Cloudflare 520～524 错误怎么区分：按源站连接阶段排查

Cloudflare 520～524 不能用同一套办法处理：520 是源站响应异常，521 是连接被拒绝，522 是联系源站超时，523 是源站不可达，524 则是已经连接但等待响应过久。最有效的排查方法不是从 520 逐个背到 524，而是先判断请求停在“解析与路由、建立连接、发送请求、等待响应”中的哪一步，再检查对应的 DNS、端口、防火墙、网络路径或应用性能。

先看故障阶段

这五个错误页通常由 Cloudflare 生成，说明边缘节点没有正常完成到源站的请求。它们把排查范围缩小到 Cloudflare 与源站的交互，但不能单凭一个错误码断定是 Cloudflare、主机商、网络运营商、Web 服务器还是应用程序的具体故障。

先保存现场

在改 DNS、重启服务或修改防火墙前，先记录现场。Cloudflare 官方建议至少保存错误码与文字、发生时间和时区、出错的完整 URL；实际提交工单时还应保留错误页底部的 Ray ID。

• 时间：精确到分钟并写明时区，便于对齐边缘节点、负载均衡器和源站日志。
• URL 与方法：记录是首页、静态资源、登录、上传、导出还是 API，以及 GET、POST 等请求方法。
• Ray ID：它标识一次经过 Cloudflare 的请求，截图时不要只截错误标题。
• 影响范围：所有访客都失败，还是特定地区、运营商、路径或登录用户失败。
• 持续方式：持续失败、间歇失败，还是只在流量高峰或长任务中出现。

同时查看 Cloudflare Status，排除已公开的平台事件；但状态页正常也不能证明你的区域、源站或配置没有问题。Cloudflare 官方还提醒，源站前面的负载均衡、缓存、反向代理和防火墙可能留下关键日志，不要只查应用日志。

做四项只读检查

核对 DNS

确认 Cloudflare DNS 中代理记录的 A 或 AAAA 地址仍是当前源站公网地址，尤其注意主机迁移、自动换 IP、旧 IPv6 地址和同时存在的多条记录。523 最优先检查这里，522 也可能由错误源站 IP 引起。不要因为源站本机能访问，就跳过 Cloudflare 控制台中的实际记录。

检查监听端口

确认 Web 服务确实监听当前 SSL/TLS 模式要求的端口。Linux 可以用 ss -lntp 查看监听状态；Windows 可用 Get-NetTCPConnection -State Listen。这些命令只读，不会启动服务。Flexible 通常要求源站 HTTP 端口可用；Full 或 Full (Strict) 则要求源站 HTTPS 端口和对应 TLS 配置可用。

从源站路径测试

在有授权的管理终端，可用 curl --resolve example.com:443:203.0.113.10 https://example.com/ -I 把域名临时解析到源站 IP，同时保留正确的 Host 与 TLS SNI。把示例域名和 IP 换成自己的值。不要随手加入跳过证书校验的参数，否则会掩盖 TLS 配置问题。

直连成功只说明测试位置到源站的这条路径能工作，不代表 Cloudflare 边缘节点也能连接；直连失败则应先修源站、监听端口或主机网络。

对齐源站日志

以“时间 + URL + Ray ID”为索引查看 Web 服务器、应用、PHP-FPM、数据库、负载均衡和防火墙日志。如果错误发生时完全没有请求到达源站，优先查 DNS、路由、防火墙和连接层；如果请求已经进入应用但迟迟未结束，重点转向 524 的慢请求分支。

520：响应异常

520 表示 Cloudflare 从源站收到空响应、未知响应、异常响应，或无法正确解析的 HTTP 响应。它不是“任意源站故障”的同义词，常见线索包括应用进程崩溃后提前断开连接、没有返回合法状态码、响应头缺失或畸形、Cookie 过多导致总响应头超过 128 KB，以及 HTTP/2 到源站配置不正确。

排查时先找到具体 URL：只有登录用户失败时，检查 Cookie 和响应头大小；只有某个 PHP 路径失败时，对齐 PHP-FPM 与应用崩溃日志；启用 HTTP/2 to Origin 后才出现时，核对源站是否真正支持其通过 ALPN 宣告的协议。不要把“关闭 HTTP/2”当永久通用答案，应先确认变更前后结果并保留回滚。

521：连接被拒绝

521 的关键是拒绝连接。源站地址通常可达，但目标端口没有服务监听，或者防火墙、安全插件、主机商防护明确拒绝了 Cloudflare 的连接。常见情况包括 Nginx/Apache 停止、服务只绑定本地地址、80/443 端口与 SSL 模式不匹配，以及把 Cloudflare IP 当成攻击流量封禁。

