【杂谈】从网络看CloudFlare自选IP（附憨憨扫描方法）

CloudFlare自选IP在站长圈子里传的应该还是比较广泛的，虽然CF使用了Anycast技术，但是在路由的配置上，不同的IP段路由存在着些许的不同，有时候我们可以自己选择对当前网络相对优秀一些的IP来提升CDN的速度。

写这篇文章，主要还是从宏观的线路上谈起，不可否认部分地区由于穿透等原因使得到某些节点效果很好，但那是偶然现象，这里还是从运营商层面来谈合适与否。

其实作为一个大流量的CDN提供商，流量是它支出的大头，不难看出它接驳的运营商主要是大型IX和Tier1运营商，因为它们的带宽相对便宜。举个简单的例子，CF到HKIX的200Gbps容量在年初可能是因为疫情原因趋于饱和了，官方将分配给Free/Pro的IP段香港访问路由切到了新加坡日本等地，只有Enterprise的段依然是HKIX。原因其实很简单，HKIX即使是香港最便宜的商用带宽，价格相比于日本、新加坡也是高出很大一截，如果要在本地满足香港本地所有的互联，支出是比较大的。想一想大陆骨干网接入的的带宽价格，你能理解CF没有进一步对大陆优化的原因了吧。

当然这里插一句，国内的带宽价格也是符合当前国情的，以商用宽带补贴家用宽带。世界上能够支撑低价、高速的网络的一般都是面积较小的地区（如香港、新加坡等），它们在内部骨干网建设上不需要投入太多的资金，即使小型运营商也能完成城市的网络覆盖。像美国等国土面积较大的国家，一般是家宽反补商宽的策略，与你能够买到的低价VPS不同，民用宽带的平均月费在$100以上，并且美东很多地方还停留在Cable（同轴电缆）入户的阶段。

所以请放弃对于CF为啥不接PCCW、SoftBank之类的幻想，它们太贵了。那么既然CF选择了较为廉价的带宽，很不幸，廉价的带宽卖给其他的机房也很便宜，所以CF到中国大陆的互联肯定谈不上非常优秀，在使用它建站之前就需要摆平这样的心态。

CF的路由经常进行调整，文中的配图仅供参考，后续应该不会更新。

一、电信

中国电信作为区域顶级运营商，除欧美外接入服务均不是免费的。就像NTT到电信为啥那么堵，因为NTT只买了45Gbps到电信的容量啊，想要扩容需要NTT再向电信购买。电信能够走到CF的路由很少，因为作为接近顶级的运营商，它只向Level3购买了Tansit，所以不会有其他的能够到CF的路径了。

IP Tansit：互联网运营商骨干网之间的互联主要有两种，一种是对等或不对等的网间互联Peer，这种是存在双方利益的、用于双方互通的链路；另一种是Transit，由弱势方向强势方购买，让强势方通过自身网络为弱势方提供到第三方网络的链路。

运营商评级：国际上对于运营商的评级是根据覆盖来的，具体而言就是看是否购买了Transit。顶级运营商Tier1自身连通性很好，不需要Transit来打通到其他运营商的链路。区域顶级运营商就是Tier2，如电信联通等就是能够以少量的Transit完成互联。至于Tier3，就像移动AS9808这种，完全依赖Transit完成全球互联。当然运营商评级并不反映运营商的网络质量和规模，如印度的TATA和美国Cogent等，网络稳定性和传输容量并不是顶级的。而很多Tier2比如电信，国内随便一个省级汇聚的容量都可以达到数T级别，相比之下北美一个州的所有流量汇聚才几百G级别。

北美163（圣何塞/洛杉矶）

CF在洛杉矶和圣何塞接入了300G的带宽到电信的POP，首先这点容量不太多（CERA洛杉矶机房都接入了1.2T），其次是北美的POP到国内汇聚这一段容量也不够，高峰期使用不会太顺畅。总体而言洛杉矶表现好于圣何塞（但是这个经常调整），同时根据电信汇聚负载的情况，各负责层质量广州＞上海＞北京。

欧洲Level3（德国/荷兰/英国）

前面也说了电信购买了Level3的Transit，理论上到北美也能这么走，但是可能是路由链长吧并没有这么走的。不推荐电信使用欧洲的节点，一是电信到欧洲POP的容量显然小很多，其次欧洲低价带宽更多，拥堵状况肯定比北美要严重一些。但是如果你源站在欧洲，有兴趣可以自己试一试吧。

