GeoIP 解析怎么用
Wireshark 可以加载本地的 MaxMind 地理数据库，把抓到的公网地址换算成国家、城市、自治系统等维度，端点和会话统计里会多出几列位置信息。它适合快速看流量来源分布：某个异常来源集中在哪个国家、访问是否绕了远路。需要强调的是，地理信息是由地址段推断出来的，不是精确的物理位置，跨境代理与内容分发网络会让推断结果明显偏离用户真实所在。
基本信息
| 配置入口 | Preferences → Name Resolution → MaxMind database directories |
|---|---|
| 数据库文件 | MaxMind 的 GeoIP2 或 GeoLite2 数据库文件，扩展名为 mmdb |
| 获取方式 | 在 MaxMind 官网注册账号后下载，需遵守其许可条款 |
| 查看位置 | Statistics → Endpoints 或 Conversations 中的 GeoIP 相关列 |
| 内网地址 | 私有地址段永远解析不出位置，属正常现象 |
| 更新要求 | 地址段归属会变化，离线库需要定期更新 |
典型使用场景
- 来源分布：端点统计里按国家分组，看异常流量的来源集中度
- 漏斗分析：排查接口被调用的地域分布是否符合业务预期
- 安全初筛：某来源国家与业务范围完全不符时，作为进一步核查的线索
- 路径核实：判断访问是否经过海外节点，解释链路延迟构成
- 汇报可视化：把来源分布做成表格，直观说明流量的覆盖面
配置与查看
配置与查看
# 1) 从 MaxMind 下载 GeoLite2 的城市与自治系统数据库, 解压得到 mmdb 文件
ls -l /usr/share/GeoIP/*.mmdb
# 2) Preferences → Name Resolution → MaxMind database directories 填入所在目录
# 3) Statistics → Endpoints 勾选 GeoIP 相关列后查看
# 命令行侧可先导出端点清单再自行关联
tshark -r a.pcap -q -z endpoints,ip | head -30常见列与判读
| 列 | 含义 | 注意 |
|---|---|---|
| 国家 | 地址所属国家 | 跨境代理会让结果偏离用户真实所在地 |
| 城市 | 推断的城市级位置 | 精度有限, 同城不同运营商也可能落在别处 |
| 自治系统 | 所属网络运营方 | 识别 CDN 与云厂商比城市更有用 |
| 内网地址 | 显示为未知 | 属正常, 不要当作数据缺失故障 |
| 库版本 | 数据库发布日期 | 库太旧会让新分配地址段解析失败 |
地理信息只能作为线索：内容分发网络与代理会让同一服务的不同请求解析到不同地区，用它直接判定用户真实位置会得出错误结论。
离线数据库不会自动更新，需要定期重新下载替换；使用 MaxMind 的免费库时要遵守其许可条款与署名要求。