Wie CDNs per DNS den Traffic weltweit lenken

Das Kernversprechen eines CDN ist, Inhalte von einem Server auszuliefern, der jedem Besucher räumlich nahe ist, statt die ganze Welt von einem einzigen festen Ursprungsserver zu bedienen. Der Mechanismus, der das in den meisten Implementierungen möglich macht, ist DNS – genauer gesagt: verschiedenen Besuchern auf exakt dieselbe Abfrage verschiedene Antworten zu geben.

Dieselbe Domain, andere Antwort – mit Absicht

Steht ein CDN vor einer Domain, zeigen deren DNS-Records typischerweise (oft über einen CNAME) auf die Infrastruktur des CDN-Anbieters statt auf eine einzelne Ursprungs-IP. Die Nameserver des CDN beantworten jede eingehende Abfrage dann danach, woher sie zu stammen scheint, und liefern die IP-Adresse des Edge-Standorts zurück, der für diesen konkreten Besucher am nächsten – oder am wenigsten ausgelastet – ist. Zwei Personen auf entgegengesetzten Seiten der Welt, die dieselbe Domain abfragen, können korrekterweise zwei völlig verschiedene IP-Adressen erhalten.

• Deshalb ist es kein Fehler, wenn ein zweimal durchgeführter Domain-zu-IP-Lookup von zwei verschiedenen Standorten abweichende Ergebnisse liefert – das System arbeitet wie vorgesehen.
• Deshalb lösen CDN-gestützte Domains bei wiederholten Lookups auch oft zu mehreren Adressen auf – es gibt nicht die eine „richtige“ Antwort, nur aktuell passende.
• Auf diesen Records ist eine kurze TTL üblich, damit das CDN Traffic schnell von einem schwächelnden Edge-Standort wegverlagern kann, ohne ein langes Cache-Fenster abzuwarten.

Was das für die Fehlersuche bedeutet

Verhält sich eine CDN-gestützte Website bei manchen Besuchern merkwürdig und bei anderen nicht, ist der Blick darauf, zu welcher Adresse verschiedene Standpunkte die Domain tatsächlich auflösen, oft der schnellste Weg zu klären, ob ein einzelner Edge-Standort das Problem ist und nicht der Ursprungsserver oder die Anwendung selbst. Ein Tool, das direkt auflöst und die Rohantwort zeigt – ohne den DNS-Cache eines Browsers davor –, liefert ein sauberes Bild davon, was einer Region gerade tatsächlich ausgeliefert wird.

Die echte Adresse des Ursprungsservers wird absichtlich verborgen

Ein Nebeneffekt, den man kennen sollte: Wer eine CDN-gestützte Domain auflöst, erfährt die Adresse des Edge-Netzwerks, nicht die des dahinterliegenden Ursprungsservers – und das ist meist Absicht, kein Zufall. Die echte IP des Ursprungs aus dem öffentlichen DNS herauszuhalten, ist eine der einfachsten und wirksamsten Abwehrmaßnahmen einer Website gegen einen direkten Denial-of-Service-Angriff auf die eigentliche Infrastruktur statt auf die weit größere Kapazität des CDN davor. Es bedeutet auch, dass ein Domain-Lookup allein nicht verrät, wo eine Website „wirklich“ gehostet wird – nur, wo ihr Traffic derzeit in das Netzwerk des CDN eintritt, und das ist eine deutlich andere Frage.

WHOIS oder ASN einer aufgelösten Adresse nachschlagen

Ein schneller, praktischer Weg zu prüfen, ob eine Domain hinter einem CDN liegt, ist herauszufinden, wem die aufgelöste IP-Adresse tatsächlich gehört – getrennt vom Domain-Lookup selbst. Eine aufgelöste Adresse, die auf die Autonomous System Number (ASN) eines bekannten CDN- oder Cloud-Anbieters registriert ist, ist ein starkes Signal, dass Sie ein Edge-Netzwerk vor sich haben und keinen Ursprungsserver – und erklärt sofort, warum dieselbe Domain aus einer anderen Region eine andere Adresse zeigen kann, ohne dass etwas nicht stimmt. Das ist ein nützlicher zweiter Schritt nach einem Lookup, aber kein Ersatz dafür: Die DNS-Antwort nennt die aktuelle Adresse, und die Inhaberabfrage verrät, zu welcher Art von Infrastruktur diese Adresse tatsächlich gehört.