如何规范化代理日志中的 IPv4 映射 IPv6 地址

同一个 IPv4 代理出口，可能在日志中显示为点分地址 203.0.113.7，也可能显示为 IPv4 映射 IPv6 值 ::ffff:203.0.113.7。如果分析流水线把两个字符串当成不同出口，就会夸大地址池多样性、扭曲重复率，还可能制造虚假的地理位置或信誉冲突。

IPv4 映射 IPv6 地址不代表请求一定使用了原生 IPv6 出口。它是 IPv4 节点的一种 IPv6 表示，双栈软件接口可能输出这种形式。分析时应统一身份，但必须保留原始观测值，便于排错和审计。

映射格式表示什么

IPv6 地址架构把 ::ffff:0:0/96 定义为映射空间：前 80 位为零，随后 16 位为一，最后 32 位为 IPv4 地址。同一个 IPv4 可以使用点分尾部或十六进制尾部表示。

公开来源说明：RFC Editor，《IP Version 6 Addressing Architecture》，2006 年 2 月；RFC Editor，《A Recommendation for IPv6 Address Text Representation》，2010 年 8 月；Python Software Foundation，《ipaddress — IPv4/IPv6 Manipulation Library》，Python 3.14 文档。

务必分开保存三类信息：

• 原始对端值：客户端、套接字或应用实际记录的内容；
• 规范化身份：用于计数和关联的标准地址；
• 有效地址族：映射值记为 IPv4，原生 IPv6 记为 IPv6。

如果能够观察传输地址族，应另设字段记录。不能仅凭地址字符串推断整条网络路径。

未规范化为何会破坏代理测量

按字符串分组会把一个出口变成两个，从而影响：

• 唯一出口数与出口变动率；
• 粘性会话重复率；
• ASN 与网段集中度；
• 国家或城市一致性；
• 单出口成功率和延迟；
• 封锁率与信誉比较；
• 每个有效唯一出口的成本。

规范化应在去重、聚合、关联、告警和仪表盘计算之前完成。同时保留原始值与标准值，让调查人员能够复现最初观测。

使用严格解析，不做字符串替换

不要用正则表达式删除 ::ffff: 后就假定剩余内容有效。可信的 IP 地址库可以验证语法、识别映射网段、转换十六进制尾部并输出标准文本。

from ipaddress import ip_address, IPv6Address

def normalize_peer(raw):
    address = ip_address(raw)
    if isinstance(address, IPv6Address) and address.ipv4_mapped is not None:
        return {
            "raw_peer": raw,
            "normalized_ip": str(address.ipv4_mapped),
            "effective_family": 4,
            "was_ipv4_mapped": True,
        }
    return {
        "raw_peer": raw,
        "normalized_ip": str(address),
        "effective_family": address.version,
        "was_ipv4_mapped": False,
    }

在采集边界捕获解析错误，把无效值隔离，不能静默转换为空字符串。如果输入还包含方括号、端口或区域标识，应先按端点结构解析，再把纯地址交给 IP 库。

建立稳定的证据结构

建议保存观测时间、运行编号、客户端、原始对端、规范化地址、有效地址族、是否映射、解析器版本、请求区域、观测国家与 ASN、内容有效性和延迟。共享报告中可使用带本次运行盐值的地址哈希；原始地址和未加盐值只放在受控运营存储中。不要在测量日志保存代理密码、令牌、Cookie 或授权头。

部署前测试规范化器

使用文档专用地址，不使用真实客户地址：

还要测试大写十六进制、展开 IPv6、空白字符、带方括号的端点、端口、空值和异常编码。所有工作节点必须得到确定且一致的结果。

比较规范化前后的指标

对同一份有限数据同时运行旧逻辑和新逻辑，比较原始字符串去重数、规范化身份数、映射值占比、单出口重复率、ASN 与国家冲突、成功率、p95 延迟以及每个有效出口的成本。

如果过去同时存在映射与点分形式，唯一出口数下降是预期结果。变化很大时需要调查：它可能来自日志层调整、客户端地址族差异或历史测量错误，不能直接解释为供应商库存减少。

完成身份规范化后，再使用代理出口变动测量指南，并以相同标准键检查代理池 ASN 集中度。执行代理位置准确性测试前，也应先合并重复身份。

安全上线检查清单

• 为规则和解析库记录版本。
• 先回填小样本，再处理历史仪表盘。
• 并排保留原始字段和规范化字段。
• 按客户端与运行时监控映射地址占比。
• 对表示方式突变告警，而不是把映射值本身视为异常。
• 按受控顺序重算依赖指标。
• 明确“IPv6 出口”指原生身份、传输观测还是产品标签。
• 保留可追溯、可回滚的映射证据。

常见问题

::ffff:203.0.113.7 是原生 IPv6 代理出口吗？

不是。它是底层 IPv4 地址的 IPv4 映射 IPv6 表示，不应计为独立原生 IPv6 库存。

规范化后可以删除原始值吗？

不可以。应连同来源和解析器版本保留，便于定位是哪个客户端、运行时或日志层改变了表示方式。

正则表达式能否安全完成规范化？

简单替换很脆弱，可能接受无效或并非映射格式的输入。应使用维护良好的 IP 地址解析库，并测试其映射地址属性。

映射形式和点分形式是否应共享信誉与位置结果？

应使用同一个规范化身份键，但仍要保存每次查询的来源与时间，确保过期或冲突的元数据可以追踪。

合规说明

仅分析你获准运营的代理流量、账号、日志与端点。减少网络标识符留存，限制访问权限，遵守供应商、目标站点、隐私与地区规则。地址规范化是测量质量控制，不能用于规避访问控制或掩饰活动。