Ошибка 522 Connection timed out: как устранить тайм-аут между Cloudflare и сервером

Что означает ошибка 522 Connection timed out

Ошибка 522 Connection timed out относится к группе кодов 5xx, которые генерирует Cloudflare, а не origin-сервер. Она появляется, если Cloudflare не смог установить TCP-соединение с вашим сервером за 15 секунд. По сути это обрыв на этапе handshake — сервер вообще не откликнулся на попытку подключения.

Здесь важно отличать 522 от ошибок 502 и 504. Те возникают уже после того, как соединение установлено: сервер принял запрос, но ответил некорректно или слишком долго формировал HTTP-ответ. Ошибка 522 фиксируется раньше — соединение не открылось вовсе, поэтому причину нужно искать в сети или в состоянии сервера, а не в коде приложения.

Ошибку 522 видят все посетители сайта, а не отдельные пользователи или регионы. Это отличает её от локальных сбоев, когда сайт недоступен только для части аудитории. Раз Cloudflare не может достучаться до сервера ни по одному из портов 80 и 443, страница не откроется ни у кого, независимо от браузера или геолокации.

Типичные причины, по которым TCP-соединение не устанавливается вовремя:

• firewall на сервере блокирует IP-диапазоны Cloudflare (официальный список включает более 20 подсетей IPv4)
• веб-сервер перегружен и не успевает принимать новые подключения
• служба на портах 80/443 упала или зависла

Если после диагностики выяснится, что проблема в нехватке ресурсов сервера, разумнее сразу подобрать VPS с запасом мощности, чем повторно чинить симптомы.

Как Cloudflare проверяет соединение с сервером

Когда пользователь открывает сайт, запрос сначала попадает не на ваш сервер, а на прокси-сеть Cloudflare. Она принимает соединение от браузера, а затем сама обращается к вашему серверу — его называют origin-сервером. Только после успешного ответа origin-сервера Cloudflare отдаёт страницу посетителю.

Перед отправкой любого HTTP-запроса Cloudflare сначала пытается установить TCP-соединение (Transmission Control Protocol) по портам 80 и 443. Это как звонок на этап рукопожатия: сервер должен просто снять трубку, ещё до того как пойдёт разговор об HTTP. Если origin-сервер не отвечает на этом этапе в течение 15 секунд, Cloudflare фиксирует обрыв и показывает посетителю ошибку 522.

Важный нюанс: запросы к origin-серверу приходят не с произвольных адресов, а с конкретных IP-диапазонов Cloudflare. Официальный список включает более 20 подсетей IPv4, и firewall на сервере должен разрешать входящие подключения именно от них по портам 80 и 443. Если хотя бы одна нужная подсеть заблокирована, соединение обрывается, а сайт при этом продолжает нормально работать в обход Cloudflare.

Коротко порядок проверки со стороны Cloudflare выглядит так:

• браузер посетителя отправляет запрос на домен, привязанный к Cloudflare;
• Cloudflare как прокси пытается открыть TCP-соединение с origin-сервером по портам 80/443;
• при успешном handshake отправляется HTTP-запрос и ожидается ответ сервера;
• если TCP-соединение не устанавливается за 15 секунд, фиксируется ошибка 522.

Настройки прокси и правила подключения к origin-серверу можно проверить и скорректировать в панели Cloudflare — как это сделать, разобрано в инструкции по настройке Cloudflare.

Основные причины ошибки 522 на сервере

Ошибка 522 возникает, если сервер не ответил на TCP-соединение в течение 15 секунд. Причина почти всегда лежит на стороне origin-сервера, а не Cloudflare. Проверять нужно последовательно: от сети до конфигурации веб-сервера.

Чаще всего проблема связана с файрволом: сервер блокирует IP-адреса Cloudflare, и запрос просто не доходит. Официальный список IP-диапазонов Cloudflare включает более 20 подсетей IPv4, и на origin-сервере должны быть открыты порты 80 и 443 именно для них.

Другая частая причина — перегрузка сервера. Высокий load average означает, что процессор не успевает обрабатывать входящие соединения, и они обрываются по таймауту. Реже встречаются ошибки DNS, отказ веб-сервера и конфликт SSL-режима в Cloudflare.

При правильной настройке firewall ошибка обычно устраняется за 10–15 минут. Если причина в постоянных всплесках нагрузки, а не в разовом сбое, стоит разобраться с источником трафика — читайте, как распознать DDoS-атаку на сервер.

