La relación entre los errores 521 de Cloudflare y la configuración de «Nube naranja/Nube gris»

Al utilizar Cloudflare,Error 521 (el servidor web está inactivo)Este es un problema común, pero que a menudo se diagnostica erróneamente. Muchos sitios web se enfrentan a esta situación: la resolución DNS parece normal,servidor (ordenador)Aparentemente en línea, cambiar al acceso a la nube gris parece normal, pero una vezHabilita Orange Cloud Proxy e informa inmediatamente del 521.De hecho, esto no es Cloudflare no es un defecto en sí mismo, sino más bienEl servidor de origen no puede establecer una conexión normal con Cloudflare cuando funciona en modo proxy.Comprender las diferencias en las rutas de acceso entre las nubes naranjas y las nubes grises es clave para identificar y resolver los errores 521.

I. El verdadero significado del error 521 de Cloudflare

1.1 ¿Qué significa exactamente un error 521?

Cloudflare para 521 Error La definición es:
Cloudflare puede recibir solicitudes de visitantes, pero falla al intentar establecer una conexión TCP con el servidor de origen.
Esto suele significar:

• La conexión entre Cloudflare y el servidor de origen fue rechazada o no se pudo establecer.
• El problema se produjo cuando Capa de red / cortafuegos / servicios web
• La resolución DNS en sí misma funciona correctamente.

1.2 521 no equivale a «tiempo de inactividad del servidor».

Las siguientes situacionesactivará 521::

toma	¿Es posible?
El servidor realmente se ha bloqueado.	sea
El cortafuegos está bloqueando las direcciones IP de Cloudflare.	sea
El servicio web no está escuchando en el puerto.	sea
Solo conexiones IP directas	sea
Interceptación del complemento de seguridad/WAF	sea

Lo importante no es si el servidor está conectado, sino si Cloudflare tiene permiso para conectarse.

II. La distinción fundamental entre las nubes naranjas y las nubes grises

2.1 ¿Qué son las nubes naranjas y las nubes grises?

existe Cloudflare En el DNS, cada registro tiene un estado en la nube:

situación	demuestre	Significado real
Nube naranja	Proxy	Habilitar el proxy de Cloudflare
nubes grises	Solo DNS	Solo resolución DNS, conexión directa al servidor de origen.

Es unInterruptor para enrutamiento a través de Cloudflare.

2.2 Rutas de acceso en Orange Cloud State

Ruta de acceso:Visitante → Nodo Cloudflare → Servidor de origen

En este momento:

• El servidor de origen observa la dirección IP visitante como un nodo de Cloudflare.
• El firewall debe permitir los rangos de IP de Cloudflare.
• El servicio web debe estar escuchando en el puerto.

2.3 Rutas de acceso en condiciones de nubosidad gris

Ruta de acceso:Visitante → Servidor de origen (conexión directa)

En este momento:

• Cloudflare no participa en el reenvío.
• No aparecerá ninguna página de error de Cloudflare.
• Tampoco se producirá un error 521.

III. ¿Por qué el 521 solo aparece en el estado de nube naranja?

La razón es muy clara:El error 521 se produce cuando Cloudflare intenta conectarse al servidor de origen.

• Nube gris: Cloudflare no se conecta al servidor de origen → Imposible 521
• Nube naranja: Cloudflare debe conectarse al servidor de origen → El fallo da como resultado un error 521.

Por lo tanto, durante la resolución de problemas, siempre que se produzca lo siguiente:El acceso a Grey Cloud es normal; al cambiar a Orange Cloud se activa inmediatamente el código de error 521.En tales circunstancias, se puede concluir en general que el problema radica enConfiguración para el acceso proxy en el servidor de origenen, en lugar del servicio DNS o Cloudflare en sí.

