Почему CDN скрывает IP исходного сервера: так и задумано

Вы проверяете крупный сайт, ожидая увидеть адрес его сервера, а получаете адрес, принадлежащий Cloudflare, Fastly или Akamai. Ничего не сломалось. Вы видите именно то, что публикует домен, а настоящего адреса сервера в DNS никогда и не было.

Что на самом деле делает CDN

Сеть доставки контента (CDN) — это парк серверов, распределённых по миру. Вместо того чтобы каждый посетитель подключался к вашему единственному исходному серверу, он подключается к ближайшему узлу CDN, который отдаёт кешированный контент напрямую, а недостающее запрашивает у исходного сервера.

Довод в пользу производительности прост: посетитель из Сингапура, подключающийся к серверу в Вирджинии, платит примерно 200 мс задержки на круговой путь при каждом запросе. Сингапурский пограничный узел сокращает это до нескольких миллисекунд для кешированного контента.

Чтобы это работало, домен должен разрешаться в CDN, а не в исходный сервер. Это не побочный эффект, а весь механизм. Если бы DNS возвращал адрес вашего исходного сервера, посетители подключались бы к нему напрямую, и CDN вообще не участвовал бы.

Как распознать адрес CDN

• Обратный DNS называет провайдера. Адрес разрешается во что-то вроде *.cloudflare.com, *.fastly.net или *.cloudfront.net. См. обратный DNS.
• Один и тот же адрес обслуживает множество не связанных сайтов. Пограничные узлы по замыслу являются общей инфраструктурой.
• Из разных мест приходят разные ответы. Геомаршрутизация направляет вас на ближайший узел, поэтому адрес зависит от того, откуда вы запрашиваете.
• CNAME указывает на имя хоста провайдера. Запись вроде www.example.com CNAME example.com.cdn.cloudflare.net не оставляет сомнений.

dig +short example.com
dig +short -x 104.21.32.47

Вторая команда — это обратный запрос. Если она возвращает имя хоста провайдера, ответ у вас в руках.

Почему исходный сервер скрывают намеренно

Скрытие не является побочным продуктом. Это свойство безопасности, за которое платят.

Что это значит для результата проверки

Это меняет то, как нужно читать ответ, но не то, верен ли он.

Практические следствия:

• Геолокация бессмысленна. Город пограничного узла показывает, куда направлены вы, а не где находится бизнес или его данные.
• Обратный поиск по IP даёт шум. Тысячи не связанных доменов законно делят один адрес пограничной точки.
• Адрес нестабилен. CDN постоянно переназначают адреса пограничных точек. Не прописывайте его жёстко и не стройте вокруг него правила межсетевого экрана.
• Блокировка адреса блокирует всех. Блокировка общего адреса пограничной точки затрагивает каждый сайт за этим узлом.

Замечание о попытках всё же найти исходный сервер

Существуют статьи с описанием методов раскрытия исходных серверов: архивы исторических данных DNS, журналы прозрачности сертификатов, поддомены, которые так и не перенесли за CDN, заголовки писем, отправленных исходным сервером.

Все они работают за счёт ошибки, допущенной самой целью, а не за счёт взлома CDN. А причина, по которой кто-то скрыл исходный сервер, обычно в том, что его атакуют. Зондирование чужой инфраструктуры ради обхода защиты, которую владелец намеренно развернул, не является нейтральным действием, а во многих юрисдикциях и не является законным.

Инструмент проверки показывает полный набор публичных записей любого домена, включая цепочку CNAME, а это обычно самый быстрый способ вообще выяснить, стоит ли сайт за CDN.