CDN节点IP和源站IP有什么区别？

用 dig 查一个接入CDN的域名，屏幕上很快会出现一个或几个IP。很多人的第一反应是：这就是网站服务器的真实IP吗？

多数时候，不是。

如果域名已经通过CDN代理，用户连接的通常是CDN节点IP；网站内容真正存放或生成的位置，才是源站。两者处在同一条访问链路上，却承担完全不同的工作。

还有一个很容易混进来的概念：测速平台的探测节点IP。它既不是CDN节点，也不是源站，而是发起测试请求的机器地址。

先把结论说清楚：

CDN节点IP是访客在公网侧连接到的边缘入口；源站IP或源站地址是CDN回源时连接的后端；探测节点IP是测速请求的出发地址。对于已经接入反向代理型CDN的网站，公网DNS查询和普通网站测速通常只能看到面向用户的CDN边缘入口，不能据此认定网站的真实源站IP。

一次访问，实际上经过了哪些位置？

最常见的请求路径可以简化为：

访客或测速探针 → CDN边缘节点 → 源站服务

用户先通过DNS获得一个可以访问的地址，然后连接CDN边缘节点。边缘节点拿到请求后，会先检查本地或上层缓存：

• 缓存命中，内容可直接从CDN返回，这一次请求可能完全不访问源站；

• 缓存未命中，或者请求属于动态内容，CDN再向配置好的源站取回内容；

• 内容返回后，CDN可能将其缓存，再响应给用户。

AWS在CloudFront内容交付流程中也给出了同样的基本路径：DNS将请求引向合适的边缘位置，命中缓存时直接响应，未命中时才向源站取回对象。

这也是理解两种IP最关键的一点：用户面对的是CDN，CDN背后才是源站。

CDN节点IP、源站IP和探测节点IP，分别是什么？

1. CDN节点IP：用户连接的边缘入口

CDN节点IP通常属于CDN厂商或其合作网络。它离用户更近，负责终止连接、执行缓存与安全规则，并在需要时发起回源请求。

一个CDN IP不一定对应一台物理服务器，也不一定只服务一个网站。共享IP和Anycast都很常见：同一个IP可以服务多个域名，也可能从多个机房同时宣告，由网络把用户带到更合适的入口。

以Cloudflare为例，其官方代理状态说明明确写到：启用代理的记录会向查询者返回Cloudflare的Anycast地址，而不是记录中配置的源站地址。

因此，“查到了一个Cloudflare IP”和“找到了网站源站”是两回事。

2. 源站IP：CDN回源连接的后端

源站是网站内容的权威来源，但“源站”不一定等于“某一台服务器的固定公网IP”。

它可能是：

• 一台Nginx或Apache服务器；

• 一组位于负载均衡器后的应用服务器；

• 对象存储桶；

• API网关或容器入口；

• 另一个域名表示的后端服务；

• 只允许CDN通过私网连接的服务。

所以更准确的说法是源站地址或源站端点。

在现代云架构中，你可能只在CDN控制台看到一个源站域名，而它背后的IP会动态变化。AWS对CloudFront源站的定义也包括S3存储桶和HTTP服务器，并不局限于单一IP。

3. 探测节点IP：测试请求从哪里发出

如果你使用多地区测速服务，页面上往往还会显示“探测地区”“运营商”或“监测点”。这些节点的职责是模拟不同地区的用户发起请求。

以CdnChart为例，探测节点发起访问后，结果里的响应IP表示这次测试实际连接到的目标地址；它通常是CDN边缘IP。探测节点自身的出口IP则是请求来源，不能把两者对调。

为什么查域名通常只能看到CDN节点IP？

接入反向代理型CDN后，公开DNS需要把用户引向CDN网络，否则缓存、防护和流量调度都无法生效。

因此你运行：

dig www.example.com A +noall +answer
dig www.example.com AAAA +noall +answer
dig www.example.com CNAME +noall +answer

看到的往往是CDN的A/AAAA地址，或者一条指向CDN调度域名的CNAME链。

这几条记录能够帮助你判断流量入口是否指向CDN，但不能证明源站在哪里。即使继续查询IP归属和ASN，也只能说明这个公网入口由谁运营。

如果不想手动拼接证据，可以在CdnChart CDN检测中输入域名，结合CNAME、响应头、IP/ASN等公开信号判断网站是否经过CDN。

需要注意：识别结果是一种证据判断，不是“源站IP查询”。具体判断逻辑可以参考如何识别网站使用的CDN。

CDN响应IP等于源站IP吗？

通常不等于。

浏览器、curl或测速平台显示的“远程地址”“连接IP”“响应IP”，表示客户端这一跳建立连接的对端。网站在CDN后面时，这个对端一般就是CDN边缘节点。

响应头也不能单独证明源站IP。Server、缓存状态、请求ID等字段可以提供线索，但响应头可能被CDN添加、删除或改写。

判断是否使用CDN，应把DNS链、IP归属、响应头和多地区结果放在一起看。

想观察同一域名从不同地区连接到了哪些公开入口，可以使用CdnChart网站测速。如果不同地区返回不同响应IP，这通常反映CDN的区域调度，并不意味着网站有多个“泄露的源站”。

