Por qué una CDN oculta la IP de origen (y esa es la idea)

Consultas un sitio web importante esperando la dirección de su servidor y obtienes algo que pertenece a Cloudflare, Fastly o Akamai. No ha salido nada mal. Estás viendo exactamente lo que publica el dominio, y la dirección del servidor real nunca estuvo en el DNS.

Qué hace realmente una CDN

Una red de entrega de contenido (CDN) es una flota de servidores distribuidos por todo el mundo. En lugar de que cada visitante se conecte a tu único servidor de origen, se conecta al nodo de la CDN más cercano, que sirve directamente el contenido en caché y obtiene del origen todo lo que le falta.

El argumento de rendimiento es sencillo: un visitante en Singapur que se conecta a un servidor en Virginia paga unos 200 ms de latencia de ida y vuelta en cada solicitud. Un nodo de borde en Singapur lo reduce a unos pocos milisegundos para el contenido en caché.

Para que esto funcione, el dominio debe resolverse a la CDN y no al origen. No es un efecto secundario: es todo el mecanismo. Si el DNS devolviera la dirección de tu origen, los visitantes se conectarían directamente a ella y la CDN nunca intervendría.

Cómo reconocer una dirección de CDN

• El DNS inverso nombra al proveedor. La dirección se resuelve a algo como *.cloudflare.com, *.fastly.net o *.cloudfront.net. Consulta el DNS inverso.
• La misma dirección sirve a muchos sitios sin relación. Los nodos de borde son infraestructura compartida por diseño.
• Ubicaciones distintas obtienen respuestas distintas. El enrutamiento geográfico te envía a tu nodo más cercano, así que la dirección varía según desde dónde consultes.
• El CNAME apunta a un nombre de host del proveedor. Un registro como www.example.com CNAME example.com.cdn.cloudflare.net no deja lugar a dudas.

dig +short example.com
dig +short -x 104.21.32.47

El segundo comando es una consulta inversa. Si devuelve el nombre de host de un proveedor, ya tienes tu respuesta.

Por qué el origen se oculta a propósito

La ocultación no es un subproducto. Es una propiedad de seguridad por la que la gente paga.

Qué significa esto para el resultado de una consulta

Cambia cómo debes leer la respuesta, no si la respuesta es correcta.

Consecuencias prácticas:

• La geolocalización no significa nada. La ciudad del nodo de borde te dice adónde te enrutan a ti, no dónde están la empresa o sus datos.
• Las consultas de IP inversas son ruido. Miles de dominios sin relación comparten legítimamente una misma dirección de borde.
• La dirección es inestable. Las CDN reasignan constantemente las direcciones de borde. No la fijes en el código ni construyas reglas de firewall a su alrededor.
• Bloquearla bloquea a todos. Bloquear una dirección de borde compartida afecta a todos los sitios que hay detrás de ese nodo.

Una nota sobre intentar encontrar el origen de todos modos

Existen artículos que describen técnicas para desenmascarar servidores de origen: archivos históricos de DNS, registros de transparencia de certificados, subdominios que nunca se movieron detrás de la CDN, cabeceras de correos enviados por el origen.

Todas funcionan aprovechando un error del objetivo, no venciendo a la CDN. Y la razón por la que alguien ocultó un origen suele ser que está sufriendo ataques. Sondear la infraestructura de otra organización para burlar una protección que desplegó deliberadamente no es un acto neutro, y en muchas jurisdicciones tampoco es legal.

La herramienta de consulta muestra el conjunto completo de registros públicos de cualquier dominio, incluida la cadena de CNAME, que suele ser la forma más rápida de confirmar siquiera si un sitio está detrás de una CDN.