¿Puede una configuración incorrecta del cortafuegos provocar un error 521 de Cloudflare?

Cuando un sitio web tiene Cloudflare habilitado como proxy inverso, el acceso al sitio se encuentra ocasionalmente con el error Error 521: El servidor web no funciona. Este tipo de error indica Cloudflare Es posible conectar con el cliente, pero no se puede establecer con éxito una conexión con el origen (su servidor).

Además de los problemas comunes de los servicios web que no se inician, mala configuración, etc., muchas personas pasan por alto otra posible causa raíz:El host localcortafuegosestablecerEste artículo se centrará en este tema. Este artículo se centrará en este tema, analizando el impacto de los cortafuegos (por ejemplo, UFW, iptables) en los enlaces de acceso de Cloudflare y dando consejos sólidos para la solución de problemas.

¿Qué es el error 521?

Error 521 es un código de error específico dado por Cloudflare para indicar que sus intentos de conectar con la estación de origen fueron rechazados. Ejemplo:

• Cloudflare ha resuelto correctamente el nombre de dominio
• Las solicitudes de los clientes llegan a los nodos de borde de Cloudflare con normalidad
• La conexión inversa de Cloudflare a la IP de origen falla o es denegada.

Esto suele indicar que la estación de origen servicio webInalcanzable, no es un problema de DNS o una página inexistente.

¿Afecta un cortafuegos a Cloudflare?

La respuesta es sí; las peticiones de Cloudflare provienen de sus nodos globales (no de IPs del lado del navegador), y si el cortafuegos no las deja pasar, simplemente rechaza la conexión, provocando un error 521.

Las dos situaciones siguientes son muy frecuentes:

Escenario 1: UFW bloquea la IP de Cloudflare

UFW es una herramienta de gestión de cortafuegos común en Ubuntu. Si no se establecen reglas de entrada para la IP de Cloudflare, las solicitudes pueden ser descartadas o denegadas por defecto.

A continuación se enumeran los errores de configuración más comunes:

sudo ufw default deny incoming
sudo ufw permitir ssh
sudo ufw permitir 80

Aunque el puerto 80 está abierto, si la IP de origen de Cloudflare no es aceptada explícitamente, puede ser DROPPED, causando la caída de la conexión.

Escenario 2: iptables bloquea activamente las peticiones CDN externas

algunos deservidor (ordenador)Utilización de iptables Las reglas refuerzan los controles de seguridad. Si la regla contiene la siguiente declaración:

iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 80 -j DROP

Incluso si el servicio web se está ejecutando, será bloqueado de la conexión de generación inversa de Cloudflare porque la fuente IP no está en la lista blanca.

La forma correcta de configurar un cortafuegos

Para evitar que Cloudflare sea bloqueado por cortafuegos, se recomienda hacer lo siguiente:

Obtener todas las IP de los nodos de borde de Cloudflare

Cloudflare actualiza periódicamente sus segmentos de IP de nodo en las siguientes direcciones oficiales:

https://www.cloudflare.com/ips/

Incluye segmentos IPv4 e IPv6.

Ejemplo de configuración de UFW:

# reset rules (operación en entorno de prueba solamente, en línea por favor tenga cuidado)
sudo ufw reset

# Habilitar denegación por defecto
sudo ufw por defecto denegar entrantes
sudo ufw default allow outgoing

# Permitir segmentos IP de Cloudflare
for ip in $(curl https://www.cloudflare.com/ips-v4); do sudo ufw allow from $ip to any port 80; done
for ip in $(curl https://www.cloudflare.com/ips-v6); do sudo ufw allow from $ip to any port 80; done

# Habilitar cortafuegos
sudo ufw enable

iptables Ejemplo de configuración:

# permite a los segmentos IP de Cloudflare acceder a los puertos 80 y 443
for ip in $(curl https://www.cloudflare.com/ips-v4); do iptables -A INPUT -p tcp -s $ip --dport 80 -j ACCEPT; done
for ip in $(curl https://www.cloudflare.com/ips-v4); do iptables -A INPUT -p tcp -s $ip --dport 443 -j ACCEPT; done

Nota: Los scripts anteriores deben utilizarse junto con una herramienta de persistencia de cortafuegos (por ejemplo, iptables-persistent) para evitar invalidar las reglas tras un reinicio.

Otras posibles causas del Error 521

Además de los cortafuegos, el error 521 puede deberse a los siguientes factores:

• El proceso del servicio web no se ha iniciado (p. ej. Nginx(Apache detenido)
• La IP de enlace del sitio web no coincide con la configuración DNS de Cloudflare
• Carga excesiva del host, escucha anormal del puerto
• Configuraciones SSL conflictivas en el origen (Cloudflare está en modo Full Strict pero no está configurado con un certificado válido).

Se recomienda sincronizar la investigación del estado del servicio, los puertos de escucha y los registros del servidor.

resúmenes

Cloudflare Error 521 Esencialmente es el resultado de que la estación de origen se niega a conectarse. Una configuración incorrecta del cortafuegos, especialmente no liberar todas las IP de los nodos de borde de Cloudflare, es una causa común de este error. La mayoría de los errores Error 521 pueden resolverse abriendo adecuadamente los segmentos IP especificados y asegurándose de que el servicio web es estable.

Actualizaciones recientes

Contacte con nosotros
¿No puede leer el tutorial? Póngase en contacto con nosotros para obtener una respuesta gratuita. Ayuda gratuita para sitios personales y de pequeñas empresas	Servicio de atención al cliente WeChat
① Tel: 020-2206-9892
② QQ咨询：1025174874
(iii) Correo electrónico: info@361sale.com
④ Horario de trabajo: de lunes a viernes, de 9:30 a 18:30, días festivos libres