站长如何核对自己的源站？

下面的方法只适用于你拥有或明确获授权的站点。核对源站应从自己的配置出发，而不是扫描他人的基础设施。

第一步：先查CDN控制台和部署配置

最可靠的来源不是公共查询工具，而是你自己的：

• CDN加速域名配置；

• 云负载均衡、对象存储或主机控制台；

• DNS托管记录；

• Terraform、Ansible或其他部署配置；

• 团队维护的架构文档。

先确认源站类型、源站域名或地址、回源端口、回源Host以及HTTPS/SNI设置。后面所有测试都应该以这份配置为准。

第二步：查看用户侧连接到哪里

dig www.example.com A +noall +answer
dig www.example.com AAAA +noall +answer

curl -sS -D - -o /dev/null https://www.example.com/

dig用于查看当前DNS答案；curl用于查看公开访问返回的状态码和响应头。

这一步测到的是正常用户路径，不是源站直连路径。

第三步：仅对自有源站做定向验证

如果你已经从控制台确认自己的源站IP，可以让curl临时把域名连接到该IP，同时保留URL中的主机名：

curl -sS -D - -o /dev/null \
  --resolve www.example.com:443:203.0.113.10 \
  https://www.example.com/

其中203.0.113.10是文档示例地址，不能直接用于真实测试，请替换为你自己的源站IP。

--resolve只为这次请求指定“主机名＋端口”对应的地址，比直接访问 https://IP/ 更合适，因为HTTPS证书校验和虚拟主机仍然使用原域名。具体语义可查看curl官方手册。

测试时重点比较：

• HTTP状态码是否一致；

• 证书、SNI和回源Host是否匹配；

• 页面或接口内容是否一致；

• CDN侧请求失败时，源站直连是否正常；

• 源站日志中是否出现了这次测试请求。

不要为了“测试方便”长期开放源站公网访问。验证结束后，应恢复原有访问控制。

源站直连失败，不一定是故障

如果源站只允许CDN出口访问、要求双向TLS、使用私有网络，或者对象存储只授权给CDN，外部直连返回403、超时或握手失败反而可能是预期结果。

这时不要简单得出“源站挂了”的结论。应在CDN日志、源站日志和防火墙日志中核对同一个请求的时间、Host和请求ID。

为什么源站日志里全是CDN的IP？

因为从网络连接看，真正连接源站的是CDN回源节点。源站默认记录的对端地址，自然可能是CDN出口IP，而不是最终访客IP。

多数CDN会通过受信任的HTTP头传递原始访客地址。例如Cloudflare使用 CF-Connecting-IP，并提供了恢复访客真实IP的官方配置说明。其他厂商的字段和配置方式可能不同，应以各自文档为准。

这里有一个容易被忽略的安全前提：只有请求确实来自受信任的CDN代理时，才能信任这些头。

如果源站允许任何人直连，客户端可以自行伪造普通转发头，日志和限流规则就可能被误导。正确做法通常是：

1. 在防火墙或源站访问策略中只允许CDN官方回源地址或受控连接；

2. 在Web服务器中配置受信任代理范围；

3. 再从厂商指定的请求头恢复访客IP；

4. 持续同步厂商公布的地址范围，不要只写死某一个边缘IP。

常见现象应该怎么判断？

CDN节点IP可以直接加入白名单吗？

不要随手从一次DNS查询中取出一个边缘IP，然后永久加入白名单。

原因很简单：用户访问的边缘地址和CDN连接源站使用的出口地址不一定是同一组；调度地址也可能变化。

应使用CDN厂商为“回源访问”正式公布的地址段、专用回源机制或私网连接能力。

Cloudflare的IP地址说明也强调，其代理地址由多个域名共享，源站接收到的是Cloudflare地址，并建议按官方地址范围配置允许规则，同时阻止未授权的直连流量。

常见问题

CDN检测工具能查到真实源站IP吗？

正规的CDN检测主要回答“是否经过CDN、可能是哪一家、证据是什么”。

如果代理和源站保护配置正确，公开查询通常只能看到CDN入口，不能可靠得到隐藏的源站地址。任何仅凭一个响应IP就声称找到真实源站的结果，都需要谨慎核验。

CDN节点IP是独享的吗？

不一定。

共享IP很常见，同一地址可承载多个域名；部分厂商或产品也会提供专用、静态或自带IP能力。是否独享要看具体产品配置，不能只靠反向解析判断。

一个网站可以有多个源站吗？

可以。

站点可以按路径、地区或业务类型配置多个源站，也可以设置主备源站。源站前面还可能有负载均衡，因此“一个域名对应一个固定源站IP”并不是通用规律。

为什么直连源站和通过CDN看到的页面不一样？

常见原因包括CDN缓存尚未刷新、回源Host不同、源站虚拟主机配置错误、边缘规则改写内容，或两条路径命中了不同发布版本。

先比较状态码、响应头和内容版本，再检查缓存及回源配置。

最后记住这三个判断

理解CDN节点IP和源站IP，不需要背很多名词，只要记住：

1. DNS或测速结果里的响应IP，通常表示当前连接入口，不等于真实源站。

2. 源站不一定是一台服务器，也不一定有固定公网IP。

3. 确认自己的源站，要以控制台和部署配置为准，再用日志与授权测试验证。

如果你想先判断一个域名是否经过CDN，可以使用CdnChart CDN检测查看CNAME、响应头和IP网络信号；如果想比较不同地区实际连接到的节点以及访问耗时，可以继续使用CdnChart网站测速。

平台的检测口径和能力边界可在CdnChart方法论页面查看。