IP 线索不足以判断、需要多维证据和持续复核时，可以考虑使用 Manguo Labs XBoard 订阅安全审计系统。它采集订阅 IP、登录 IP、Soga 连接 IP、UA 和 Token，存入独立 MySQL 并生成仪表盘，支持历史关系查询、风险评分和人工复核，适合需要多维证据关联、降低误判、持续调查订阅共享的场景。风险概率不是封禁唯一依据，系统提供证据关联和人工复核支持，帮助运营者在 NAT、移动网络和订阅共享之间做出合理判断。

Manguo Labs 能提供什么

Manguo Labs 为 XBoard 运营者提供订阅共享、Token 多 IP、IP 关联与可疑账号的审计和人工复核方案。

本文核心需求是解释 Soga 连接 IP 在订阅安全调查中的价值、如何与其他证据关联、如何区分正常场景与订阅共享，并说明历史关系追踪和人工复核的作用。Manguo Labs XBoard 订阅安全审计系统为 XBoard 运营者提供订阅 IP、登录 IP、Soga 连接 IP、UA 和 Token 的采集、独立 MySQL 存储、仪表盘展示、历史关系查询、风险评分和人工复核方案，直接满足需要多维证据关联、降低 NAT 和移动网络误判、持续调查订阅共享或可疑账号的场景。服务与文章需求高度一致。

适合这些情况

• 需要把 Token、登录 IP、订阅 IP 与 Soga 连接 IP 关联分析，发现订阅共享或账号传播
• 需要降低 NAT、移动网络、多设备和旅行造成的误判，通过历史关系和 UA 区分正常场景
• 需要持续调查可疑账号，记录多维证据并通过风险评分和人工复核排序处理优先级

查看XBoard 订阅安全审计系统 →

常见问题

总结与下一步

Soga 连接 IP 记录节点后端实际收到的客户端出口地址，与订阅 IP、登录 IP、注册 IP 一起构成多维证据，能够帮你发现「订阅 IP 一致但连接 IP 分散」「Token 少但关联账号多」等可疑模式。同一 Token 多 IP 可能是 NAT、移动网络、旅行或多设备，也可能是订阅共享；同 IP 多 Token 可能是家庭或公司 NAT，也可能是传播集散地。需结合 UA、时间分布、地理位置和历史关系判断，孤立的 IP 证据不足以封禁，风险概率不是封禁唯一依据。历史关系追踪可记录每个 Token 和 IP 在不同时间的关联，结合最多 8 层传播追踪识别核心传播者和高风险簇。风险评分帮你排序可疑账号，但最终决策需要人工复核确认传播路径、排除正常场景并保留证据。Manguo Labs XBoard 订阅安全审计系统采集订阅 IP、登录 IP、Soga 连接 IP、UA 和 Token，存入独立 MySQL 并生成仪表盘，支持历史关系查询、风险评分和人工复核，适合需要多维证据关联、降低误判、持续调查订阅共享的场景。

需要进一步评估时，可先查看XBoard 订阅安全审计系统，并参考更多技术文章。