Как исправить ошибку 522 — пошаговая диагностика

Ошибку 522 устраняют по шагам, а не наугад: сначала проверяют доступность origin-сервера, потом порты, потом состояние веб-сервера и нагрузку. Такой порядок экономит время, потому что каждый шаг сужает круг причин. При правильной настройке firewall проблема обычно решается за 10–15 минут.

Для диагностики понадобится доступ к серверу по SSH и IP-адрес origin-сервера (реальный IP сайта, скрытый за Cloudflare). Каждую команду выполняют по очереди и фиксируют результат — это поможет понять, на каком этапе рвётся соединение.

1. Проверьте доступность сервера командой ping ORIGIN_IP. Если пакеты не проходят, сервер недоступен на сетевом уровне — проблема в хостинге или сети.
2. Проверьте порт 443 командой telnet ORIGIN_IP 443. Если порт закрыт, Cloudflare не сможет установить TCP-соединение в течение 15 секунд и зафиксирует ошибку 522.
3. Отправьте тестовый запрос командой curl -I https://ORIGIN_IP -k --resolve ваш-домен.ru:443:ORIGIN_IP. Флаг -k игнорирует ошибку сертификата, а --resolve обращается напрямую к origin-серверу в обход DNS.
4. Проверьте статус веб-сервера командой systemctl status nginx (для Apache — systemctl status apache2). Статус active (running) означает, что служба работает.
5. Оцените нагрузку сервера через htop или top. Если load average превышает число ядер процессора в 2 раза, сервер не успевает обрабатывать запросы и обрывает handshake.
6. Откройте порты 80 и 443 для диапазонов Cloudflare. Добавьте правило в ufw: ufw allow from 173.245.48.0/20 to any port 443 — и повторите команду для остальных 20+ подсетей IPv4 из официального списка.
7. Для iptables добавьте аналогичные правила: iptables -A INPUT -s 173.245.48.0/20 -p tcp --dport 443 -j ACCEPT.
8. Перезапустите веб-сервер командой systemctl restart nginx и подождите 2–3 минуты для обновления состояния соединения.
9. Проверьте сайт через браузер или curl -I https://ваш-домен.ru. Если ошибка 522 повторяется при высокой нагрузке, серверу не хватает ресурсов — тогда стоит разобраться с выбором VPS.

Сколько стоит устранить проблему и какой VPS выбрать

Для небольшого сайта на CMS без высокой посещаемости хватает VPS с 1 vCPU и 2 ГБ оперативной памяти. Такой конфигурации достаточно, чтобы сервер успевал открывать TCP-соединение за 15 секунд и не отдавал ошибку 522 из-за банальной нехватки ресурсов. Если сайт держит интернет-магазин, каталог с фильтрами или заметный поток посетителей, берите минимум 2 vCPU и 4 ГБ оперативной памяти — на пиках нагрузки процессор не будет упираться в лимит, и веб-сервер продолжит принимать входящие подключения без задержек.

По деньгам ориентируйтесь на диапазон 190–990 ₽/мес: нижняя граница — это базовые тарифы под лендинги и блоги, верхняя — конфигурации с запасом под рост трафика и резервным местом на диске. Тариф с 2 vCPU и 4 ГБ оперативной памяти обычно стоит от 290 ₽/мес и закрывает потребности большинства проектов среднего размера. Прежде чем платить за апгрейд, стоит понять природу ошибки: 522 Connection timed out возникает либо из-за перегрузки сервера, либо из-за блокировки firewall на портах 80 и 443.

Апгрейд ресурсов помогает не всегда:

• Реально снимает 522: сервер регулярно уходит в 100% CPU или ОЗУ при наплыве посетителей, и соединения ставятся в очередь дольше 15 секунд.
• Не поможет апгрейд: firewall блокирует IP-диапазоны Cloudflare — тогда сервер просто не видит входящий пакет, и лишние гигабайты памяти ничего не изменят.
• Смешанный случай: слабый тариф справляется в обычные часы, но падает в пиковую нагрузку — здесь переход на 2 vCPU и 4 ГБ оперативной памяти закрывает вопрос за один шаг.

Если сомневаетесь, какой тариф покроет ваш случай, разберите параметры VPS перед покупкой.