电信CN2

以下内容由@sparktour补充，在此表示感谢(￣▽￣)”。CN2毕竟属于精品网，上级Transit很多而且冗余比较多，选一个离得比较近的节点就可以了。

节点地址	路由
香港	CN2 => 香港NTT => CF
新加坡	CN2 => 香港NTT => 新加坡NTT => CF
东京/大阪	CN2 => 香港NTT => 日本NTT => CF
巴黎	CN2 => 伦敦Level3 => 巴黎Level3 => CF
阿姆斯特丹	CN2 => 伦敦Level3 => 阿姆斯特丹Level3 => CF
法兰克福	CN2 => 伦敦Telia => 巴黎Telia => 法兰克福Telia => CF
圣何塞	CN2 => 圣何塞Telia => CF

二、联通

联通其实跟电信也差不多，都是Tier2运营商。好在自身汇聚的负载比较小，再就是没电信那么强势，选择稍微多一些。

圣何塞gtt

联通走gtt到CF慢，说实在还真不是联通的问题，到圣何塞gtt走的是上海-圣何塞的链路，主要是圣何塞gtt接入CF的容量不够，只是晚高峰有丢包现象。

洛杉矶gtt

到洛杉矶和圣何塞是根据国内不同省份随机的，路由是广州-洛杉矶链路，表现会比圣何塞gtt好一些，较为推荐。

圣何塞Cogent

Cogent圣何塞的问题比较大，不光到联通堵，到CF也堵，强烈不推荐。另外与国内三大运营商的互联中，建议绕开一切走Cogent的，质量相当感人。

其他北美gtt

目前扫到的有西雅图、芝加哥、纽约等，但是这些由于距离较远，虽然丢包低于圣何塞但是延迟普遍上到了260+ms，不推荐。

欧洲gtt

欧洲gtt是目前联通访问最稳定的方向，推荐使用，得益于联通目前到欧洲的负载比较低。扫到的有德国、布鲁塞尔、法国等，质量差距不大，但是广州联通到欧洲延迟异常的高，推测可能是回程绕美。

芝加哥Verizon

这个段比较特殊，Verizon的网一向是给联通AS9929使用的，给AS4837使用的情况比较少；印象中联通走Verizon的速度是很稳定的，CF这个没有实际测试速度，但是延迟不是很理想。

日本NTT

曾经联通有走广州直连NTT的段，后来CF拔掉了，剩下去程绕北美Sprint的段，再后来就彻底拔掉了。现在只有IPv6能够通过NTT到日本，但是联通IPv6到NTT有一点点拥堵的情况，还算可以，但是不大推荐用。

三、移动

移动作为一个Tier3运营商，骨干网比较便宜，而且为了连通性支持通过CMI购买了很多的Transit，再加上亚太地区有开放的Public Peer，能够在亚太地区直连CF。移动广州CMNET-香港CMI段有大概900G的容量，到CF卡顿主要是这一段负载比较高，所以访问质量并不一定能比得上联通，而且以下列出的亚太链路基本都受这一段拥塞的影响。

另外就是移动的路由有明显受到地区影响，主要分为北方移动（北京负责层，包括东三省以及华北等）和南方移动（广州负责层，包括华中华南等），这两个大片区收到的路由策略略有差异，后文就不再区分这个概念。

香港CMI直连

CMI直接跟CF有互联，一方面也是给CMHK的用户用的吧，香港这几个互联质量好坏说不清楚。

洛杉矶CMI直连

2020年9月CMI（China Mobile International）与CloudFlare在洛杉矶建立了新的对等互联。副作用就是其路由链长度比HKIX更短，也就导致了HKIX的IX路由无法接收。整体而言移动到北美POP的带宽是很有限的，不推荐使用。

德国CMI直连

2020年10月CMI（China Mobile International）与CloudFlare在德国建立了新的对等互联。互联初期丢包较少，但是速度并不是特别理想。移动到欧洲的POP容量理论上是小于北美的，后续稳定性大概率无法保证。

香港HKIX

移动CMI在香港跟HKIX有200G的互联，而且是Public Peer，大多数访问都走HKIX。质量差不多，建议自测，不过有部分IP段北方移动跑Cogent去了，记得特别关注一下。由于2020年9月CloudFlare与CMI在洛杉矶建立了对等互联，导致了HKIX的路由链长于北美，此路径目前理论上已经无法走到了。

