网站能区分 NAT 与正向代理吗？

多个访客从同一个公网地址到达。这既符合办公网的 NAT 网关，也符合共享的正向代理。仅凭地址无法在两者之间做出选择。

NAT 会在路径上改写地址信息。正向代理接受一条连接，并另外发起一条连接。二者机制不同，但目标站点只能看到抵达它的连接，看不到客户端网络设备的完整清单。

HTTP 的 Via 字段可以提供存在 HTTP 中间层的证据。对它的缺失应当作更狭窄的解读：这次请求没有把该指示暴露给这位观察者。报头可能不可信、被删除，或在普通的端到端 TLS 隧道内无法获得。IP 信誉数据库提供的是另一类证据，各有自己的覆盖范围与时效。

正因如此，检测工具上的“未检测到代理”并不是网络拓扑图。它也无法证明其他每个网站都会得出相同结论。

如果你运营客户端或网络，应把端点侧的观察与实际应用配置、网关配置以及相关连接记录放在一起核对。如果你只运营网站，就说明你的信号能支持到哪一步，并为不确定性留出余地。

对于访问控制，先确定你需要保护什么。共享地址可用于粗粒度的速率限制，但作为单个用户的替代品很糟糕。把它称作 NAT 或代理，并不能解决那个身份问题。