172.31段私有IP频繁访问站点的含义、来源及是否为自身操作引发？

首先明确前提：172.31.0.0/16 是RFC1918规定的保留私有IP段，公网路由默认不会转发该网段的流量，出现这类IP访问你的站点，核心前提是请求发起方和你的站点服务器处于内网可达的网络环境中。

私有IP访问站点代表的含义 #

• 请求没有经过公网传输，发起方和站点服务器在同一个二层/三层内网
• 如果你的站点部署在云厂商ECS服务器上，说明请求来自云厂商给你分配的VPC内网环境内
• 如果你给站点配置了反向代理、CDN、负载均衡等中间服务，大概率是中间服务的内网节点转发请求时，没有正确透传用户的真实公网IP，导致后端服务日志记录的是中间节点的内网IP

这类IP的常见来源 #

• 你本人/团队在同一内网环境下的测试设备、测试脚本发起的访问请求
• 同一VPC内的其他云资源发起的访问，比如同账号下的其他服务器、容器实例
• 反向代理、负载均衡、WAF等安全/加速服务的内网转发节点
• 站点服务自身的内部调用、定时任务发起的本地访问，部分配置下会用服务器自身的172.31段IP作为源地址
• VPC内网配置宽松的情况下，也有可能是同一VPC内其他租户的扫描、探测请求

是否由自身操作导致 #

绝大多数情况都和自身操作/配置相关，常见的触发场景：

• 你近期对站点做过压力测试、连通性测试，发起测试的设备和服务器在同一个内网
• 你近期配置/调整过反向代理、负载均衡服务，没有添加X-Forwarded-For等真实IP透传的配置规则，导致日志丢失用户真实IP
• 你给服务器配置的安全组、防火墙规则放开了内网段的端口访问权限，没有限制内网来源的访问
• 你新上线的服务逻辑存在内部接口互调、定时任务访问站点资源的逻辑

排查建议：先检查反向代理/负载均衡的IP透传配置，再核对VPC操作日志和安全组规则，即可定位具体来源。

内容的提问来源于stack exchange，提问作者William