香港NTT

移动在香港也接入了容量比较大的NTT，但是CF香港主要的回源线路就是NTT，跟上面俩也差不多，好坏需要自己去测一测。

新加坡NTT

新加坡NTT有时候有抽风的情况，延迟大幅升高，可能是回程绕美了，这个就不太推荐了。

日本NTT

日本NTT北方移动是走不到的，南方移动也是从香港走。一般不推荐香港以外的地方，毕竟都要过香港CMI，在本地一般比再出来走一段快一些；当然有些地方表现能好点，自己测吧。

日本Telstra（澳电）

澳电这个跟移动的带宽容量不大，北方移动走北京直接去东京的澳电，南方移动走香港CMI去澳电，质量也差不多。也有很大一部分南方走澳电，北方跑去Cogent的。

新加坡EQUINIX

这个是CF近期才接上的，南方移动部分IP段回程可能绕美，也有些不绕，质量也差不多。

北美Cogent

北方移动容易走到Cogent去，因为缺了香港CMI到Telstra的路由，质量很差，慎选。南方移动基本没有这么走的。

欧洲DECIX

移动的IPv6可以走香港-德国DEC-IX，CMI到DECIX是有100G的容量，也丢包，质量一般般，不推荐。前段时间本来v6能走HKIX直连的，但是不知道移动怎么想的似乎把来自HKIX的IPv6路由全部断掉了，以后能用了再说吧。

四、其他

其他里面主要是科技网和教育网，这两个科研网络现在都还是不是特别拥塞。科技网只有香港接驳的HKIX、Cogent和PCCW三个Transit，所以能够走到的路由也是很少的。

教育网=>>美国TATA

教育网=>>香港Telstra

科技网=>>香港HKIX

科技网=>>圣何塞/西雅图Cogent

科技网=>>加拿大Cogent

科技网=>>欧洲Cogent

五、扫描

在访问CF的节点时，节点后加上/cdn-cgi/trace能够获取到，其中h为节点IP；colo即为节点所在位置，采用的机场三字码表示，查询机场三字码：点击前往。

网页测试（推荐）

@TulvL之前写了一个网页测试colo和速度的工具，使用简便而且效率很高，博主进行了简单的修改使其支持更丰富的CF IP以及IPv6，测速功能和HTTPS以目前的形式无法实现所以不能使用。

便捷模式：http://cftest.120712.xyz
完整IPv4：http://cftest.120712.xyz/ipv4-all
完整IPv6：http://cftest.120712.xyz/ipv6
CF BYOIP：http://cftest.120712.xyz/byoip

脚本批处理

我这里采用的是比较笨的办法，由@犯罪高手想出来的，在此表示感谢。通过批处理将IP和Colo记录下来，后来我顺着他的思路修改了一下，让Linux上也能跑这个脚本。至于内容，你可以自行根据IP段用Excel生成。

我们需要扫描的段到/24就可以了（也就是IP四段中最后一段可以忽略），因为这是IP的最小广播单位，对于CF而言同一个C段的IP路由不会有太大的出入。

#Windows批处理
curl http://104.16.0.86/cdn-cgi/trace --connect-timeout 2 -m 2 | findstr "h= colo=" >> log.txt
#Linux Bash
curl --connect-timeout 1 -m 2 http://104.16.0.86/cdn-cgi/trace  | grep "h=\|colo=" >> colo.log

#Windows批处理

curl http://104.16.0.86/cdn-cgi/trace --connect-timeout 2 -m 2 | findstr "h= colo=" >> log.txt

#Linux Bash

curl --connect-timeout 1 -m 2 http://104.16.0.86/cdn-cgi/trace | grep "h=\|colo=" >> colo.log

CF的IP段官方有提供（点击前往），这里也提供一份别人总结的（点击下载），比较全面（如果作者看到希望联系一下加上您的信息，非常感谢）

在这里提供一份现成的脚本，curl超时的时间时2秒（2秒打不开一个单页这IP也没啥价值了）；里面IP段的顺序有些有点乱，不过不影响正常扫描，如果有需要自己去整理生成；当然能自己撸一个自动化的程序当然是最好的。

Windows .bat：点击下载
Linux .sh：点击下载

最后扫出来的结果差不多如图，有了地区，跑路由可以用Besttrace，对照我上面写的网络情况你可以简单做一个取舍。至于你想自己测试延时和丢包率也是可以的，毕竟各地网络条件不一样，你可以自己测试最适合你的，这些方面就不再赘述了。

