最近老张发现自家的路由器后台总跳出陌生IP地址，登录记录里还出现了国外的地址，吓得他赶紧查了查。其实很多人遇到过类似情况：明明没出门，账户却显示从异地登录；电脑突然变卡，流量莫名飙升。这时候很可能就是有可疑IP在搞鬼。
什么是可疑IP？
简单说，可疑IP就是那些来源不明、行为异常的网络地址。比如凌晨三点试图登录你家摄像头的IP，或者频繁扫描你电脑端口的境外地址。它们不一定立刻造成伤害，但往往是攻击的前兆。
发现可疑IP先别慌
很多人一看见陌生IP就立马断网重装系统，其实大可不必。先确认是不是误报。比如家里用的智能插座、手机远程查看监控，都可能留下看似“奇怪”的IP记录。可以打开微信或支付宝的登录设备管理，看看最近的登录地是否对得上。
家庭用户常用应对方法
如果是普通家庭网络，最简单的办法是登录路由器后台（通常是192.168.1.1或192.168.0.1），找到“安全日志”或“连接设备”列表。看到不认识的设备，直接点击“拉黑”或“禁止访问”。大多数现代路由器都支持IP黑名单功能。
比如华为AX3路由器，在“智慧生活”App里进入“安全中心”，开启“防蹭网”和“黑客攻击防护”，系统会自动拦截高频扫描行为。TP-Link用户可以在Web管理界面的“防火墙”选项中启用“IP过滤”，把可疑IP加进去就行。
进阶操作：用命令行查连接
Windows用户可以按Win+R，输入cmd打开命令提示符，运行下面这行命令：
netstat -an | findstr "ESTABLISHED"这会列出所有正在通信的IP和端口。如果看到大量连接指向同一个外部IP，尤其是状态为SYN_SEND或TIME_WAIT的，就得留心了。Linux或Mac用户可以用：
lsof -i | grep ESTABLISHED企业级防护参考
公司服务器更不能马虎。常见的做法是在防火墙规则里设置deny策略。比如用iptables屏蔽某个IP：
iptables -A INPUT -s 123.45.67.89 -j DROP或者用Cloudflare这类CDN服务，开启“威胁情报”模式，自动封禁已知恶意IP段。很多单位还会部署SIEM系统（如Splunk），实时分析日志中的异常IP行为。
日常预防更重要
改掉用admin/password这种弱密码的习惯，路由器默认密码一定要换。定期更新固件，别让漏洞留在那里半年不修。公网暴露的服务，比如NAS远程访问，尽量加上双因素认证。晚上睡觉前顺手关掉Wi-Fi，也能减少被扫描的机会。
老张后来发现那个国外IP其实是儿子用游戏加速器连主机的结果，虚惊一场。但他说现在每周都会检查一次路由器日志，就像看水电表一样自然。