Error 522 Connection Timed Out — và ba người anh em

521, 522, 523, 524 không phải cùng một chuyện

Bảng này là phần hữu ích nhất của bài, vì con số đã cho biết đường đi đứt ở đâu.

Nguyên nhân số một: firewall của bạn đang chặn Cloudflare

Đây là nguyên nhân phổ biến nhất của 522, và cũng là nguyên nhân dễ khắc phục nhất.

Khi website nằm sau Cloudflare, mọi request tới máy chủ của bạn đều xuất phát từ IP của Cloudflare chứ không phải của khách truy cập. Nếu firewall hoặc công cụ chống xâm nhập quyết định chặn những địa chỉ đó — điều rất dễ xảy ra, vì toàn bộ lưu lượng giờ đến từ một nhúm IP và trông hệt như một cuộc tấn công — website sẽ trả về 522 ngay lập tức.

Thủ phạm quen thuộc là fail2ban, CSF, mod_evasive, hoặc lớp chống xâm nhập tích hợp trong các bảng điều khiển như DirectAdmin. Chúng thấy hàng nghìn request từ một địa chỉ và tự động cấm. Kết quả là website sập từng đợt rồi tự hồi phục khi lệnh cấm hết hạn — một triệu chứng cực kỳ khó chẩn đoán nếu không biết phải nhìn vào đây.

Cách xử lý: thêm toàn bộ dải IP Cloudflare công bố vào allowlist của firewall và của mọi công cụ chống xâm nhập bạn đang chạy. Cloudflare công bố các dải này và thỉnh thoảng cập nhật, nên hãy kéo về tự động thay vì dán một lần rồi thôi.

Các nguyên nhân ít gặp hơn

• Máy chủ không nhận kịp kết nối mới. Khi tải nặng, hàng đợi accept đầy và gói tin mới bị vứt lặng lẽ, tạo ra đúng lỗi này. Kiểm tra load average và số worker đã cấu hình.
• Cạn bộ nhớ và OOM killer ra tay. Triệu chứng tương tự — sập từng đợt — và xác nhận bằng "dmesg | grep -i oom".
• DNS trên Cloudflare trỏ tới IP cũ. Hay gặp sau khi chuyển máy chủ mà quên cập nhật bản ghi A. Nếu địa chỉ đó vẫn có máy khác trả lời thì bạn nhận 522; nếu không có gì ở đó thì thường là 523.
• Máy chủ web nghe sai cổng hoặc bind sai địa chỉ. Dịch vụ bind vào 127.0.0.1 thay vì 0.0.0.0 chỉ nhận kết nối nội bộ và từ chối mọi thứ từ bên ngoài, bao gồm cả Cloudflare.
• Sự cố tạm thời ở nhà mạng của máy chủ. Không sửa được từ phía bạn, nhưng xác nhận được bằng cách kết nối trực tiếp tới IP từ một máy khác.
• Cloudflare đặt Full (strict) trong khi chứng chỉ trên máy chủ gốc đã hết hạn. Thường ra 526, nhưng một số cấu hình lại biểu hiện thành lỗi kết nối.

Kiểm tra theo thứ tự này

• Kiểm tra allowlist Cloudflare trước tiên, ở cả firewall lẫn fail2ban/CSF. Đây là nguyên nhân phổ biến nhất và chỉ mất một phút để loại trừ.
• Kết nối thẳng tới máy chủ, bỏ qua Cloudflare. Dùng curl tới IP thật kèm Host header. Nếu được thì máy chủ ổn và vấn đề nằm trên đường đi.
• Xác nhận thực sự có thứ gì đang lắng nghe. Chạy "ss -tlnp" và kiểm tra máy chủ web bind ở 0.0.0.0 cổng 80 và 443, không phải 127.0.0.1.
• Kiểm tra tải và bộ nhớ bằng "uptime" và "free -h". Tải cao bất thường hoặc bộ nhớ trống ít nghĩa là vấn đề nằm ở năng lực, không phải cấu hình.
• Đọc log máy chủ web đúng thời điểm xảy ra. Nếu log trống trong lúc bị 522, request chưa từng tới được máy chủ — điều đó xác nhận nó bị chặn từ trước.
• Xác minh bản ghi A trên Cloudflare trỏ đúng IP hiện tại, nhất là sau khi chuyển máy chủ.

Phòng ngừa

• Tự động hóa việc làm mới allowlist Cloudflare. Các dải công bố thỉnh thoảng đổi, nên bản sao chép một lần sẽ âm thầm hỏng sau vài tháng.
• Cấu hình máy chủ web đọc IP thật của khách bằng ngx_http_realip_module hoặc mod_remoteip. Khi đó công cụ chống xâm nhập thấy địa chỉ khách thật thay vì địa chỉ Cloudflare, loại bỏ hoàn toàn nguyên nhân gây cấm nhầm.
• Chạy giám sát uptime có cảnh báo. 522 thường xuất hiện từng đợt và tự hết trước khi bạn kịp nhận ra.
• Theo dõi bộ nhớ và tải với cảnh báo đặt dưới ngưỡng giới hạn, thay vì biết tin khi website đã sập.
• Bật dịch vụ bằng "systemctl enable" để chúng sống sót qua khởi động lại.
• Giữ sẵn IP gốc của máy chủ để kiểm thử, để có thể bỏ qua Cloudflare ngay khi có sự cố.