如何仅用标准Java JDK API阻止所有VPN连接至Java服务器？

首先明确：仅靠标准Java JDK API无法100%精准识别所有VPN连接——因为没有外部IP地址库支持，没法直接判定一个公网IP是否属于VPN服务商。但可以通过以下几种基于标准API的间接手段来限制可疑连接：

1. 仅允许内网IP访问 #

如果你的服务器只需要对接内网客户端，直接拒绝所有非局域网IP即可。通过Socket.getInetAddress()获取客户端IP，然后匹配RFC1918定义的内网网段：

import java.net.InetAddress;
import java.net.ServerSocket;
import java.net.Socket;

public class RestrictedServer {
    public static void main(String[] args) throws Exception {
        try (ServerSocket serverSocket = new ServerSocket(8080)) {
            while (true) {
                Socket clientSocket = serverSocket.accept();
                InetAddress clientAddr = clientSocket.getInetAddress();
                
                if (!isPrivateIP(clientAddr)) {
                    System.out.println("拒绝非内网连接: " + clientAddr.getHostAddress());
                    clientSocket.close();
                    continue;
                }
                
                new Thread(() -> handleValidConnection(clientSocket)).start();
            }
        }
    }
    
    private static boolean isPrivateIP(InetAddress addr) {
        byte[] ipBytes = addr.getAddress();
        return (ipBytes[0] == 10) || // 10.0.0.0/8
               (ipBytes[0] == (byte)172 && (ipBytes[1] & 0xF0) == 16) || // 172.16.0.0/12
               (ipBytes[0] == (byte)192 && ipBytes[1] == (byte)168); // 192.168.0.0/16
    }
    
    private static void handleValidConnection(Socket socket) {
        // 处理业务逻辑
        try {
            // ...
            socket.close();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

2. 反向DNS关键词匹配 #

部分VPN服务商的IP反向解析会包含vpn、proxy这类标识，通过InetAddress.getCanonicalHostName()获取主机名后做关键词匹配：

private static boolean isSuspiciousVPN(InetAddress addr) {
    String hostName = addr.getCanonicalHostName().toLowerCase();
    String[] vpnIndicators = {"vpn", "proxy", "tor", "relay", "gateway", "cloudflare"};
    for (String indicator : vpnIndicators) {
        if (hostName.contains(indicator)) {
            return true;
        }
    }
    return false;
}

注意：这种方法误判率高，正常IP也可能包含这些关键词，而且反向解析会增加连接延迟，影响服务器性能。

3. 基于TTL值的可疑连接判断 #

VPN连接的数据包经过中转节点，TTL（生存时间）通常比直接连接更小。对于TCP连接，可以通过StandardSocketOptions.IP_TTL获取TTL值（仅部分操作系统支持）：

private static boolean isSuspiciousTTL(Socket socket) throws Exception {
    int ttl = socket.getOption(java.net.StandardSocketOptions.IP_TTL);
    // 阈值可根据实际网络环境调整，这里假设TTL<60为可疑
    return ttl < 60;
}

注意：不同操作系统默认TTL不同，比如Windows是128，Linux是64，所以这个阈值需要根据你的服务器环境调整，否则容易误判。

4. SSL/TLS强制客户端证书验证 #

如果服务器用SSL/TLS通信，要求客户端提供你颁发的合法证书，VPN客户端通常无法提供，自然会被拒绝：

import javax.net.ssl.SSLServerSocket;
import javax.net.ssl.SSLServerSocketFactory;
import java.net.Socket;

public class SSLRestrictedServer {
    public static void main(String[] args) throws Exception {
        // 配置服务器密钥库（替换为你的密钥库路径和密码）
        System.setProperty("javax.net.ssl.keyStore", "./server.keystore");
        System.setProperty("javax.net.ssl.keyStorePassword", "your-keystore-password");
        
        SSLServerSocketFactory factory = (SSLServerSocketFactory) SSLServerSocketFactory.getDefault();
        try (SSLServerSocket serverSocket = (SSLServerSocket) factory.createServerSocket(8443)) {
            // 强制要求客户端提供证书
            serverSocket.setNeedClientAuth(true);
            
            while (true) {
                Socket clientSocket = serverSocket.accept();
                // 证书验证通过，处理连接
                new Thread(() -> handleValidConnection(clientSocket)).start();
            }
        }
    }
    
    // handleValidConnection方法同前
}

重要提醒 #

所有上述方法都只能作为辅助限制手段，无法完全阻止所有VPN连接——因为没有外部IP库支持，没法精准区分VPN和正常公网IP。如果需要更有效的防护，必须结合外部IP归属数据库，但这不符合题目“仅用标准JDK API”的要求。

内容的提问来源于stack exchange，提问作者Evgeny