ip访问量查询

上周有个做独立站的访问朋友跑来问我：“后台看到同一个IP一天刷了400多次，是量查不是被爬了？”我让他把日志导出来，结果发现那IP归属地是访问上海电信，请求路径全指向商品详情页，量查间隔时间稳定在1.2秒左右——典型的访问比价插件行为。这事让我觉得，量查很多人对IP访问量的访问理解还停留在“数字大就是异常”的层面，其实远没那么简单。量查

IP访问量查询，访问说白了就是量查搞清楚“谁在什么时候从哪个地址来看了什么”。但这里的访问“谁”不是指具体某个人，而是量查网络层的一个标识。一个公司出口可能几千人共用一个公网IP，访问你看到的量查“1个IP访问了2000次”，背后也许是访问2000个真实用户各点了一次。反过来，一个爬虫用代理池轮换IP，你看到2000个不同IP各访问1次，实际来源只有一个。所以单看IP数量没意义，得结合访问频率、时间分布、请求特征一起看。

查IP访问量，到底在查什么

常见的查询入口分三类。一类是服务器日志，Apache或Nginx的access.log里每行都带着客户端IP，用awk命令一行就能统计出TOP 10：

awk '{ print $1}' access.log | sort | uniq -c | sort -rn | head -20

这招我用了快十年，比任何可视化面板都直接。另一类是CDN或云厂商的控制台，Cloudflare、阿里云CDN都提供IP维度的请求数图表，但要注意它们通常只保留最近30天，且采样精度会随套餐变化。第三类是第三方工具，像GoAccess能实时解析日志生成HTML报告，Matomo需要埋JS代码，后者拿不到纯静态资源的访问IP。

有个坑得提一下：如果站点套了CDN，日志里记录的IP全是CDN节点地址，真实访客IP藏在X-Forwarded-For或X-Real-IP头部里。Nginx默认不记录这些，得手动改log_format。我见过有人查了半年日志，一直以为访客来自洛杉矶，其实那是Cloudflare的边缘节点。

异常流量的几个土办法判断

不用上什么AI风控，肉眼就能筛出大部分问题。把IP按访问次数排序后，看三个指标：请求间隔是否恒定、User-Agent是否单一、访问路径是否集中在动态接口。正常用户浏览有停顿、有滚动、有鼠标移动触发的异步请求，爬虫往往以固定频率直取数据接口。

去年帮一个客户查过一批IP，C段是45.83.xx.xx，每个IP只访问了3到5次，但所有请求的Referer都是空的，且只抓/api/product/list。这种就是分布式爬虫，单IP访问量低，总量却很大。后来在Nginx里加了一条规则，对空Referer且访问API的请求做速率限制，流量立马降了七成。

还有个反直觉的案例：某个IP每天固定访问首页200次，时间集中在凌晨3点到4点。查下来是老板自己写的监控脚本，用curl定时探测网站是否存活，忘了加随机延迟。所以看到异常别急着封，先确认是不是自己人干的。

查完之后能做什么

如果确认是恶意爬虫，最轻量的做法是在Nginx层用limit_req模块限速，比如limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;，对单IP每秒超过10次的请求返回503。再狠一点就上Fail2ban，扫日志自动封禁。但别一上来就封整个C段，云服务商的IP池经常复用，误伤真实用户就麻烦了。

对于正常但高频的IP，比如企业出口或学校机房，可以考虑放行或单独限速。我一般会建一个白名单文件，用geo模块加载，匹配到的IP跳过限速规则。这比写死在配置里灵活，改完不用reload Nginx。

最后说个观察：很多人查IP访问量只盯着“谁在攻击我”，却忽略了“谁在帮我”。有些高频IP其实是搜索引擎的抓取节点，比如Googlebot的IP段是公开的，可以反向DNS验证。误封了它们，收录量掉下来哭都来不及。查询这件事，防守之前先分清敌友。