先检查服务和端口，再检查源站防火墙、WAF、Fail2ban、主机商安全产品与限流。放行时以 Cloudflare 官方当前 IP 段和实际端口为边界，不要永久关闭防火墙或把管理端口暴露给公网。Full / Full (Strict) 模式还要确认源站支持 HTTPS，且证书与所选模式相符。

522：联系源站超时

522 与 521 的区别是：521 更像立即被拒绝，522 则是 Cloudflare 等不到连接或请求确认。按 Cloudflare 2026-06-16 更新的定义，有两种计时点：

• Cloudflare 发送 SYN 后，源站在 19 秒内没有返回 SYN+ACK；
• 连接已经建立，但源站在 90 秒内没有 ACK Cloudflare 发出的资源请求。

最常见的原因仍是 Cloudflare IP 被源站防火墙或限流规则阻止；此外还可能是源站过载或离线、Keepalive 被关闭、Cloudflare DNS 中源站 IP 错误、源站丢包或网络拥塞。持续 522 应让主机商提供源站到近期 Cloudflare 连接 IP 的 MTR 或 traceroute，并把相同时间段的防火墙与系统负载日志一起分析。

523：源站不可达

523 表示 Cloudflare 无法到达源站，重点是地址和路由，而不是应用处理速度。先核对 A/AAAA 是否指向正确公网地址，再检查源站所在网络、云平台路由表、上游运营商与 Cloudflare 之间是否存在无路由或错误路由。

在 AWS 等环境还要检查过宽的私网路由。Cloudflare 官方特别举例：把 172.0.0.0/8 之类的大范围错误指向私网，可能误捕获 Cloudflare 使用的 172.64.0.0/13 公网流量。不要机械复制这条路由修复；先确认自己的 VPC、网关和目标网段，再由网络管理员调整。

524：源站响应太慢

524 与 522 最重要的区别是：524 已经成功连接源站。当前 Cloudflare 官方文档写明，源站若未在默认 125 秒 Proxy Read Timeout 内提供 HTTP 响应，就可能返回 524；写入方向另有默认 30 秒 Proxy Write Timeout，Cloudflare Images 的相关写入超时为 6.5 秒。

常见根因是大查询、报表导出、图片或视频处理、备份、第三方 API 等长任务，以及 CPU、内存、数据库连接池或工作进程耗尽。优先记录源站响应时间，定位慢路径与资源瓶颈。长任务更适合改成异步队列：请求先返回任务 ID，前端轮询状态，完成后再下载结果。

如果业务确实需要长时间同步请求，可以把该任务放到不经过代理的专用子域，但这会失去相应的 Cloudflare 代理能力并暴露源站路径，需要配套访问控制。Enterprise 区域可按官方途径提高读取超时，当前上限可到 6000 秒；提高阈值仍不能替代对慢查询和过载的修复。

DNS-only 只能诊断

临时把记录改为 DNS-only，或暂停 Cloudflare 后测试，确实可以比较“经过 Cloudflare”和“直接到源站”两条路径。但这个结果不能自动给出根因：绕过后恢复，可能只是 Cloudflare IP 被拦、协议差异、响应格式异常或源站对不同来源采用了不同规则。

这项操作还可能暴露源站 IP、绕过 Cloudflare WAF、限流、缓存和隐藏源站的设计。只有域名所有者在了解影响并记录原配置后才能短时使用，测试完成应立即恢复。不要把长期关闭橙云写成修复方案。

提交工单材料

如果需要主机商或 Cloudflare 支持协助，建议一次性提交：

• 错误码、完整错误文字和 Ray ID；
• 发生时间、时区、完整 URL、请求方法与复现频率；
• 受影响地区、运营商、路径和是否仅登录用户受影响；
• Cloudflare DNS 中目标记录的核对结果，不必公开敏感管理凭据；
• 源站服务监听、系统负载、Web/应用/防火墙日志的对应时间片段；
• 直连源站与经过 Cloudflare 的对比结果；
• 若涉及 522/523，提供经主机商确认的 MTR 或 traceroute；
• 近期变更：迁移、换 IP、证书、代理、WAF、防火墙、代码发布或数据库任务。

修复后可用 Uptime Kuma 分别监控公开域名与有访问控制的源站健康端点，观察响应时间和错误频率；使用 CloudPanel 管理源站的用户，也应把面板状态与 Nginx、PHP、系统日志一起核对。监控工具用于发现复发，不替代根因分析。

信息边界：本文按 Cloudflare 官方文档核对于 2026-07-26。520～524 的语义相对稳定，但超时阈值、控制台入口、套餐日志能力和结构化错误响应可能继续变化。外部资料：Cloudflare 5xx 总览 https://developers.cloudflare.com/support/troubleshooting/http-status-codes/cloudflare-5xx-errors/；520～524 分页位于该目录的 error-520/ 至 error-524/；结构化错误响应说明 https://developers.cloudflare.com/fundamentals/reference/error-responses/。