Error 522 Connection Timed Out — และพี่น้องอีกสามตัว

521, 522, 523, 524 — สี่ตัวนี้คนละเรื่องกัน

ตารางนี้คือส่วนที่มีประโยชน์ที่สุดของบทความ เพราะเลขบอกอยู่แล้วว่าพังตรงไหนของเส้นทาง

สาเหตุอันดับหนึ่ง: ไฟร์วอลล์บล็อก IP ของ Cloudflare

นี่คือสาเหตุที่พบมากที่สุดของ 522 และเป็นสาเหตุที่แก้ง่ายที่สุดด้วย

เมื่อเว็บอยู่หลัง Cloudflare ทุก request ที่มาถึงเซิร์ฟเวอร์ของคุณจะมาจาก IP ของ Cloudflare ไม่ใช่ IP ของผู้เข้าชม ถ้าไฟร์วอลล์หรือระบบกันบุกรุกตัดสินใจบล็อก IP เหล่านั้น — ซึ่งเกิดขึ้นได้ง่ายมากเพราะทราฟฟิกทั้งเว็บมาจาก IP ไม่กี่ชุด จึงดูเหมือนการโจมตี — เว็บจะขึ้น 522 ทันที

ตัวการที่พบบ่อยคือ fail2ban, CSF, mod_evasive หรือระบบกันบุกรุกของ DirectAdmin ที่เห็นคำขอจำนวนมากจาก IP เดียวแล้วแบนอัตโนมัติ ผลคือเว็บล่มเป็นช่วง ๆ แล้วกลับมาเองเมื่อแบนหมดอายุ ซึ่งเป็นอาการที่หาสาเหตุยากมากถ้าไม่รู้ว่าต้องดูตรงนี้

วิธีแก้: ใส่ IP range ทั้งหมดของ Cloudflare ลงใน allowlist ของไฟร์วอลล์และของทุกระบบกันบุกรุกที่ใช้ Cloudflare เผยแพร่รายการ IP ไว้เป็นสาธารณะและมีการอัปเดตเป็นครั้งคราว ควรตั้งให้ดึงมาอัปเดตอัตโนมัติแทนที่จะก๊อปครั้งเดียวจบ

สาเหตุรองลงมา

• เซิร์ฟเวอร์รับการเชื่อมต่อใหม่ไม่ทัน เมื่อโหลดสูงจนคิวการเชื่อมต่อเต็ม แพ็กเกจใหม่จะถูกทิ้งเงียบ ๆ ซึ่งให้ผลเป็น 522 พอดี ดูจากค่า load average และจำนวน worker ที่ตั้งไว้
• RAM หมดจนกระบวนการถูก OOM killer เก็บ อาการคล้ายกันคือเว็บล่มเป็นช่วง ๆ ให้ตรวจด้วยคำสั่ง dmesg แล้วมองหาบรรทัดที่เกี่ยวกับ oom
• DNS ใน Cloudflare ชี้ไป IP เก่า มักเกิดหลังย้ายเซิร์ฟเวอร์แล้วลืมแก้ระเบียน A ถ้า IP นั้นยังมีเครื่องอื่นอยู่จะได้ 522 แต่ถ้าไม่มีอะไรเลยมักได้ 523 แทน
• เว็บเซิร์ฟเวอร์ฟังผิดพอร์ตหรือ bind ผิดที่อยู่ ถ้าบริการ bind อยู่ที่ 127.0.0.1 แทน 0.0.0.0 มันจะรับเฉพาะการเชื่อมต่อจากในเครื่อง และปฏิเสธทุกอย่างจากข้างนอกรวมถึง Cloudflare
• ผู้ให้บริการเน็ตหรือ upstream ของเซิร์ฟเวอร์มีปัญหาชั่วคราว กรณีนี้แก้อะไรไม่ได้นอกจากรอ แต่ยืนยันได้ด้วยการต่อตรงเข้า IP จากเครื่องอื่น
• ตั้ง Cloudflare เป็นโหมด Full (strict) แต่ใบรับรองบนเซิร์ฟเวอร์หมดอายุ กรณีนี้มักได้ 526 แต่บางการตั้งค่าจะแสดงเป็นอาการต่อไม่ติดแทน

ไล่ตรวจตามลำดับนี้

• เช็ก allowlist ของ Cloudflare ก่อนเลย ทั้งไฟร์วอลล์และ fail2ban/CSF เพราะเป็นสาเหตุอันดับหนึ่งและใช้เวลาตรวจแค่นาทีเดียว
• ต่อตรงเข้าเซิร์ฟเวอร์โดยข้าม Cloudflare ใช้ curl ยิงไปที่ IP จริงพร้อมระบุ Host header ถ้าต่อได้แปลว่าเซิร์ฟเวอร์ปกติและปัญหาอยู่ระหว่างทาง
• ดูว่ามีอะไรฟังอยู่จริง สั่ง ss -tlnp แล้วยืนยันว่าเว็บเซิร์ฟเวอร์ bind อยู่ที่ 0.0.0.0 พอร์ต 80 และ 443 ไม่ใช่ 127.0.0.1
• เช็กโหลดและแรม ใช้ uptime กับ free -h ถ้าโหลดสูงผิดปกติหรือแรมเหลือน้อย ปัญหาคือกำลังไม่พอ ไม่ใช่การตั้งค่า
• อ่าน log ของเว็บเซิร์ฟเวอร์ในช่วงที่เกิด ถ้า log ว่างเปล่าตอนเกิด 522 แปลว่า request ไปไม่ถึงเซิร์ฟเวอร์เลย ซึ่งยืนยันว่าถูกบล็อกระหว่างทาง
• ยืนยันระเบียน A ใน Cloudflare ว่าชี้ไป IP ปัจจุบันจริง โดยเฉพาะถ้าเพิ่งย้ายเครื่อง

ป้องกันไม่ให้เกิดอีก

• ตั้งให้ allowlist ของ Cloudflare อัปเดตอัตโนมัติ รายการ IP มีการเปลี่ยนเป็นครั้งคราว การก๊อปครั้งเดียวจบจะกลับมาพังในอีกหลายเดือน
• ตั้งค่าให้เว็บเซิร์ฟเวอร์อ่าน IP จริงของผู้เข้าชม ใช้ ngx_http_realip_module หรือ mod_remoteip เพื่อให้ระบบกันบุกรุกเห็น IP ของผู้ใช้จริงแทนที่จะเห็นแต่ IP ของ Cloudflare — แก้ที่ต้นเหตุของการแบนผิดตัว
• ติดตั้งระบบเฝ้าดู uptime ที่แจ้งเตือน เพราะ 522 มักเกิดเป็นช่วง ๆ และหายเองก่อนที่คุณจะทันเห็น
• เฝ้าดูแรมและโหลด ตั้งการแจ้งเตือนก่อนถึงขีดจำกัด ดีกว่ามารู้ตอนเว็บล่มแล้ว
• สั่ง systemctl enable บริการทุกตัว เพื่อให้กลับมาเองหลังรีบูต
• เก็บ IP จริงของเซิร์ฟเวอร์ไว้ใช้ทดสอบ เวลาเกิดปัญหาจะได้ยิงตรงข้าม Cloudflare ได้ทันทีโดยไม่ต้องไปหา