Tor（The Onion Router）是一款知名的匿名通信网络，用户通过三层中继节点对流量进行多次加密转发，从而隐藏真实IP地址。对于网站运营者和服务器管理员来说，来自Tor出口节点的流量往往伴随着双重特性：一方面它保护了隐私敏感用户的合法访问，另一方面也成为恶意爬虫、撞库攻击和扫描行为的天然掩护。识别Tor出口节点，就是在保护服务与保障可用性之间找到平衡点的第一步。
Tor网络的基本原理与出口节点的角色
理解出口节点识别，首先要明白Tor链路的工作方式。客户端在建立连接时，会从全球志愿者运行的节点中随机挑选三个节点组成一条链路：入口节点（Guard）、中间节点（Relay）和出口节点（Exit）。数据在客户端被逐层加密，每经过一个节点只解密一层，就像剥洋葱一样，这也是Tor名字的由来。入口节点知道客户端的真实IP但不知道访问目标，出口节点知道访问目标但不知道客户端是谁，中间节点则两者都不知晓。
这种设计意味着，从目标服务器的视角看，所有Tor流量的来源IP都是出口节点的IP，而非用户的真实地址。出口节点由志愿者运行，数量通常在一千到两千个左右，且列表完全公开。这个特点为识别工作提供了便利：只要维护一份出口节点IP清单，并与来访连接的源地址做比对，就能判断某次请求是否经过Tor网络。
需要注意的是，出口节点列表是动态变化的。志愿者随时可能下线节点，也可能有新节点获得出口资格，因此任何静态清单都会很快过期，识别方案必须依赖持续更新的数据源。
三种主流的出口节点识别方法
方法一：拉取官方权威列表
Tor项目官方提供了一份实时更新的出口节点列表，地址为 https://check.torproject.org/torbulkexitlist 。这个纯文本文件每行一个IP地址，直接用脚本下载解析即可。它的优点是数据权威准确，缺点是需要自己定时刷新。下面是一个简单的Shell脚本示例，配合cron定时任务每小时更新一次：
#!/bin/bash # 下载Tor官方出口节点列表并去重保存 curl -s https://check.torproject.org/torbulkexitlist | sort -u > /etc/nginx/tor_exit_list.txt # 加入cron，每小时执行一次 # 0 * * * * /usr/local/bin/update_tor_list.sh
方法二：DNS反向查询
还有一种巧妙的方式是利用DNS。将客户端IP按四段倒序拼接后，加上特殊域名 .torserver.tor.dnsel.emeraldonion.org 进行查询，如果返回127.0.0.2，说明该IP是出口节点。这种方式的好处是无需本地维护清单，由Tor官方的DNS出口列表服务实时应答，示例代码如下：
import socket
def is_tor_exit(ip):
# 将IP倒序拼接后查询Tor官方DNSEL服务
reversed_ip = '.'.join(reversed(ip.split('.')))
domain = reversed_ip + '.torserver.tor.dnsel.emeraldonion.org'
try:
result = socket.gethostbyname(domain)
return result == '127.0.0.2'
except socket.gaierror:
return False
print(is_tor_exit('103.99.96.72')) # 返回True或False
方法三：调用在线检测API
如果只需要对单个IP做临时判断，可以直接请求 https://check.torproject.org/tor exit bulk exit list 之外的单点检测服务，例如官方提供的 https://check.torproject.org/api/ip 接口，访问后会返回JSON格式结果，其中IsTor字段为true时表示请求方正在使用Tor。这种方式适合排查单个可疑IP，不适合高并发的实时拦截场景，因为每次请求都有网络开销和延迟。
在Nginx和防火墙层面的实际拦截配置
拿到出口节点列表后，落地到生产环境才是关键。在Nginx中，可以利用geo模块配合map将出口节点IP标记出来，再通过限制访问或返回特定状态码处理。这种方案的优点是Nginx内部完成匹配，性能开销极小，更新列表后reload即可生效：
# nginx.conf 配置示例
geo $is_tor_exit {
default 0;
include /etc/nginx/tor_exit_geo.conf; # 格式：103.99.96.72 1;
}
server {
listen 80;
server_name example.ipipp.com;
location / {
if ($is_tor_exit) {
return 403; # 对Tor出口流量返回403
}
proxy_pass http://127.0.0.1:8080;
}
}
如果希望在系统层面直接阻断连接，可以借助iptables或ipset。ipset专为大规模IP集合设计，即使几千条IP也只需一条防火墙规则，效率远高于逐条添加：
# 创建ipset集合并导入出口节点 ipset create tor_exits hash:ip while read ip; do ipset add tor_exits "$ip"; done < /etc/nginx/tor_exit_list.txt # 阻断来自出口节点的连接 iptables -I INPUT -m set --match-set tor_exits src -j DROP
两种方案可以结合使用：防火墙层直接丢弃扫描类流量，应用层则对剩余Tor请求做更精细的处理，比如要求验证码或限流，而不是一刀切封禁。
误封风险与合理的应对策略
直接封锁Tor出口节点并不总是最优解。记者、研究人员和隐私敏感用户会将Tor作为日常工具，一刀切可能误伤合法访问者，对新闻类、公益类站点尤其需要谨慎。更稳妥的做法是分级处理：对登录、注册、支付等高风险接口实施严格限制，对普通浏览内容放宽策略。
另一个常见误区是认为Tor流量等同于恶意流量。实际上出口节点IP只是代理特征，攻击者同样会使用普通VPN、云主机或住宅代理。安全团队在制定策略时，应将Tor识别视为风险评估的一个信号维度，与其他特征如请求频率、UA指纹、行为序列结合分析，而不是唯一判据。
此外，维护清单时要考虑解析失败的容错。下载官方列表的网络请求可能超时，脚本中应保留上一份有效数据，避免因更新失败导致清空规则或全量放行。同时建议记录被拦截的出口节点访问日志，定期分析其中是否存在值得关注的攻击模式，这些数据本身就是一份有价值的威胁情报来源。
总结来看，Tor出口节点识别的核心是持续获取权威列表并在合适的层面落地匹配规则。方法本身不复杂，难点在于策略选择：理解业务场景中匿名流量的真实占比与风险等级，再决定是封禁、限流还是仅做标记监控，才能真正在安全与体验之间取得平衡。