Perché una CDN nasconde l'IP di origine (ed è voluto)

Cerchi un grande sito web aspettandoti l'indirizzo del suo server e ottieni invece qualcosa che appartiene a Cloudflare, Fastly o Akamai. Non è andato storto nulla. Stai vedendo esattamente ciò che il dominio pubblica, e l'indirizzo del server vero non è mai stato nel DNS fin dall'inizio.

Cosa fa davvero una CDN

Una content delivery network è una flotta di server distribuiti in tutto il mondo. Invece di far connettere ogni visitatore al tuo unico server di origine, lo si fa connettere al nodo della CDN più vicino, che serve direttamente i contenuti in cache e recupera dall'origine tutto ciò che gli manca.

L'argomento delle prestazioni è semplice: un visitatore a Singapore che si connette a un server in Virginia paga circa 200ms di latenza di andata e ritorno a ogni richiesta. Un nodo edge a Singapore la riduce a pochi millisecondi per i contenuti in cache.

Perché funzioni, il dominio deve risolversi nella CDN e non nell'origine. Non è un effetto collaterale: è l'intero meccanismo. Se il DNS restituisse l'indirizzo della tua origine, i visitatori si connetterebbero direttamente a essa e la CDN non verrebbe mai coinvolta.

Come riconoscere l'indirizzo di una CDN

• Il DNS inverso nomina il provider. L'indirizzo si risolve in qualcosa come *.cloudflare.com, *.fastly.net o *.cloudfront.net. Vedi DNS inverso.
• Lo stesso indirizzo serve molti siti non correlati. I nodi edge sono per definizione un'infrastruttura condivisa.
• Posizioni diverse ottengono risposte diverse. Il geo-routing ti manda al nodo più vicino, quindi l'indirizzo varia a seconda di dove interroghi.
• Il CNAME punta a un hostname del provider. Un record come www.example.com CNAME example.com.cdn.cloudflare.net non lascia dubbi.

dig +short example.com
dig +short -x 104.21.32.47

Il secondo comando è un lookup inverso. Se restituisce l'hostname di un provider, hai la tua risposta.

Perché l'origine è nascosta di proposito

L'occultamento non è un sottoprodotto. È una proprietà di sicurezza per cui le persone pagano.

Cosa significa per il risultato di un lookup

Cambia il modo in cui dovresti leggere la risposta, non il fatto che la risposta sia corretta.

Conseguenze pratiche:

• La geolocalizzazione non ha senso. La città del nodo edge ti dice dove vieni instradato tu, non dove si trovino l'azienda o i suoi dati.
• I lookup IP inversi sono rumore. Migliaia di domini non correlati condividono legittimamente un unico indirizzo edge.
• L'indirizzo è instabile. Le CDN riassegnano di continuo gli indirizzi edge. Non scriverlo nel codice né costruirci regole di firewall.
• Bloccarlo blocca tutti. Bloccare un indirizzo edge condiviso colpisce ogni sito dietro quel nodo.

Una nota su chi cerca comunque di trovare l'origine

Esistono articoli che descrivono tecniche per smascherare i server di origine: archivi storici del DNS, log di certificate transparency, sottodomini che non sono mai stati spostati dietro la CDN, intestazioni email di messaggi inviati dall'origine.

Funzionano tutte sfruttando un errore commesso dal bersaglio, non sconfiggendo la CDN. E il motivo per cui qualcuno ha nascosto un'origine è di solito che è sotto attacco. Sondare l'infrastruttura di un'altra organizzazione per aggirare una protezione che ha adottato deliberatamente non è un atto neutro e in molte giurisdizioni non è nemmeno legale.

Lo strumento di lookup mostra l'intero insieme di record pubblici di qualsiasi dominio, compresa la catena di CNAME: di solito è il modo più rapido per confermare se un sito sia dietro una CDN.