Lỗi 521: “Web Server Is Down” nghĩa là gì và cách khắc phục

Bạn mở một trang web và thấy trang Cloudflare màu xám: “Web server is down. Error code 521.” Trình duyệt hiển thị “Working”, Cloudflare hiển thị “Working”, còn máy chủ lưu trữ (host) hiển thị “Error”. Nếu đó là website của bạn, mỗi phút lỗi kéo dài đều làm mất khách truy cập, doanh số và uy tín.

Tin tốt là lỗi 521 hầu như luôn do một trong vài nguyên nhân quen thuộc, và phần lớn chỉ mất vài phút để khắc phục khi bạn biết chính xác mình đang gặp nguyên nhân nào. Hướng dẫn này chỉ cách xác định nhanh nguyên nhân cụ thể, sửa bằng các lệnh có thể sao chép và dán, và ngăn lỗi quay lại, kể cả hai nguyên nhân mà hầu hết các hướng dẫn bỏ sót.

Trả lời nhanh

Mã lỗi 521 có nghĩa là Cloudflare đã thử kết nối tới máy chủ gốc (origin server) của website, nhưng máy chủ từ chối kết nối. Các nguyên nhân phổ biến nhất là máy chủ web đã ngừng chạy, tường lửa chặn địa chỉ IP của Cloudflare, hoặc cài đặt SSL khiến Cloudflare kết nối tới một cổng không có dịch vụ nào lắng nghe. Nếu bạn là khách truy cập, sự cố nằm ở phía website, không phải ở phía bạn. Nếu bạn sở hữu website, hãy bắt đầu bằng việc kiểm tra máy chủ web có đang chạy không và các dải IP của Cloudflare đã được cho phép chưa.

Bạn là khách truy cập hay chủ website: bắt đầu từ đây

Nếu bạn chỉ đang truy cập website:

• Lỗi 521 không do thiết bị, trình duyệt hay kết nối internet của bạn gây ra

• Hãy đợi vài phút rồi tải lại trang. Nhiều lỗi 521 tự hết sau khi máy chủ khởi động lại

• Nếu lỗi kéo dài hơn, chủ website cần xử lý. Hãy báo cho họ nếu có thể

• VPN hoặc proxy thường không giúp được, vì máy chủ đang từ chối chính Cloudflare. Ngoại lệ là trường hợp bị chặn theo khu vực, được nói đến bên dưới

Nếu bạn sở hữu website:

1. Máy chủ web có đang chạy không? → Bước 1

2. Website có tải được khi bạn bỏ qua Cloudflare không? Nếu có → Bước 3–5. Nếu không → Bước 1, 2 và 6

3. Lỗi có quay lại sau vài ngày một lần không? → “Vì sao lỗi 521 cứ quay lại”

4. Lỗi chỉ xảy ra ở một số quốc gia? → “Lỗi 521 chỉ xuất hiện ở một số quốc gia?”

Mã lỗi 521 có nghĩa là gì

Mã lỗi 521 là cách Cloudflare báo rằng “Tôi đã kết nối được tới máy chủ của bạn, nhưng nó từ chối làm việc với tôi.” Đây không phải mã trạng thái HTTP chính thức. Nó là một trong các mã 5xx riêng của Cloudflare, vì vậy bạn cũng có thể thấy nó được viết là lỗi HTTP 521 hoặc mã trạng thái 521.

Trên trang lỗi của Cloudflare, sơ đồ cho thấy chính xác nơi sự cố xảy ra: trình duyệt và Cloudflare đều ổn, còn ô thứ ba, có nhãn “Host”, hiển thị Error. “Lỗi host của Cloudflare” này nghĩa là sự cố nằm ở máy chủ gốc, tức là máy thực sự chạy website.