@Silmace大佬提供了一个批量测试IP延迟和丢包率的脚本（点击前往），在此表示感谢(o゜▽゜)o☆

Python脚本

这个测试脚本是大哥@CZM写的，在此表示感谢；使用Python3.6即可运行，IP段请参考上表。

#http://104.16.0.86/cdn-cgi/traces

urls = ["http://104.16."+str(i)+".86/cdn-cgi/traces" for i in range(0,10)]
import aiohttp
import asyncio
import requests

async def get_request(url):
    async with aiohttp.ClientSession() as cs:
        async with await cs.get(url) as response:
            return await response.text()

def parse(task):
    print(task.result().split("\n")[6])

tasks = []
for url in urls:
    c = get_request(url)
    task = asyncio.ensure_future(c)
    task.add_done_callback(parse)
    tasks.append(task)

loop = asyncio.get_event_loop()
loop.run_until_complete(asyncio.wait(tasks))

#http://104.16.0.86/cdn-cgi/traces

urls = ["http://104.16."+str(i)+".86/cdn-cgi/traces" for i in range(0,10)]

import aiohttp

import asyncio

import requests

async def get_request(url):

async with aiohttp.ClientSession() as cs:

async with await cs.get(url) as response:

return await response.text()

def parse(task):

print(task.result().split("\n")[6])

tasks = []

for url in urls:

c = get_request(url)

task = asyncio.ensure_future(c)

task.add_done_callback(parse)

tasks.append(task)

loop = asyncio.get_event_loop()

loop.run_until_complete(asyncio.wait(tasks))

留言中@Yunen大佬提供了一个扫描header中colo信息的脚本，这个相比于curl效率更高，感谢大佬们的补充(￣▽￣)”

import requests, threading, queue

IPQueue = queue.Queue()
_WORKER_THREAD_NUM = 3

class Workers(threading.Thread):

    def run(self):
        while not IPQueue.empty():
            ip = IPQueue.get()
            try:
                rsp = requests.head('http://' + ip, timeout=2).headers
                print(ip, rsp['CF-RAY'])
            except:
                pass


def main():
    global IPQueue
    with open('cloudflare_ip.txt', 'r') as f:
        for ip in f.read().splitlines():
            IPQueue.put(ip)

    threads = []
    for i in range(_WORKER_THREAD_NUM) :
        thread = Workers()
        thread.start()
        threads.append(thread)
    for thread in threads :
        thread.join()

if __name__ == '__main__':
    main()

import requests, threading, queue

IPQueue = queue.Queue()

_WORKER_THREAD_NUM = 3

class Workers(threading.Thread):

def run(self):

while not IPQueue.empty():

ip = IPQueue.get()

try:

rsp = requests.head('http://' + ip, timeout=2).headers

print(ip, rsp['CF-RAY'])

except:

pass

def main():

global IPQueue

with open('cloudflare_ip.txt', 'r') as f:

for ip in f.read().splitlines():

IPQueue.put(ip)

threads = []

for i in range(_WORKER_THREAD_NUM) :

thread = Workers()

thread.start()

threads.append(thread)

for thread in threads :

thread.join()

if __name__ == '__main__':

main()

六、结语

本来说每种路由配张MTR图的，奈何十点过学校寝室好像断电了(╬▔皿▔)凸，等来电了再补上吧，翻聊天记录只找到了一小部分。

都说授人以鱼不如授人以渔，刚开始打算发几个IP段出来，后来想想算了。一是各地网络条件不同，路由也有细微的差异；再就是如果你一直直接伸手，那也没什么意思了。拿CF做代理的其实一方面是滥用，另一方面速度也一般吧，自己能接受当然CF也不在意。

想对于国内访问优化，如果你有那个闲心，华为云DNS提供免费的地域分线路解析，IPIP.NET提供了很多全国各地的节点，自己慢慢去测吧，提升还是会有的。

另外网站静态资源可以国内化，只从CF加载一个页面；比如同步到JSdelivr，有耐心的朋友可以自己去研究研究，这个就不写了。

最后还是祝各位建站愉快，文章中要有什么不准确的地方，请多多指教ヾ(≧▽≦*)o

*原创文章，转载请注明出处

Qxx @TA
2023-05-06 下午12:57

博主用的 Windows MTR 工具可以分享一下吗
1. Luminous @TA 
  2023-05-06 下午1:02
  
  @Qxx 就是IPIP.NET的工具，在besttrace里选mtr就可以打开
Kong @TA
2023-04-29 上午9:57

教育网去程v4现在几乎都是走HKIX直连HKG，少数走香港CMI–>新加坡Telstra–>SIN或者美国CMI–>LAX，v6走hkix直连HKG或者绕SGIX连SIN，还有走香港he–>新加坡telia–>欧洲和走美国he–>檀香山的。
YunXuyun @TA
2023-02-05 上午12:55

