连接国家分布——如何解读你的国际流量
正常分布长什么样
一个普通国内个人用户的网络连接，国家分布应该大致是这样：
| 国家 | 占比 | 说明 |
|---|---|---|
| 中国 | ~80-90% | 国内网站、国内 App、微信/QQ/支付宝等 |
| 美国 | ~5-15% | Google 服务、YouTube、GitHub、Chrome 更新、Cloudflare CDN |
| 日本/新加坡/德国 | <5% | 部分跨国 CDN 节点 |
如果你的分布明显偏离这个比例（比如俄罗斯占比很高但你不用任何俄罗斯服务），就值得排查。
按国家查看的入口
Map 视图（实时）
- Traffic Monitor → Map 子视图
- 点击某个国家 → 自动跳到 Usage 视图 Countries 分组并筛选该国
- 看这个国家当前活跃的所有 Host
Usage 视图（累计）
- Traffic Monitor → Usage 子视图
- 分组下拉框选 Countries
- 时间范围选 Today / This Week / This Month
- 表格显示每个国家的累计入站/出站/合计流量
- 点击某行 → 显示该国所有活跃 Host
Graph 视图点击（即时）
- Graph 视图点击任意位置 → Hosts 面板
- 每个 Host 旁边有国旗 → 一眼看到当前时刻连接的国家分布
什么国家可能有风险
以下国家/地区的连接需要额外警惕（不是说这些国家的 IP 一定是恶意的，而是从"非我主动访问"这个维度看）：
- 俄罗斯：大量安全工具和破解软件的 C2 服务器在这里；正常用户几乎不会主动访问俄罗斯网站
- 乌克兰、克罗地亚、荷兰的部分 IP 段：历史上有大量恶意活动记录
- 非洲小国家：正常个人用户不会有持续的非洲连接
- 朝鲜：几乎可以肯定是恶意的
注意这只是安全排查线索，不是定论。Cloudflare CDN 在全球都有节点，你的某个网站访问可能被路由到了意想不到的国家 CDN 节点。
排查步骤
如果你发现某个可疑国家：
- Usage 视图 → Countries 分组 → 点击可疑国家行
- 进入该国家的 Host 列表，逐个看：是哪些域名/IP
- 记下对应的应用（在 Apps 列或回到 Apps 分组交叉查看）
- 去 GlassWire Protect 里找到那个应用
- 如果是你不认识的应用或完全不信任的，用火焰图标阻断它
- 如果应用是你信任的（比如 Chrome），去 Chrome 里检查是不是某个扩展在连这些 Host
国家分布 vs VPN
如果你用了 VPN，GlassWire 里显示的国家会是 VPN 服务器所在的国家，不是你真实访问的目的地。比如你用美国 VPN 访问国内网站，GlassWire 里看到的是你电脑连美国 VPN 服务器的流量，不会看到你电脑连国内网站的流量（因为国内连接发生在 VPN 隧道内部）。
所以用 VPN 时国家分布会完全失真——所有出站都是 VPN 服务器所在国家，所有入站也是从 VPN 服务器回来的。这时候不能用国家分布来判断正常与否。