Error 521: web server is down

Cloudflare 521 오류는 원본 웹 서버가 Cloudflare에서 오는 연결을 거부했을 때 표시됩니다. 브라우저와 Cloudflare 사이는 연결됐지만, Cloudflare가 원본 서버로 연결을 시도하는 단계에서 거부당한 상태입니다.

521은 원인 자체가 아니라 원본 서버가 연결을 거부했다는 관찰 결과입니다.

출처가 밝힌 원인

Cloudflare 문서는 521의 주요 원인을 두 가지로 정리합니다.

• 원본 웹 서버 애플리케이션이 오프라인 상태인 경우
• 보안 솔루션이 Cloudflare의 요청을 차단하는 경우

구간별로 확인해야 하는 이유

관찰 위치	확인할 내용
원본 서버	웹 서버 프로세스 실행 여부와 오류 로그의 다운·중단 흔적
방화벽·보안 솔루션	전체 Cloudflare IP 범위의 차단·속도 제한 여부
수신 포트	SSL/TLS 모드에 맞는 포트(Flexible 80, Full·Full Strict 443) 수신 대기
SSL/TLS 구성	Full·Full Strict 모드에서 원본의 HTTPS와 유효 인증서 지원 여부

Cloudflare 경유 요청과 원본 서버 직접 요청을 구분하면 연결을 거부하는 구간을 더 빠르게 좁힐 수 있습니다. 요청 전달 구조는 CDN 구성요소에서 확인할 수 있습니다.

521은 원본 서버가 연결을 거부한 상태이고, 522(connection timed out)는 연결이 시간 초과된 상태라는 점이 다릅니다. [Hypothesis] 두 오류 모두 Cloudflare와 원본 사이 구간의 문제지만, 거부와 시간 초과는 확인해야 할 원인이 다를 수 있습니다.

방화벽에서 Cloudflare IP 범위를 허용하기 전에 기존 규칙을 백업하고, 문제가 재현되면 즉시 되돌립니다.

오진 함정

• [Observation] 원본 IP에 직접 접근할 수 있어도 Cloudflare 경유 요청은 521로 실패한 사례가 2건 있었습니다.
• [Observation] VM 유형 변경 뒤 발생한 521은 네트워크 차단이 아니라 기본 Apache와 Bitnami Apache의 서비스 충돌이 원인이었습니다.
• [Hypothesis] 원본 IP 접속 성공만으로 Cloudflare와 원본 서버 사이의 연결 문제나 웹 서버 프로세스 문제를 제외하지 않는 편이 좋습니다.

환경 매트릭스

환경 또는 변경	증상	확인된 원인 또는 점검 대상	수정 또는 조치
AWS EC2 서브도메인	직접 IP 접속 가능, Cloudflare 경유 521	보안 그룹, NACL, 웹 서버 수신 포트의 Cloudflare 요청 허용 여부	80/443 및 임시 포트 규칙 점검
Google Cloud VM 유형 변경 후 WordPress	도메인에서 521	기본 Apache와 Bitnami Apache 충돌	충돌 서비스 중지, Bitnami 스택 재시작
EC2 재부팅 후 Rails/nginx	직접 IP 접속 가능, Cloudflare 경유 521	Cloudflare IP 범위 차단 정황	방화벽과 공급자 네트워크의 Cloudflare 원본 IP 허용 여부 점검

진단 순서

1. [Observation] 원본 IP 직접 접근 가능 여부를 확인한 사례가 있었습니다.
2. [Observation] Cloudflare 요청을 대상으로 보안 그룹, NACL, 방화벽, 공급자 네트워크의 허용 규칙을 점검한 사례가 있었습니다.
3. [Observation] 웹 서버 수신 포트와 서비스 충돌 여부를 점검한 사례가 있었습니다.
4. [Hypothesis] 인프라 변경 또는 재부팅 직후 발생했다면, 해당 변경으로 영향을 받은 방화벽 규칙과 웹 서버 프로세스를 우선 비교하는 편이 좋습니다.