Điểm khác biệt so với các lỗi gần giống:

• 520: máy chủ có phản hồi, nhưng phản hồi trống hoặc không hợp lệ. Xem hướng dẫn của chúng tôi về mã lỗi 520

• 521: máy chủ từ chối kết nối

• 522: máy chủ không phản hồi kịp thời

Mã lỗi 521 trong Cloudflare là gì

Khi ai đó truy cập một website dùng Cloudflare, yêu cầu trước tiên đi tới một trung tâm dữ liệu của Cloudflare. Sau đó Cloudflare mở kết nối tới máy chủ gốc của bạn để lấy trang. Mã lỗi 521 trong Cloudflare xuất hiện khi kết nối đó bị chủ động từ chối.

Theo tài liệu của Cloudflare, có hai nguyên nhân chính:

1. Ứng dụng máy chủ web đang ngoại tuyến, ví dụ Nginx hoặc Apache đã bị lỗi hoặc đã dừng

2. Yêu cầu từ Cloudflare bị chặn tại máy chủ gốc, thường do tường lửa, plugin bảo mật hoặc bộ giới hạn tốc độ

Mọi cách khắc phục dưới đây đều nhắm tới một trong hai nguyên nhân này.

Cách sửa mã lỗi 521 trong Cloudflare (7 bước)

Hãy làm lần lượt theo thứ tự. Hầu hết lỗi 521 được giải quyết ở bước 3.

Bước 1: Kiểm tra máy chủ web có đang chạy không

Kết nối tới máy chủ và kiểm tra trạng thái của máy chủ web:

sudo systemctl status nginx      # or: apache2 / httpd

sudo systemctl restart nginx     # restart it if it's stopped

If it keeps stopping, check why. A common cause is the server running out of memory:

bash

sudo journalctl -u nginx --since "1 hour ago"

sudo dmesg | grep -i "killed process"

Bước 2: Kiểm tra trực tiếp máy chủ, bỏ qua Cloudflare

Bước này cho biết bản thân máy chủ có hoạt động hay không. Thay ORIGIN_IP bằng địa chỉ IP thật của máy chủ:

curl -I --resolve example.com:443:ORIGIN_IP https://example.com

sudo ss -tlnp | grep -E ':80|:443'

Lệnh đầu tiên tải website trực tiếp từ máy chủ. Lệnh thứ hai cho biết có dịch vụ nào đang lắng nghe trên cổng 80 và 443 hay không. Nếu không có gì lắng nghe, Cloudflare không có gì để kết nối.

Bước 3: Cho phép địa chỉ IP của Cloudflare trong tường lửa

Đây là cách sửa phổ biến nhất. Cloudflare công bố danh sách đầy đủ các dải IP tại cloudflare.com/ips. Hãy cho phép tất cả các dải đó trên cổng 80 và 443. Với ufw:

for ip in $(curl -s https://www.cloudflare.com/ips-v4) $(curl -s https://www.cloudflare.com/ips-v6); do

  sudo ufw allow from "$ip" to any port 80,443 proto tcp
done

Cũng cần kiểm tra:

• Plugin bảo mật như Wordfence, và các công cụ phía máy chủ như Imunify360 hoặc CSF

• Công cụ chặn IP trong bảng điều khiển hosting, ví dụ trong cPanel

• Tường lửa mạng hoặc hệ thống chống DDoS của nhà cung cấp hosting, mà bạn có thể không trực tiếp kiểm soát

Bước 4: Khớp chế độ SSL/TLS với đúng cổng

Cloudflare kết nối qua các cổng khác nhau tùy theo cài đặt SSL/TLS của bạn:

Nếu bạn vừa chuyển sang Full và gặp lỗi 521 ngay lập tức, nhiều khả năng máy chủ của bạn không lắng nghe trên cổng 443.

Bước 5: Kiểm tra bản ghi DNS, bao gồm IPv6

Trong cài đặt DNS của Cloudflare, hãy đảm bảo bản ghi A trỏ tới địa chỉ IP hiện tại của máy chủ. Sau đó tìm bản ghi AAAA (IPv6). Nếu bản ghi này tồn tại nhưng máy chủ không chấp nhận kết nối IPv6, Cloudflare có thể thử qua IPv6 và bị từ chối, trong khi website vẫn chạy bình thường khi bạn kiểm tra qua IPv4. Hãy xóa bản ghi AAAA hoặc cấu hình máy chủ web lắng nghe trên IPv6.

