Cloudflare 5XXエラーのトラブルシューティング
ほとんどの5XXエラーをトラブルシューティングする際の正しい行動は、まずホスティングプロバイダーまたはサイト管理者に連絡して、トラブルシューティングを行い、データを収集することです。
ホスティングプロバイダーに連絡する際は、以下の情報を提供してください：
- 特定の5XXエラーコードとメッセージ。
- 5XXエラーが発生した時間とタイムゾーン。
- HTTP 5XXエラーを引き起こしたURL（例：
https://www.example.com/images/icons/image1.png）。
エラーの原因は、必ずしもオリジンサーバーのエラーログに見つかるわけではありません。Cloudflareとオリジンウェブサーバーの間にあるすべてのロードバランサー、キャッシュ、プロキシ、またはファイアウォールのログを確認してください。
ホスティングプロバイダーまたはサイト管理者に提供する追加の詳細は、以下の各エラーの説明内に記載されています。Cloudflareのカスタムエラーページは、この記事で説明されているデフォルトのエラーページの外観を変更します。
ドメインごとのエラー分析は、ゾーン分析内で利用可能です。エラー分析は、HTTPエラーコードごとの全体的なエラーの洞察を提供し、問題を診断して解決するために必要なURL、ソースIPアドレス、およびCloudflareデータセンターを提供します。エラー分析は1％のトラフィックサンプルに基づいています。
エラー分析を表示するには：
- Cloudflareダッシュボードにログインします。
- サイトに適切なCloudflare アカウントをクリックし、次にドメインを選択します。
- 次に、Analytics & Logsアプリのアイコンをクリックします。
- フィルターを追加をクリックし、エッジステータスコードまたはオリジンステータスコードを選択し、診断したい任意の5xxエラーコードを選択します。
エラー500は、一般的にオリジンサーバーに問題があることを示します。データベース接続の確立エラーは、オリジンサーバーによって生成される一般的なHTTP 500エラーメッセージです。ホスティングプロバイダーに連絡して解決してください。
解決策
ホスティングプロバイダーに詳細を提供して、問題のトラブルシューティングを支援します。
ただし、500エラーに「cloudflare」または「cloudflare-nginx」がHTMLレスポンスボディに含まれている場合は、以下の情報をCloudflareサポートに提供してください：
- あなたのドメイン名
- 500エラーが発生した時間とタイムゾーン
- 500エラーが観察されたブラウザからの
www.example.com/cdn-cgi/traceの出力（www.example.comを実際のドメインとホスト名に置き換えてください）
HTTP 502または504エラーは、Cloudflareがオリジンサーバーとの接続を確立できない場合に発生します。
考えられる原因は2つあります：
- （最も一般的な原因）オリジンサーバーからの502/504
- Cloudflareからの502/504
Cloudflareは、オリジンサーバーが標準のHTTP 502不正なゲートウェイまたは504ゲートウェイタイムアウトエラーで応答した場合、CloudflareブランドのHTTP 502または504エラーを返します：
解決策
ホスティングプロバイダーに連絡して、オリジンサーバーでのこれらの一般的な原因をトラブルシューティングしてください：
- オリジンサーバーが502または504エラーを生成した訪問者のURL内のホスト名とドメインへのリクエストに応答することを確認してください。
- 過剰なサーバーロード、クラッシュ、またはネットワーク障害を調査してください。
- タイムアウトまたはブロックされたアプリケーションやサービスを特定してください。
Cloudflareから発生した502または504エラーは、次のように表示されます：
エラーに「cloudflare」が含まれていない場合は、オリジンからの502/504エラーについてホスティングプロバイダーに連絡してください。
このエラーは、オリジンでの圧縮の問題が原因で返されることがあります。たとえば、オリジンサーバーがgzipエンコードされた圧縮コンテンツを提供しているが、content-lengthヘッダーを更新していない場合や、オリジンが壊れたgzip圧縮コンテンツを提供している場合です。このエラーの根本原因が圧縮であるか確認するために、オリジンでの圧縮を無効にしてみてください。
さもなければ、特定の条件下で、特定のデータセンターがトラフィックの急増を観察する可能性があります。この場合、当社の自動プロセスは、その場所からトラフィックを別のデータセンターに移動させ、顧客に影響がないようにします。これらのトラフィック調整はほとんどシームレスで、数秒しかかかりません。それでも、この自動プロセス中に一部のクライアントが追加のレイテンシーやHTTP 502エラーを観察する可能性があります。自動トラフィック管理ツールについての詳細は、このブログ投稿 ↗で確認できます。