IV. La alta frecuencia del número 521 en el contexto de la nube naranja

4.1 El cortafuegos no ha permitido la IP de Cloudflare (el caso más habitual).

manifestaciones

• El acceso a Grey Cloud es normal.
• Nube naranja Inmediatamente 521
• servidor (ordenador)El registro no contiene solicitudes o solo contiene registros de rechazo.

enfoque correcto

• Despeje Segmento IP oficial de Cloudflare
• Los puertos autorizados incluirán, como mínimo:
  • 80(HTTP)
  • 443(HTTPS)

Requisitos de la lista de IP de CloudflareSincronización regularNo configure manualmente una dirección IP fija.

4.2 Los servicios web no están escuchando en los puertos de red públicos.

Los errores más comunes son:

• Solo escuchar 127.0.0.1
• No supervisado 80 / 443
• El servicio web no se ha iniciado o se ha cerrado de forma anómala.

Práctica recomendada (universal, segura):

• supervisión 0.0.0.0:80
• supervisión 0.0.0.0:443

4.3 Malentendido sobre «Ocultar la IP del servidor de origen»

Las siguientes prácticasEs muy probable que conduzca a 521.::

• Bloquear todas las direcciones IP no locales.
• Bloquear direcciones IP extranjeras
• Acceso permitido solo desde su propia dirección IP.

La mayoría de los nodos de Cloudflare son IP extranjeras y serán bloqueados en masa.

4.4 Complementos de seguridad / Falsos positivos de WAF

incluyendo, entre otros:

• Cortafuegos Baota
• Reglas de protección a nivel del sistema
• Complemento de seguridad de terceros

lo que seaReglas basadas en IP, ASN y paísTodos los casos requieren verificación para determinar si Cloudflare se ha visto afectado por error.

V. Procedimiento práctico para localizar 521 utilizando Orange Cloud / Grey Cloud

5.1 Paso uno: Cambiar al servidor de origen de verificación Grey Cloud.

1. Inicio de sesión en la consola de Cloudflare
2. DNS → Localizar el registro correspondiente
3. cambiar a Nube gris (solo DNS)
4. Por favor, espere entre 1 y 2 minutos antes de acceder al sitio web.

• Accesible → El sitio original funciona con normalidad.
• No disponible → Problema con el servidor de origen.

5.2 Paso dos: volver a Orange Cloud

1. Recortar Nube naranja (proxied)
2. actualizar página

si apareciera inmediatamente 521Se puede confirmar que el problema se produjo en Cloudflare → Servidor de origen.

5.3 Paso tres: Solucionar problemas en secuencia

Orden recomendado:

1. ¿El firewall permite las direcciones IP de Cloudflare en los puertos 80/443?
2. Estado de escucha del servicio web
3. Complemento de seguridad / WAF
4. Sistema y registros web

VI. Recomendaciones para el uso adecuado de Orange Cloud

6.1 Capa de cortafuegos

• No bloquee directamente las direcciones IP extranjeras.
• No solo permitir direcciones IP personales
• Debería:
  • Permitir IP de Cloudflare
  • Confíe su estrategia de seguridad a Cloudflare.

6.2 Capa de servicios web

• Supervisión de los puertos de red públicos como de costumbre.
• No imponga restricciones burdas basadas en direcciones IP de origen.
• hacer uso de CF-Conexión-IP Obtenga direcciones IP reales de los visitantes.

6.3 Recomendaciones operativas

• Grey Cloud se utiliza exclusivamente con fines de resolución de problemas.
• Uso prolongado de Orange Cloud en entornos de producción
• Después de cada cambio en la política de seguridad, hay que probar el acceso a Orange Cloud.

Contacte con nosotros
¿No puede leer el tutorial? Póngase en contacto con nosotros para obtener una respuesta gratuita. Ayuda gratuita para sitios personales y de pequeñas empresas	Servicio de atención al cliente WeChat
① Tel: 020-2206-9892
② QQ咨询：1025174874
(iii) Correo electrónico: info@361sale.com
④ Horario de trabajo: de lunes a viernes, de 9:30 a 18:30, días festivos libres