最近移动是怎么了？我这边是广东移动，这两天无论是ipv4还是ipv6，到CF香港节点的延迟都200+
1. Luminous @TA 
  2023-02-05 上午7:37
  
  @YunXuyun IPv4把CMI香港的互联撤掉了，全部路由到美西/欧洲去了，不清楚是遭到攻击还是什么问题，目前只有部分地区比如104.18.124.x和162.159.136.x还能走HKIX直连。IPv6单纯是因为CMI拔掉了CF在HKIX的PNI，回程走不到HKIX绕美国Telia去了。
  1. YunXuyun @TA
    2023-02-05 下午1:35
    
    @Luminous 我指的就是走HKIX直连香港的那部分。广东移动ipv4走hkix到CF香港节点的延迟也是近200，是因为回程绕路了吗？我之前主要是用ipv6的，CMI拔掉了CF在HKIX的PNI意味着什么呢？
    1. Luminous @TA 
      2023-02-05 下午1:51
      
      @YunXuyun 拔掉了就意味着回程走不到HKIX了
toorich @TA
2023-01-11 上午12:45

联通好像开始接HKG了？北方沿海直辖市联通少部分v4接的是HKG（如162.159.130.0/24、104.26.4.0/24等），但是v6基本清一色LAX
1. Luminous @TA 
  2023-01-11 上午9:02
  
  @toorich 没接，从CUHK-HKIX漏出去的路由，回程走不到这个路径是绕日本NTT的，联通NOC背大锅。
  1. toorich @TA
    2023-01-11 下午10:53
    
    @Luminous 怪，我这之前去程也走NTT，现在好像也去CUHK了……但是即便回程绕日本NTT也总比SJC和LAX好太多，所以既然这样不知道联通为啥不通过NTT直接去NRT呢
    1. Luminous @TA 
      2023-01-11 下午11:15
      
      @toorich 你看到的NTT是通过AS10099直连到香港的，这部分路由也是漏出去的，原本是给CUHK使用的。而AS4837与NTT的互联在大阪和东京，CF不选择很大一部分原因是因为走NTT的话成本偏高，而且NTT与联通的互联也并不能承受CF的流量级。说到底就是CF很在意成本和合理性，速度不是第一位考虑的。
      1. toorich @TA
        2023-01-11 下午11:40
        
        @Luminous 其实走美国相对稳定也行，但是去年一年v4至少发生过2次大范围丢包（丢包率70%+那种，v6偶尔也丢，v4每次少说持续2周以上甚至1个月以上），不知是联通的锅还是*的锅抑或是QoS的锅……
        
        Luminous @TA 
        2023-01-12 上午8:11
        
        @toorich 联通不廉价送带宽给CF，移动电信各自都送了几百G。CF那个体量，最初用GTT就把GTT和联通互联整炸，用ATT就炸ATT，用Cogent也炸，现在流浪到Verizon也挺炸的。联通送给T1的Free Peer也不是CF想走就走，到哪就把人家网络整堵，之前用欧洲Orange不就又被整走了。CF自己就只廉价嫖带宽，也没什么办法，跟其他的没关系。
aapanel @TA
2023-01-10 上午10:25

我真服了，移动ipv6延迟全都200+，但ipv4最低延迟16ms
1. Luminous @TA 
  2023-01-10 上午11:09
  
  @aapanel 移动把IPv6回程HKIX的PNI拔了，现在回程都绕美Telia去了
Fly @TA
2022-11-07 上午11:55

看看
YunXuyun @TA
2022-02-20 下午7:18

现在移动是不是没有直连香港的CF节点了？
m11010 @TA
2021-09-22 下午3:55

联通现在走欧洲的线路应该是很少很少了，即使有也大概率会绕道美国（162.159.160.62）走美国gtt到欧洲gtt。Verizon线路目前联通169网可在洛杉矶接入，质量略低于洛杉矶gtt。Cogent到联通速度没法看，理论来讲cf到联通没救了。
Emily @TA
2021-08-11 下午10:34

联通走Verizon网络的已经没有了，改成美国圣何塞Cogent了
Aaronlam @TA
2021-07-26 下午2:09

简直不要太详细了吧！感谢！