解決策
さらに調査するためにサポートチームの支援が必要な場合は、以下の必要な詳細をCloudflareサポートに提供して、問い合わせの処理に遅延が生じないようにしてください：
- 問題が発生した時間とタイムゾーン。
- HTTP 502または504レスポンスを引き起こしたURL（例：
https://www.example.com/images/icons/image1.png）。 http://<YOUR_DOMAIN>/cdn-cgi/traceにアクセスした際の出力。
HTTPエラー503は、オリジンサーバーが過負荷のときに発生します。エラーメッセージによって識別できる2つの可能な原因があります：
- エラーにHTMLレスポンスボディに「cloudflare」または「cloudflare-nginx」が含まれていない。
解決策: ホスティングプロバイダーに連絡して、オリジンサーバーへのリクエストにレート制限がかかっているか確認してください。
- エラーにHTMLレスポンスボディに「cloudflare」または「cloudflare-nginx」が含まれている。
解決策: Cloudflareデータセンターで接続の問題が発生しました。以下の情報をCloudflareサポートに提供してください：
- あなたのドメイン名
- 503エラーが発生した時間とタイムゾーン
- 503エラーが観察されたブラウザからの
www.example.com/cdn-cgi/traceの出力（www.example.comを実際のドメインとホスト名に置き換えてください）
エラー520は、オリジンサーバーがCloudflareに対して空の、不明な、または予期しないレスポンスを返すときに発生します。
解決策
ホスティングプロバイダーまたはサイト管理者に連絡し、オリジンサーバーのエラーログを確認してクラッシュを調査し、以下の一般的な原因を確認するよう依頼してください：
- オリジンサーバーアプリケーションのクラッシュ
- Cloudflare IP ↗がオリジンで許可されていない
- ヘッダーが16 KBを超えている（通常はクッキーが多すぎるため）
- HTTPステータスコードやレスポンスボディが欠如したオリジンサーバーからの空のレスポンス
- レスポンスヘッダーが欠落しているか、オリジンサーバーが適切なHTTPエラーレスポンス ↗を返していない。
オリジンサーバーでHTTP/2が有効になっている場合は、HTTP/2が正しく構成されていることを確認してください。Cloudflareは、ALPN ↗を介してHTTP/2接続のサポートを発表したサーバーに接続します。オリジンサーバーがHTTP/2接続を受け入れますが、プロトコルを尊重またはサポートしない場合、HTTPエラー520が返されます。Cloudflareダッシュボード ↗のSpeed -> Optimization -> Protocol OptimizationでHTTP/2 to Originの設定を無効にし、オリジンサーバーの構成をさらに確認してください。
ホスティングプロバイダーまたはサイト管理者に連絡した後も520エラーが続く場合は、以下の情報をCloudflareサポートに提供してください：
- エラーが発生した際にリクエストされたリソースの完全なURL
- 520エラーメッセージからのCloudflare cf-ray
http://<YOUR_DOMAIN>/cdn-cgi/traceからの出力- 2つのHARファイル:
- 1つは、あなたのウェブサイトでCloudflareが有効になっているときのもので、
- もう1つは、Cloudflareが一時的に無効になっている ↗ときのものです。
エラー521は、オリジンサーバーがCloudflareからの接続を拒否する場合に発生します。オリジンでのセキュリティソリューションが、特定のCloudflare IPアドレス ↗からの正当な接続をブロックすることがあります。
521エラーの最も一般的な原因は次の2つです：
- オフラインのオリジンサーバーアプリケーション
- ブロックされたCloudflareリクエスト
解決策
サイト管理者またはホスティングプロバイダーに連絡して、これらの一般的な原因を排除してください：
- オリジンサーバーが応答していることを確認してください
- オリジンサーバーのエラーログを確認して、ウェブサーバーアプリケーションのクラッシュや停止を特定してください。
- Cloudflare IPアドレス ↗がブロックまたはレート制限されていないことを確認してください
- オリジンサーバーのファイアウォールやその他のセキュリティソフトウェアで、すべてのCloudflare IP範囲 ↗を許可してください
- SSL/TLSモードがフルまたは**フル（厳密）**に設定されている場合は、Cloudflareオリジン証明書をインストールしていることを確認してください
- Cloudflareコミュニティ ↗で追加のトラブルシューティング情報を見つけてください。
