Por que uma CDN esconde o IP de origem (e é de propósito)

Você consulta um grande site esperando o endereço do servidor dele e recebe algo que pertence à Cloudflare, à Fastly ou à Akamai. Nada deu errado. Você está vendo exatamente o que o domínio publica, e o endereço do servidor real nunca esteve no DNS desde o início.

O que uma CDN realmente faz

Uma rede de distribuição de conteúdo (CDN) é uma frota de servidores distribuídos pelo mundo. Em vez de cada visitante se conectar ao seu único servidor de origem, ele se conecta ao nó da CDN mais próximo, que serve o conteúdo em cache diretamente e busca na origem tudo o que não tem.

O argumento de desempenho é direto: um visitante em Singapura que se conecta a um servidor na Virgínia paga cerca de 200 ms de latência de ida e volta em toda requisição. Um nó de borda em Singapura reduz isso a alguns milissegundos para o conteúdo em cache.

Para isso funcionar, o domínio precisa resolver para a CDN, e não para a origem. Isso não é um efeito colateral: é o mecanismo inteiro. Se o DNS retornasse o endereço da sua origem, os visitantes se conectariam diretamente a ela e a CDN nunca entraria em ação.

Como reconhecer o endereço de uma CDN

• O DNS reverso nomeia o provedor. O endereço resolve para algo como *.cloudflare.com, *.fastly.net ou *.cloudfront.net. Veja DNS reverso.
• O mesmo endereço atende muitos sites sem relação entre si. Os nós de borda são infraestrutura compartilhada por projeto.
• Locais diferentes recebem respostas diferentes. O roteamento geográfico envia você ao nó mais próximo, então o endereço varia conforme o local de onde você consulta.
• O CNAME aponta para um hostname do provedor. Um registro como www.example.com CNAME example.com.cdn.cloudflare.net não deixa dúvida.

dig +short example.com
dig +short -x 104.21.32.47

O segundo comando é uma consulta reversa. Se ele retornar o hostname de um provedor, você já tem a sua resposta.

Por que a origem é escondida de propósito

A ocultação não é um subproduto. É uma propriedade de segurança pela qual as pessoas pagam.

O que isso significa para o resultado de uma consulta

Isso muda a forma como você deve ler a resposta, e não se a resposta está correta.

Consequências práticas:

• A geolocalização não faz sentido. A cidade do nó de borda diz para onde você é roteado, e não onde ficam a empresa ou os dados dela.
• As consultas de IP reverso são ruído. Milhares de domínios sem relação entre si compartilham legitimamente um único endereço de borda.
• O endereço é instável. As CDNs reatribuem os endereços de borda o tempo todo. Não o fixe no código nem crie regras de firewall em torno dele.
• Bloqueá-lo bloqueia todo mundo. Bloquear um endereço de borda compartilhado afeta todos os sites atrás daquele nó.

Uma observação sobre tentar encontrar a origem mesmo assim

Existem artigos que descrevem técnicas para desmascarar servidores de origem: arquivos históricos de DNS, logs de transparência de certificados, subdomínios que nunca foram movidos para trás da CDN, cabeçalhos de e-mails enviados pela origem.

Todas funcionam explorando um erro do alvo, e não vencendo a CDN. E o motivo de alguém ter escondido uma origem costuma ser o fato de estar sendo atacado. Sondar a infraestrutura de outra organização para derrotar uma proteção que ela implantou de propósito não é um ato neutro e, em muitas jurisdições, também não é legal.

A ferramenta de consulta mostra o conjunto completo de registros públicos de qualquer domínio, incluindo a cadeia de CNAME, que costuma ser a forma mais rápida de confirmar se um site está atrás de uma CDN.