Bước 6: Kiểm tra cấu hình Docker hoặc reverse proxy

Nếu website chạy trong Docker hoặc phía sau công cụ như Nginx Proxy Manager, hãy đảm bảo cổng của container đã được publish, ví dụ -p 80:80 -p 443:443. Đồng thời kiểm tra ứng dụng lắng nghe trên 0.0.0.0, không chỉ trên 127.0.0.1. Ứng dụng chỉ lắng nghe trên localhost sẽ từ chối mọi kết nối từ bên ngoài, kể cả của Cloudflare.

Bước 7: Liên hệ nhà cung cấp hosting

Nếu các cách trên đều không hiệu quả, nhà cung cấp hosting có thể đang chặn Cloudflare ở cấp mạng. Hãy gửi cho họ Ray ID hiển thị ở cuối trang lỗi của Cloudflare, cùng thời điểm xảy ra lỗi. Nhờ đó họ có thể tìm ra chính xác yêu cầu bị chặn.

Vì sao lỗi 521 cứ quay lại

Đây là câu hỏi xuất hiện đầy trên các diễn đàn hosting, và hầu hết hướng dẫn không bao giờ trả lời. Website chạy bình thường, rồi hiện lỗi 521 một lúc, sau đó tự hết.

Nguyên nhân thường gặp: khi đứng sau Cloudflare, mọi khách truy cập đều kết nối tới máy chủ của bạn từ một địa chỉ IP của Cloudflare. Các công cụ bảo mật như fail2ban, CSF hay mod_evasive, hoặc bộ giới hạn tốc độ của chính máy chủ, thấy hàng nghìn yêu cầu từ vài IP, cho rằng đó là một cuộc tấn công và tạm thời cấm các IP này. Những “kẻ tấn công” đó chính là Cloudflare, nên website trả về lỗi 521 cho đến khi lệnh cấm hết hạn.

Cách sửa triệt để gồm hai phần:

1. Cho máy chủ thấy địa chỉ IP thật của từng khách truy cập. Cloudflare gửi địa chỉ này trong header CF-Connecting-IP.

Với Nginx:

nginx

# Repeat set_real_ip_from for every range listed at cloudflare.com/ips

set_real_ip_from 173.245.48.0/20;

real_ip_header CF-Connecting-IP;

For Apache, using mod_remoteip:

apache

RemoteIPHeader CF-Connecting-IP

# Repeat for every range listed at cloudflare.com/ips

RemoteIPTrustedProxy 173.245.48.0/20

2. Thêm các dải IP của Cloudflare vào danh sách bỏ qua của công cụ bảo mật, ví dụ ignoreip trong fail2ban hoặc csf.ignore trong CSF. Khi đó các công cụ chỉ cấm những khách truy cập lạm dụng thật sự, không bao giờ cấm chính Cloudflare.

Lỗi 521 chỉ xuất hiện ở một số quốc gia: kiểm tra từ nhiều vị trí

Đôi khi website chạy hoàn toàn bình thường với bạn nhưng lại hiện lỗi 521 với khách truy cập ở nơi khác. Mỗi trung tâm dữ liệu của Cloudflare kết nối tới máy chủ của bạn từ các dải IP riêng. Nếu tường lửa, hoặc quy tắc chặn theo quốc gia trong công cụ như CSF, chặn một số dải đó, chỉ những khách truy cập được định tuyến qua các trung tâm dữ liệu ấy mới thấy lỗi.