エラー522は、Cloudflareがオリジンサーバーへの接続をタイムアウトした場合に発生します。Cloudflareとオリジンサーバーの間で発生するタイムアウトには2つの異なる原因があります：
- 接続が確立される前に、オリジンサーバーがCloudflareからのSYNに対して15秒以内にSYN+ACKを返さない。
- 接続が確立された後、オリジンサーバーがCloudflareのリソースリクエストに対して90秒以内にACKを返さない。
解決策
ホスティングプロバイダーに連絡して、オリジンサーバーでの以下の一般的な原因を確認してください：
- （最も一般的な原因）Cloudflare IPアドレス ↗が.htaccess、iptables、またはファイアウォールでレート制限またはブロックされている。ホスティングプロバイダーがCloudflare IPアドレスを許可していることを確認してください。
- 過負荷またはオフラインのオリジンサーバーが着信リクエストをドロップします。
- オリジンサーバーでKeepalivesが無効になっています。
- Cloudflare DNSアプリのオリジンIPアドレスが、ホスティングプロバイダーによってオリジンサーバーに現在プロビジョニングされているIPアドレスと一致しない。
- オリジンサーバーでパケットがドロップされました。
Cloudflare Pagesを使用している場合は、カスタムドメインが設定されていることを確認し、CNAMEレコードがカスタムPagesドメインを指していることを確認してください。
上記のいずれも解決策につながらない場合は、Cloudflareサポートに連絡する前に、ホスティングプロバイダーまたはサイト管理者に以下の情報をリクエストしてください：
- 問題が発生する前にオリジンサーバーから最も一般的に接続されたCloudflare IPアドレス ↗へのMTRまたはtraceroute。
- ホスティングプロバイダーの調査からの詳細、関連するログやホスティングプロバイダーとの会話など。
エラー523は、Cloudflareがオリジンサーバーに連絡できない場合に発生します。これは通常、Cloudflareとオリジンサーバーの間のネットワークデバイスがオリジンのIPアドレスへのルートを持っていない場合に発生します。
解決策 ホスティングプロバイダーに連絡して、オリジンサーバーでの以下の一般的な原因を排除してください：
- Cloudflare DNSアプリ内のAまたはAAAAレコードに正しいオリジンIPアドレスがリストされていることを確認してください。
- オリジンとCloudflareの間、またはオリジン自体のインターネットルーティングの問題をトラブルシューティングしてください。
上記のいずれも解決策につながらない場合は、ホスティングプロバイダーまたはサイト管理者に以下の情報をリクエストしてください：
- 問題が発生する前にオリジンサーバーから最も一般的に接続されたCloudflare IPアドレス ↗へのMTRまたはtraceroute。
エラー524は、通常、Cloudflareがオリジンサーバーに正常に接続したが、オリジンがデフォルトの100秒プロキシ読み取りタイムアウトの前にHTTPレスポンスを提供しなかったことを示します。これは、オリジンサーバーが処理する作業が多すぎるために時間がかかっている場合（例：大きなデータクエリ）や、サーバーがリソースに苦しんでいて、時間内にデータを返せない場合に発生する可能性があります。
エラー524は、Cloudflareがオリジンサーバーにデータを書き込むために正常に接続したが、30秒のプロキシ書き込みタイムアウトの前に書き込みが完了しなかったことを示すこともあります。
解決策
この問題を回避するために提案するオプションは次のとおりです：
- 大きなHTTPプロセスのステータスポーリングを実装して、このエラーに達しないようにします。
- ホスティングプロバイダーに連絡して、オリジンサーバーでの以下の一般的な原因を排除してください：
- オリジンサーバーでの長時間実行されるプロセス。
- 過負荷のオリジンサーバー。
- エンタープライズ顧客は、ゾーン設定の編集エンドポイントを使用して524タイムアウトを最大6,000秒まで増加させることができます（
proxy_read_timeout設定）。コンテンツがキャッシュ可能な場合は、CloudflareダッシュボードでProxy Read Timeout設定を選択したキャッシュルールを使用することもできます。
- HTTPリクエストが100秒以上かかる場合（例えば、大規模なデータエクスポートなど）、Cloudflare DNS アプリでプロキシされていないサブドメインの背後にそのプロセスを移動してください（グレーの雲）。
525エラーは、Cloudflareとオリジンウェブサーバー間のSSLハンドシェイクが失敗したことを示します。エラー525が発生するのは、次の2つの条件が真であるときです：
- Cloudflareとオリジンウェブサーバー間のSSLハンドシェイク ↗が失敗し、
