Bedakan 522 connection timed out dari 523 origin unreachable dengan alur bukti DNS, TCP, firewall, dan routing agar investigasi tidak salah arah.
Mengumpulkan bukti untuk menentukan apakah kegagalan berada pada koneksi TCP/ACK ke origin atau pada reachability/routing menuju origin, lalu memilih next step yang sesuai.
PersiapanAkses baca DNS Cloudflare, terminal dengan curl/dig, dan bila memungkinkan log/firewall/network path origin. Artikel ini panduan diagnosis, bukan laporan insiden produksi.
522 dan 523 sama-sama muncul pada jalur Cloudflare-to-origin, tetapi artinya berbeda. 522 menunjukkan koneksi atau acknowledgment ke origin mengalami timeout, sedangkan 523 menunjukkan origin tidak dapat dijangkau. Menyamakan dua error ini membuat pemeriksaan firewall, DNS origin, dan routing tercampur.
Sebelum mengubah konfigurasi, catat hostname, waktu kejadian, Ray ID jika tersedia, status proxy DNS, origin IP yang seharusnya aktif, region pengguna, dan apakah error terjadi terus-menerus atau intermittent. Bukti waktu penting untuk dicocokkan dengan log origin/firewall.
Ambil response header dan simpan status. Jika Cloudflare mengirim header diagnostik yang relevan, catat bersama CF-RAY. Jangan hanya mengandalkan screenshot browser karena header dan timestamp lebih mudah dikorelasikan dengan log.
curl -sS -D - -o /dev/null https://example.com | grep -iE '^(HTTP/|cf-ray:|cf-error-type:|server:)'Cloudflare mendokumentasikan 522 sebagai connection timed out. Penyebab umum termasuk Cloudflare IP diblokir atau di-rate-limit, origin overload/offline, origin IP salah, packet loss, atau keepalive/ACK yang tidak selesai. Bukti yang dicari adalah apakah koneksi dari Cloudflare mencapai origin dan apakah origin memberi respons tepat waktu.
Cari timestamp dan source IP Cloudflare pada firewall/web server log. Jika tidak ada koneksi sama sekali, fokus ke filtering, routing, atau IP origin. Jika koneksi terlihat tetapi lambat/tidak selesai, fokus ke resource origin, connection limit, backlog, aplikasi, atau packet loss. Pastikan rule firewall mengizinkan range Cloudflare yang dibutuhkan dan tidak hanya satu IP edge.
523 berarti Cloudflare tidak dapat mencapai origin. Periksa bahwa A/AAAA di Cloudflare menunjuk ke origin yang benar, origin masih memiliki IP tersebut, dan route menuju origin tersedia. Jika provider/ISP mengubah routing atau prefix, service di origin dapat sehat secara lokal tetapi tetap tidak reachable dari Cloudflare.
Pada record Proxied, dig terhadap hostname publik biasanya menampilkan alamat Cloudflare. Karena itu origin IP harus diverifikasi dari dashboard Cloudflare dan panel/provider origin, bukan ditebak dari jawaban DNS publik.
dig example.com A
dig example.com AAAAJika error berulang dan Anda memiliki akses origin, gunakan log, traceroute/MTR, atau data routing yang diizinkan untuk melihat jalur ke alamat Cloudflare yang relevan. Jalankan pengujian terarah, bukan scan luas. Untuk kasus intermittent, kumpulkan beberapa sampel waktu karena satu traceroute sehat tidak meniadakan packet loss sesaat.
Jika origin IP di DNS salah, baik 522 maupun 523 dapat muncul tergantung kondisi jalur. Namun jika TCP/TLS ke origin sehat dan aplikasi membalas 5xx sendiri, investigasi berpindah ke aplikasi/origin response, bukan lagi reachability. Jangan menggunakan label 52x sebagai alasan mengabaikan log aplikasi.
Jangan mengubah record ke DNS only sebagai solusi permanen hanya untuk menghindari 52x karena itu membypass security edge. Jangan allowlist satu IP Cloudflare dari satu request. Jangan menganggap ping ke origin cukup membuktikan port web sehat. Jangan menyimpulkan routing normal dari satu lokasi saja ketika error intermittent.
Untuk 522: verifikasi origin IP, firewall/rate limit, koneksi masuk dari Cloudflare, resource origin, ACK/response, dan packet loss. Untuk 523: verifikasi origin IP, prefix/routing, reachability, dan perubahan ISP/provider. Setelah perbaikan, ulangi request dari lebih dari satu jaringan dan cocokkan dengan log pada timestamp yang sama.
522 mengarahkan diagnosis ke timeout koneksi atau acknowledgment; 523 mengarahkan diagnosis ke reachability dan routing. Dengan memisahkan DNS, firewall, TCP, route, dan aplikasi, perbaikan dapat dilakukan pada komponen yang benar tanpa membypass Cloudflare secara tidak perlu.