@luoyide2010 对于你的结论：普通公司基本没能力识别出翻墙行为 。
我是认同的。

我的回复只是想说明： 如果公司内有专职安全 team 要是硬去做的话，还是可以做到八九不离十的。

关于“奇安信，深信服都实现不了你说的功能” 你忽略了一个事实： 国内行为管控设备，并不想做代理检测这种耗费计算资源的事情（甲方老板也不关心，毕竟还可以客户端上部署 DLP ）。 这并不意味着厂商在局域网内没有技术可以实现它。例如我可以强行 SNI 识别+DPI+白名单啊，你可疑流量的 IP 一律被通报出来。 当然如果你想说 DNS 不在本地解析，那是无法获知 SNI 了，但是你的翻墙 IP （或国内的落地鸡 IP+固定端口）网管也可以拉黑了。


补充你的疑问：IP 还能有什么情报？ 15 分钟内 ipv4 全网代理端口扫描检测不是什么新鲜事儿了。公共 vpn 服务的 ip 已经被扫的（画像）八九不离十了。 5 年前我们就做过类似的风险数据业务了。