Error 521 (Web server is down) und 522 (Connection timed out) hinter einem CDN

So sieht die Meldung aus

Error 522
Connection timed out
The initial connection between Cloudflare's network and the origin web server timed out.

Error 521
Web server is down
The origin web server refused the connection.

Häufige Ursachen

• Eine Firewall, fail2ban oder ein Rate-Limit am Origin blockiert die IP-Adressen des CDN (sehr häufig bei 522).
• Der Webserver am Origin ist gestoppt, abgestürzt oder lauscht auf einem anderen Port (521).
• Der DNS-Eintrag zeigt auf eine alte oder falsche Origin-IP, zum Beispiel nach einer Migration.
• Der Origin ist überlastet und nimmt neue Verbindungen nicht rechtzeitig an.
• Das CDN verbindet sich auf einem Port oder Protokoll, das der Origin nicht anbietet (HTTPS zu einem Server, der nur auf 80 lauscht).

Prüfen

1. Läuft der Webserver und lauscht er?
   systemctl is-active nginx; ss -tlnp | grep -E ':(80|443)\b'Kopieren
2. Antwortet der Origin direkt? (die echte Origin-IP nutzen)
   curl -sI --resolve example.com:443:203.0.113.10 https://example.com/ | head -n 5Kopieren
3. Kommen Anfragen vom CDN überhaupt am Origin an?
   sudo tail -n 20 /var/log/nginx/access.logKopieren
4. Ist der Adressbereich des CDN durch eine Sperre blockiert?
   sudo fail2ban-client statusKopieren

Lösung

• Den Origin-Webserver starten oder reparieren und sicherstellen, dass er auf den vom CDN genutzten Ports lauscht.
• Die veröffentlichten IP-Bereiche des CDN in der Origin-Firewall erlauben und von fail2ban und Rate-Limits ausnehmen.
• Die echte Besucher-IP wiederherstellen, damit Sperren Besucher treffen und nicht das CDN: set_real_ip_from für die CDN-Bereiche und real_ip_header CF-Connecting-IP; (Cloudflare).
• Die Origin-IP im DNS-Eintrag des CDN korrigieren und den SSL-Modus des CDN auf das abstimmen, was der Origin ausliefert.
• Ist der Origin überlastet, zuerst PHP-FPM und Datenbanklast prüfen, bevor du dem CDN die Schuld gibst.

Häufige Fragen

Was ist der Unterschied zwischen 521 und 522?

521: Der Origin hat die Verbindung aktiv verweigert, es lauscht also nichts oder eine Firewall weist ab. 522: keine Antwort rechtzeitig, das passt zu einer Firewall, die Pakete verwirft, oder zu einem überlasteten Server.

Wie unterscheidet sich das von 502 und 504?

502 und 504 kommen von deinem eigenen Server oder Proxy, der sein Backend erreicht. 521 und 522 heißen, dass das CDN deinen Server nicht einmal erreicht.