前言
前几天在容器里跑一个流媒体相关的服务，日志一直报地区不匹配，我第一反应是IP被识别错了。登录服务器一查，宿主机IP明明是美国原生，容器里跑curl ipinfo.io却返回了另一个地区。折腾了一晚上才搞明白，容器网络模式和宿主机不是一回事，Docker容器原生IP检测不能直接在容器里跑。
原生IP和广播IP的区别
判断一台云服务器的IP是不是原生IP，核心是对比IP的注册归属地和服务器实际所在地。两者一致就是原生，地址段注册在其他国家或地区、再通过BGP宣告到当前机房使用，就属于广播IP。
IP地址由区域互联网注册机构统一分配，北美的ARIN、欧洲的RIPE NCC、亚太的APNIC。运营商在本地机房使用自己名下的地址段是原生，把其他地区的地址段拿来宣告使用就是广播。
广播IP不是不能用，但表现有差异。部分风控系统和流媒体平台会按注册地判断地区，容易识别偏差。跨区域宣告还可能带来绕路，延迟会略微增加。
另外要区分一点，原生IP不等于住宅IP。原生说的是地址归属和使用地一致，住宅说的是地址属于家庭宽带类型，多数云服务器分配的还是机房类型的地址。
为什么容器里查出来的IP和宿主机不一样
Docker默认的网络模式是bridge。容器通过NAT访问外网，出口IP是宿主机的公网IP。按理说，在容器里跑curl ipinfo.io，看到的应该是宿主机的IP。
但实际情况不总是这样，如果你的Docker用了host网络模式，容器直接共享宿主机网络，查出来就是宿主机IP，如果用了macvlan或者自定义网络，容器就可能有独立的IP，如果容器里配了代理，或者DNS解析走了别的路径，查出来的结果又不一样。
更麻烦的是，有些云服务器本身就有多个IP，或者走了NAT网关。容器里查到的出口IP，可能是网关的，不是服务器实际的公网IP。
所以Docker容器原生IP检测的第一步，是确认容器的网络模式，先别急着在容器里下结论。
在容器里检测IP的正确姿势
先看容器用的什么网络模式：
docker inspect 容器名 | grep NetworkMode
如果是bridge，容器出口走宿主机，检测要以宿主机为准。如果是host，容器和宿主机共享网络，两边查出来应该一致。如果是macvlan或自定义网络，要单独确认容器自己的IP。
在容器里跑基础查询：
curl ipinfo.io
返回结果里的country是国家代码，city是IP所属城市，org同时包含ASN编号和运营商名称。这一步只能做初步判断，因为容器里的出口IP可能不是你以为的那个。
再查Whois注册信息。很多精简镜像里默认没装whois，要先装：
apt-get install whois
然后执行：
whois 服务器IP
重点看country、netname、OrgName三个字段。注册国家和机房所在国家不一致，很可能是广播IP地址段。
如果在容器里装不了whois，或者镜像太精简，可以退到宿主机上查。宿主机的检测结果更能代表服务器的真实IP归属。
用ASN查询核对地址段
Whois之外，还要用ASN查询工具核对。输入服务器IP，看所属地址段由哪个ASN宣告，以及这个ASN的注册国家和上游运营商。
宣告方和机房运营方一致，结论更可靠，如果宣告方是另一个国家的运营商，就要警惕。
这一步在容器里跑要注意DNS。有些容器的DNS配置和宿主机不同，查询工具可能解析失败。遇到这种情况，同样退回宿主机查，或者临时用--dns参数指定DNS。
ASN查询的结果要和Whois互相印证。只看一个容易误判。
用延迟验证实际位置
最后一步是用延迟验证。测到同城节点的往返延迟，以洛杉矶机房为例，到西海岸节点的延迟通常较低，如果延迟异常偏高，路由明显绕行其他地区，就要进一步核实。
这一步最好在宿主机上跑，容器里的网络路径可能多一层NAT，延迟数字参考价值下降。可以用mtr或者nexttrace看路由，确认跨境出口和经过的节点。
如果Whois显示国家为US，地址段由美国运营商宣告，到本地节点延迟很低，说明地址和洛杉矶机房位置一致。如果国家显示其他地区，服务器实际在洛杉矶，基本可以判定为广播IP。
几个容易误判的地方
容器网络模式不同，查出来的IP不同。bridge模式下容器出口是宿主机IP，macvlan模式下容器有自己的IP，别混着看。
不同IP数据库更新频率不同。新启用的地址段经常出现地区显示滞后，建议同时对比IPinfo、MaxMind、ip-api等多个来源，以多数一致的结果为准。
精简镜像里工具不全。whois、mtr、nexttrace这些可能都没装，要么在容器里补装，要么退回宿主机查。
容器里配了代理或VPN，查出来的IP是代理的，不是服务器的。排查前先确认容器里没有多余的出口配置。
Whois和ASN都对，只有个别数据库显示错误，可以向该数据库提交更正申请，多数数据库都有反馈入口。
如果多项结果都表明是广播IP，按业务需求决定是否继续用。网站访问、开发测试影响有限，流媒体、支付风控、广告投放建议上线前更换地址段。
总结
Docker容器原生IP检测的关键，是先确认容器网络模式，再决定在容器里查还是回宿主机查。基础查询用curl ipinfo.io，注册归属用Whois，地址段用ASN查询，实际位置用延迟和路由验证。多个来源互相印证，结论才可靠。
感谢您阅读到这里！
