Warum ein CDN die Ursprungs-IP verbirgt – mit Absicht

Sie schlagen eine große Website nach, erwarten ihre Serveradresse und erhalten stattdessen etwas, das Cloudflare, Fastly oder Akamai gehört. Es ist nichts schiefgelaufen. Sie sehen genau das, was die Domain veröffentlicht – und die Adresse des echten Servers stand nie im DNS.

Was ein CDN tatsächlich tut

Ein Content Delivery Network ist eine über die ganze Welt verteilte Flotte von Servern. Statt dass jeder Besucher sich mit Ihrem einzelnen Ursprungsserver verbindet, verbindet er sich mit dem nächstgelegenen CDN-Knoten, der gecachte Inhalte direkt ausliefert und alles, was ihm fehlt, beim Ursprung abholt.

Das Leistungsargument ist unkompliziert: Ein Besucher in Singapur, der sich mit einem Server in Virginia verbindet, zahlt bei jeder Anfrage rund 200 ms Round-Trip-Latenz. Ein Edge-Knoten in Singapur senkt das bei gecachten Inhalten auf wenige Millisekunden.

Damit das funktioniert, muss die Domain zum CDN statt zum Ursprung auflösen. Das ist kein Nebeneffekt, sondern der gesamte Mechanismus. Würde DNS Ihre Ursprungsadresse zurückgeben, verbänden sich Besucher direkt damit, und das CDN käme nie ins Spiel.

Woran Sie eine CDN-Adresse erkennen

• Reverse-DNS nennt den Anbieter. Die Adresse löst zu etwas wie *.cloudflare.com, *.fastly.net oder *.cloudfront.net auf. Siehe Reverse-DNS.
• Dieselbe Adresse bedient viele unabhängige Websites. Edge-Knoten sind von Natur aus gemeinsam genutzte Infrastruktur.
• Verschiedene Standorte erhalten verschiedene Antworten. Geo-Routing schickt Sie zu Ihrem nächsten Knoten, die Adresse hängt also davon ab, von wo Sie abfragen.
• Der CNAME zeigt auf einen Anbieter-Hostnamen. Ein Record wie www.example.com CNAME example.com.cdn.cloudflare.net ist eindeutig.

dig +short example.com
dig +short -x 104.21.32.47

Der zweite Befehl ist ein Reverse-Lookup. Gibt er den Hostnamen eines Anbieters zurück, haben Sie Ihre Antwort.

Warum der Ursprung absichtlich verborgen wird

Das Verbergen ist kein Nebenprodukt. Es ist eine Sicherheitseigenschaft, für die Menschen bezahlen.

Was das für ein Lookup-Ergebnis bedeutet

Es ändert, wie Sie die Antwort lesen sollten, nicht, ob sie korrekt ist.

Praktische Folgen:

• Geolokalisierung ist bedeutungslos. Die Stadt des Edge-Knotens verrät, wohin Sie geroutet werden, nicht, wo das Unternehmen oder seine Daten stehen.
• Reverse-IP-Lookups sind Rauschen. Tausende unabhängiger Domains teilen sich legitim eine Edge-Adresse.
• Die Adresse ist nicht stabil. CDNs vergeben Edge-Adressen ständig neu. Hartkodieren Sie sie nicht und bauen Sie keine Firewall-Regeln darauf auf.
• Sie zu blockieren blockiert alle. Das Blockieren einer gemeinsam genutzten Edge-Adresse betrifft jede Website hinter diesem Knoten.

Ein Hinweis zum Versuch, den Ursprung trotzdem zu finden

Es gibt Artikel, die Techniken zum Enttarnen von Ursprungsservern beschreiben – historische DNS-Archive, Certificate-Transparency-Logs, Subdomains, die nie hinter das CDN verlegt wurden, E-Mail-Header von Mails, die der Ursprung versandt hat.

Sie alle funktionieren, indem sie einen Fehler des Ziels ausnutzen, nicht indem sie das CDN überwinden. Und der Grund, warum jemand einen Ursprung verborgen hat, ist meist, dass er angegriffen wird. Die Infrastruktur einer anderen Organisation zu sondieren, um einen bewusst eingesetzten Schutz zu überwinden, ist kein neutraler Akt, und in vielen Rechtsordnungen ist es auch kein legaler.

Das Lookup-Tool zeigt den vollständigen öffentlichen Record-Satz jeder Domain, einschließlich der CNAME-Kette – meist der schnellste Weg, überhaupt zu bestätigen, dass eine Website hinter einem CDN liegt.