Un mauvais réglage du pare-feu peut-il déclencher une erreur Cloudflare 521 ?

Lorsqu'un site web a activé Cloudflare en tant que proxy inverse, l'accès au site se heurte parfois à l'erreur suivante Erreur 521Le serveur web est en panne. Ce type d'erreur indique Cloudflare Il est possible de se connecter au client, mais la connexion à la source (votre serveur) ne peut être établie avec succès.

Outre les problèmes courants de non-démarrage des services web, de mauvaise configuration, etc., de nombreuses personnes négligent une autre cause possible :L'hôte localpare-feumettre en placeCet article se concentre sur ce sujet. Cet article se concentre sur ce sujet, en analysant l'impact des pare-feu (par exemple UFW, iptables) sur les liens d'accès à Cloudflare et en donnant des conseils de dépannage avisés.

Qu'est-ce que l'erreur 521 ?

L'erreur 521 est un code d'erreur spécifique donné par Cloudflare pour indiquer que ses tentatives de connexion à la station source ont été rejetées. Exemple :

• Cloudflare a résolu avec succès le nom de domaine
• Les demandes des clients arrivent normalement aux nœuds périphériques de Cloudflare
• La connexion inverse Cloudflare à l'IP source échoue ou est refusée.

Cela indique généralement que la station source service webInaccessible, il ne s'agit pas d'un problème de DNS ou d'une page inexistante.

Un pare-feu affecte-t-il Cloudflare ?

La réponse est oui ; les requêtes de Cloudflare proviennent de ses nœuds globaux (et non des IP des navigateurs), et si le pare-feu ne les laisse pas passer, il rejette simplement la connexion, ce qui déclenche une erreur 521.

Les deux scénarios suivants sont très courants :

Scénario 1 : UFW bloque l'IP de Cloudflare

UFW est un outil de gestion de pare-feu courant dans Ubuntu. Si aucune règle d'entrée n'est définie pour l'IP de Cloudflare, les demandes peuvent être abandonnées ou refusées par défaut.

Les malentendus les plus courants en matière de configuration sont énumérés ci-dessous :

sudo ufw default deny incoming
sudo ufw allow ssh
sudo ufw allow 80

Bien que le port 80 soit ouvert, si la source IP de Cloudflare n'est pas explicitement acceptée, elle peut être DROPPED, ce qui entraîne l'interruption de la connexion.

Scénario 2 : iptables bloque activement les requêtes CDN externes

certains d'entre euxserveur (ordinateur)Utilisation d'un système personnalisé iptables Les règles renforcent les contrôles de sécurité. Si la règle contient la déclaration suivante :

iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 80 -j DROP

Même si le service web est en cours d'exécution, il sera bloqué par la connexion de génération inverse de Cloudflare parce que la source IP ne figure pas dans la liste blanche.

La bonne façon de configurer un pare-feu

Pour éviter que Cloudflare ne soit bloqué par des pare-feux, il est recommandé de procéder comme suit :

Obtenir toutes les adresses IP des nœuds de périphérie de Cloudflare

Cloudflare met périodiquement à jour les segments IP de ses nœuds aux adresses officielles suivantes :

https://www.cloudflare.com/ips/

Comprend les segments IPv4 et IPv6.

Exemple de configuration UFW :

Règles de réinitialisation de # (fonctionnement en environnement de test uniquement, en ligne soyez prudent)
sudo ufw reset

# Activer le refus par défaut
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Autoriser les segments IP Cloudflare
for ip in $(curl https://www.cloudflare.com/ips-v4) ; do sudo ufw allow from $ip to any port 80 ; done
for ip in $(curl https://www.cloudflare.com/ips-v6) ; do sudo ufw allow from $ip to any port 80 ; done

# Activer le pare-feu
sudo ufw enable

iptables Exemple de configuration :

# permet aux segments IP de Cloudflare d'accéder aux ports 80 et 443
for ip in $(curl https://www.cloudflare.com/ips-v4) ; do iptables -A INPUT -p tcp -s $ip --dport 80 -j ACCEPT ; done
for ip in $(curl https://www.cloudflare.com/ips-v4) ; do iptables -A INPUT -p tcp -s $ip --dport 443 -j ACCEPT ; done

Note : Les scripts ci-dessus doivent être utilisés en conjonction avec un outil de persistance de pare-feu (par exemple iptables-persistent) pour éviter d'invalider les règles après un redémarrage.

Autres causes possibles de l'erreur 521

Outre les pare-feux, l'erreur 521 peut être causée par les facteurs suivants :

• Le processus du service web n'est pas démarré (par ex. Nginx(Apache arrêté)
• L'IP de liaison du site Web ne correspond pas à la configuration DNS de Cloudflare
• Charge excessive de l'hôte, écoute anormale du port
• Configurations SSL conflictuelles à la source (Cloudflare est en mode Full Strict mais n'est pas configuré avec un certificat valide)

Il est recommandé de synchroniser l'enquête sur l'état des services, les ports d'écoute et les journaux du serveur.

résumés

Cloudflare Erreur 521 Il s'agit essentiellement du résultat du refus de la station source de se connecter. Une mauvaise configuration du pare-feu, en particulier le fait de ne pas libérer toutes les IP des nœuds périphériques de Cloudflare, est une cause fréquente de cette erreur. La plupart des erreurs de type 521 peuvent être résolues en ouvrant les segments IP spécifiés de manière appropriée et en s'assurant que le service web est stable.

Mises à jour récentes

Contactez nous
Vous n'arrivez pas à lire le tutoriel ? Contactez-nous pour une réponse gratuite ! Aide gratuite pour les sites personnels et les sites de petites entreprises !	Service clientèle WeChat
① Tel : 020-2206-9892
② QQ咨询：1025174874
(iii) Courriel : info@361sale.com
④ Horaires de travail : du lundi au vendredi, de 9h30 à 18h30, jours fériés.