Частые ошибки при устранении 522

При диагностике ошибки 522 новички чаще всего борются не с причиной, а с симптомом, и проблема через день-два возвращается. Типичные ошибки — отключение Cloudflare через DNS, перезагрузка сервера вслепую, неполный белый список IP-адресов и перекладывание вины на Cloudflare.

Отключение Cloudflare через DNS

Сайт начинает открываться, но сервер теряет защиту от DDoS, а прямой доступ по IP становится виден всем. Вместо этого настройте firewall: откройте порты 80 и 443 для диапазонов Cloudflare.

Перезагрузка сервера вслепую

Сервер перезагружают, не открыв логи nginx или apache, и теряют 10–15 минут на действие, которое ничего не чинит. Сначала смотрите логи и сетевой доступ.

В белом списке один IP вместо диапазона

Список Cloudflare включает более 20 подсетей IPv4, и один пропуск снова даёт 522. Добавляйте в белый список весь диапазон, а не отдельный IP-адрес.

Вину перекладывают на Cloudflare

Раз ошибка из группы 5xx, кажется, что виновата сама Cloudflare, хотя её серверы лишь фиксируют отсутствие ответа за 15 секунд. Искать причину нужно на своём сервере.

Сервер не справляется с нагрузкой

Сервер с нехваткой ОЗУ регулярно даёт таймаут при пиках. Если после проверки firewall и логов ошибка сохраняется, стоит посмотреть VPS с запасом по ресурсам — это снимает причину таймаутов на стороне сервера.

В первую очередь проверяйте правила firewall для всего диапазона Cloudflare, затем логи веб-сервера и запас ресурсов.

522 в сравнении с другими ошибками Cloudflare 5xx

Код 522 — не единственная ошибка группы 5xx, с которой сталкиваются владельцы сайтов за Cloudflare. Похожие коды 521, 502, 504 и 525 выглядят одинаково пугающе для новичка, но означают разные проблемы и требуют разных действий. Прежде чем чинить сервер, важно понять, на каком именно этапе произошёл сбой.

Главное отличие — момент обрыва. Ошибка 522 возникает ещё до установки TCP-соединения, то есть Cloudflare не смогла даже «достучаться» до сервера за 15 секунд. Остальные коды говорят о том, что соединение установилось, но что-то пошло не так дальше: сервер отклонил хендшейк, вернул некорректный ответ или ответил слишком медленно.

Таблица ниже помогает быстро определить свою ситуацию и понять, на чьей стороне искать причину.

Во всех пяти случаях проблема находится на стороне origin-сервера, а не Cloudflare — это ключевое отличие от ошибок вроде 520 или 530, где чаще виновата сама сеть Cloudflare. Если после диагностики порты открыты, сертификат действителен, а сервер всё равно не справляется с нагрузкой, дело в ресурсах. В этом случае поможет подобрать VPS с запасом мощности.

Когда самостоятельное решение не поможет и нужен другой VPS

Настройка firewall убирает ошибку 522, если проблема была в закрытых портах 80 и 443 или в блокировке IP-диапазонов Cloudflare. Но если сервер регулярно упирается в лимиты CPU и оперативной памяти на пиках нагрузки, ошибка возвращается снова и снова: сервер не успевает принять TCP-соединение за 15 секунд, потому что все ресурсы заняты обработкой текущих запросов. В этом случае править правила фильтрации бесполезно — проблема не в сети, а в мощности тарифа.

Такая ситуация типична для сайтов, которые выросли из своего тарифа: трафик увеличился, а конфигурация VPS осталась прежней. Второй частый случай — хостинг с нестабильной инфраструктурой, где сервер уходит в простой по несколько раз в неделю независимо от настроек. Ни один firewall не компенсирует физическую нехватку ресурсов или аварии на стороне провайдера.

Признаки, что нужен переход на другой VPS, а не очередной ручной фикс:

• ошибка 522 появляется именно в часы пиковой посещаемости, а не постоянно;
• мониторинг показывает загрузку CPU или ОЗУ выше 90% в моменты сбоя;
• простои случаются чаще одного раза в неделю без видимой причины;
• текущий тариф выбирался под меньший трафик и не пересматривался.

Оптимальный вариант — VPS с 2 vCPU и 4 ГБ ОЗУ: такой конфигурации хватает с запасом, чтобы не упираться в лимиты на пиках, а стоит она от 290 ₽/мес. Сравнить тарифы и подобрать VPS под свой трафик проще, чем каждый раз разбираться с новым простоем сервера.