- CloudflareのSSL/TLSアプリの概要タブでフルまたはフル（厳密） SSLが設定されている。
解決策
ホスティングプロバイダーに連絡して、オリジンウェブサーバーで以下の一般的な原因を除外してください：
- 有効なSSL証明書がインストールされていない
- ポート443（または他のカスタムセキュアポート）が開いていない
- SNIサポートがない
- Cloudflareがオリジンに提示したcipher suitesがオリジンウェブサーバーがサポートするcipher suitesと一致しない
追加のチェック
- オリジンサーバーに証明書がインストールされているか確認してください。テストを実行する方法については、この記事を参照してください。証明書がない場合は、無料のCloudflareオリジンCA証明書を作成してインストールできます。オリジンCA証明書を使用すると、Cloudflareとオリジンウェブサーバー間のトラフィックを暗号化できます。
- Cloudflareがサポートするcipher suitesと一致するように、サーバーが使用しているcipher suitesを確認してください。
- 525が発生したタイムスタンプからサーバーのエラーログを確認し、SSLハンドシェイク中に接続がリセットされる原因となるエラーがないか確認してください。
エラー526は、次の2つの条件が真であるときに発生します：
- CloudflareがオリジンウェブサーバーのSSL証明書を検証できない、そして
- CloudflareのSSL/TLSアプリの概要タブでフルSSL（厳密） SSLが設定されている。
解決策
サーバー管理者またはホスティングプロバイダーに依頼して、オリジンウェブサーバーのSSL証明書を確認し、以下を確認してください：
- 証明書が期限切れでない
- 証明書が取り消されていない
- 証明書が認証局 ↗によって署名されている（自己署名ではない）
- リクエストされたまたはターゲットのドメイン名とホスト名が証明書のコモンネームまたはサブジェクト代替名に含まれている
- オリジンウェブサーバーがSSLポート443で接続を受け入れる
- Cloudflareを一時的に停止し、https://www.sslshopper.com/ssl-checker.html#hostname=www.example.com ↗（
www.example.comをホスト名とドメインに置き換え）にアクセスして、オリジンSSL証明書に問題がないことを確認します：
オリジンサーバーが自己署名証明書を使用している場合は、ドメインをフル SSLに設定してください（*フルSSL（厳密）*の代わりに）。オリジンに推奨されるSSL設定を参照してください。
Cloudflare Gatewayを使用している場合、HTTPエラー526は次のケースで返されることがあります：
-
オリジンからGatewayに提示された証明書が信頼されていない。 Gatewayは、次のいずれかの条件が真である場合、証明書を信頼されていないと見なします：
- サーバー証明書の発行者が不明であるか、サービスによって信頼されていない。
- サーバー証明書が取り消され、CRLチェックに失敗している。
- サーバー証明書の証明書チェーンに期限切れの証明書が少なくとも1つ含まれている。
- 証明書のコモンネームが、アクセスしようとしているURLと一致しない。
- 証明書のコモンネームに無効な文字（アンダースコアなど）が含まれている。Gatewayは、証明書を検証するためにBoringSSL ↗を使用します。Chromeの検証ロジック ↗は、非RFC 1305準拠の証明書を許可するため、WARPをオフにするとウェブサイトが読み込まれることがあります。
-
Gatewayからオリジンへの接続が安全でない。 Gatewayは、次の条件を満たすオリジンを信頼しません：
- 安全でないcipher suites（RC4、RC4-MD5、または3DESなど）のみを提供する。オリジンがサポートするcipherを確認するには、SSL Server Testツール ↗を使用できます。
- FIPS準拠のcipherをサポートしていない（FIPS準拠モードを有効にしている場合）。ページを読み込むには、FIPSモードを無効にするか、このホストのために検査しないポリシーを作成する必要があります（これにより、このオリジンのFIPS準拠が無効になります）。
- すべてのHTTPSリクエストをHTTPにリダイレクトする。
Cloudflareゾーン外の任意のホスト名へのWorkersのサブリクエストは、Cloudflareゾーンが他の設定で構成されていても、常に**フル（厳密）** SSLモードを使用して行われます。
その結果、オリジンには有効なSSL証明書が必要です。
HTTPエラー530は、伴う1XXXエラーが表示されて返されます。特定の1XXXエラーを検索して、トラブルシューティング情報を確認してください。
中国でロードバランシングを有効にすると、530エラーが発生します。