Mọi website dùng Cloudflare đều có sẵn một trang chẩn đoán tại /cdn-cgi/trace. Dòng colo= cho biết trung tâm dữ liệu Cloudflare nào đã xử lý yêu cầu của bạn. Để xem khách truy cập ở các quốc gia khác nhau nhận được kết quả gì, hãy chạy kiểm tra qua proxy dân cư đặt tại những quốc gia đó:

import requests




SITE = "https://example.com"

PROXIES = {  # one proxy per country you want to test

    "US": "http://USERNAME:PASSWORD@GATEWAY_HOST:PORT",

    "DE": "http://USERNAME:PASSWORD@GATEWAY_HOST:PORT",

    "SG": "http://USERNAME:PASSWORD@GATEWAY_HOST:PORT",

}




for country, proxy in PROXIES.items():

    p = {"http": proxy, "https": proxy}

    trace = requests.get(f"{SITE}/cdn-cgi/trace", proxies=p, timeout=15).text

    colo = next((line[5:] for line in trace.splitlines() if line.startswith("colo=")), "?")

    status = requests.get(SITE, proxies=p, timeout=15).status_code

    print(f"{country}: Cloudflare data center {colo}, status {status}")

Nếu một quốc gia trả về 521 trong khi các nơi khác trả về 200, bạn đã tìm ra một khối chặn theo khu vực. Hãy kiểm tra tường lửa và các quy tắc theo quốc gia đối với những dải IP của Cloudflare phục vụ khu vực đó.

Gặp lỗi 521 khi thu thập dữ liệu: đừng lãng phí lưu lượng proxy

Nếu công cụ thu thập dữ liệu (scraper) hoặc công cụ SEO của bạn gặp lỗi 521, máy chủ của website đích đang ngừng hoạt động hoặc đang từ chối Cloudflare. Website không chặn bạn. Đổi sang IP mới sẽ không giúp ích, và mỗi lần thử lại đều tốn lưu lượng.

Thay vào đó, hãy làm như sau:

1. Giãn dần thời gian chờ (back off), đợi lâu hơn sau mỗi lần thử lại, và dừng sau ba hoặc bốn lần

2. Kiểm tra một lần từ khu vực khác. Nếu chỉ một khu vực lỗi, đó là khối chặn theo khu vực từ phía website đích

3. Chuyển URL vào hàng đợi thử lại và để phần còn lại của tác vụ tiếp tục chạy

4. Theo dõi lỗi 521 riêng với các lỗi chặn như 403 hoặc 1020 của Cloudflare, để số liệu tỷ lệ thành công phản ánh đúng thực tế

Với các tác vụ lớn, backconnect-proxy xoay sẽ xử lý việc xoay IP khi bị chặn thật, còn mã của bạn xử lý lỗi 521 bằng cơ chế back off. Trường hợp sử dụng web scraping của chúng tôi cho thấy các nhóm triển khai việc này như thế nào.

Cách phòng tránh lỗi 521

• Giám sát uptime từ nhiều vị trí, để bạn biết về lỗi 521 trước khách truy cập

• Luôn cập nhật danh sách IP của Cloudflare trong tường lửa. Cloudflare thỉnh thoảng thay đổi các dải IP

• Cấu hình máy chủ web tự khởi động lại sau sự cố, ví dụ bằng Restart=always trong dịch vụ systemd

• Khôi phục IP thật của khách truy cập để các công cụ bảo mật không bao giờ cấm Cloudflare

• Thử nghiệm thay đổi SSL và DNS trên một tên miền staging trước khi áp dụng cho website thật

• Theo dõi bộ nhớ và CPU, vì máy chủ hết bộ nhớ sẽ ngừng nhận kết nối

Kết luận

Mã lỗi 521 trông đáng lo, nhưng đây là một trong những lỗi Cloudflare dễ khắc phục hơn cả vì nguyên nhân luôn nằm trên chính máy chủ của bạn. Hãy kiểm tra máy chủ web có đang chạy không, cho phép các dải IP của Cloudflare, khớp chế độ SSL với đúng cổng, và tìm xem có bản ghi AAAA thừa hay không. Nếu lỗi cứ quay lại, hãy ngăn các công cụ bảo mật cấm Cloudflare. Nếu lỗi chỉ xuất hiện ở một số quốc gia, hãy kiểm tra từ chính những quốc gia đó trước khi thay đổi bất cứ điều gì.