Ошибка 523: Cloudflare не нашёл дорогу до сервера

Ошибка 523 Origin is unreachable означает, что Cloudflare не может связаться с сервером сайта. Посетитель дошёл до Cloudflare, Cloudflare работает, но путь от него до сервера оборвался в сети: устройство по дороге не знает, куда отправить пакеты для этого адреса.

Именно поэтому большинство советов «перезапустите сервер» здесь не работает: сервер может быть в полном порядке. Мы собрали стенд с nginx в роли Cloudflare и повторили десять видов недоступности сервера — от неверного адреса до правила файрвола. Ниже — что пишет посредник в каждом случае, сколько длится ожидание и как по этим данным отличить 523 от соседних ошибок 521 и 522.

Что означает ошибка 523

Справка Cloudflare (обновлена 23.04.2026) формулирует коротко:

This error occurs when Cloudflare cannot contact your origin web server.

Ошибка возникает, когда Cloudflare не может связаться с сервером сайта — origin, источником. Код 523 не относится к стандарту HTTP: он является специальным кодом Cloudflare, как и остальные коды 520–526. Типичную причину справка описывает так: сетевое устройство между Cloudflare и сервером не имеет маршрута до адреса сервера.

Важно понимать, чем это отличается от других ошибок Cloudflare: каждая из них связана со своим этапом, и устранение у каждой своё. При 523 сервер не ответил «нет» и не промолчал — до него просто не дошли пакеты. На уровне сети это выглядит так: маршрутизатор на пути или система самого посредника сообщает, что адрес недоступен и пути нет.

Пример из справки: AWS и маршрут 172.0.0.0/8

Cloudflare отдельно приводит случай, который часто встречается в облаке Amazon. Если в таблице маршрутов VPC указан слишком широкий маршрут, например 172.0.0.0/8 в частную сеть, он захватывает и публичные адреса Cloudflare из диапазона 172.64.0.0/13. Ответы сервера уходят не в интернет, а в частную сеть, и связь с Cloudflare обрывается. Исправление — добавить более конкретный маршрут 172.64.0.0/13 на интернет-шлюз (Internet Gateway) или сузить широкий маршрут.

Такой пример полезно знать и за пределами продуктов Amazon: любые правила маршрутизации, VPN и туннели, которые затрагивают адреса Cloudflare, могут дать 523.

Стенд: десять видов недоступности

Мы поставили nginx 1.31.6 посредником, как Cloudflare, с ожиданием соединения 19 секунд, и направили его на сервер разными способами. Сеть собрали в Docker: посредник, сервер с файрволом iptables и отдельный маршрутизатор.

Во всех случаях, кроме нормы, посредник ответил посетителю 502. У Cloudflare на его месте свои коды; последнюю колонку мы заполнили по описаниям из справки Cloudflare: отказ соединения — 521, отсутствие пути — 523, молчание сервера — 522.

Что видно из таблицы:

1. 523 обычно приходит быстро — на практике за миллисекунды. Сигнал «узел недоступен» маршрутизатор отправляет сразу, и соединение обрывается за миллисекунды. Исключение — адрес в той же локальной сети, которого нет: система три секунды ищет его, делая попытку за попыткой, и только потом сдаётся.
2. Один и тот же файрвол может дать и 521, и 523. Правило REJECT в iptables по умолчанию отвечает «порт недоступен», и посредник видит отказ соединения — это 521. С ответом icmp-host-unreachable, icmp-net-unreachable или icmp-admin-prohibited посредник видит «нет пути» — это 523.
3. Молчание — это не 523. Если пакеты просто теряются (правило DROP, выключенный сервер в сети без ответов), посредник ждёт все 19 секунд и получает таймаут. У Cloudflare это ошибка 522.

Что пишет журнал

В отличие от ошибок рукопожатия TLS (их nginx пишет уровнем info, о чём мы рассказали в статье про ошибку 525), сетевые ошибки nginx пишет уровнем error — они видны и в журнале по умолчанию:

connect() failed (113: Host is unreachable) while connecting to upstream
connect() to [2001:db8::10]:80 failed (101: Network unreachable) while connecting to upstream

Но это логи посредника. На самом сервере сайта при 523 обычно нет вообще ничего: запрос до него не дошёл, и найден он там не будет. Справка Cloudflare предупреждает о том же для всех ошибок 5xx: причина не всегда видна в журнале сервера, и надо смотреть журналы балансировщиков, кэшей, прокси и файрволов между Cloudflare и сервером.

Частые причины ошибки 523

1. Неверный адрес в DNS Cloudflare — самая распространённая причина. Сайт переехал на другой сервер, хостинг поменял адрес, а в записи A или AAAA остался старый. Если старый адрес больше никому не выдан, маршрутизатор хостинга сообщит, что узел недоступен.
2. Запись AAAA с неработающим IPv6. В DNS указан IPv6-адрес, а у сервера или его сети IPv6 не настроен. На стенде такое соединение оборвалось с «Network unreachable» за миллисекунду.
3. Проблемы маршрутизации у хостинга или провайдера. Сбой в сети дата-центра, ошибка в настройке маршрутизатора, авария на канале.
4. Слишком широкие правила маршрутизации — как в примере с AWS, а также VPN, туннели и политики маршрутов, которые захватывают адреса Cloudflare.
5. Файрвол отклоняет соединения с ответом «узел недоступен». Защита сервера или сетевой экран хостинга блокирует адреса Cloudflare, но не молча, а с сообщением об ошибке.
6. Сервер выключен или отключён от сети. Если машина находится в одной сети с маршрутизатором хостинга и перестала отвечать на уровне сети, маршрутизатор не может её найти и сообщает, что узел недоступен. На стенде ровно так выглядел адрес, которого нет в локальной сети: три секунды попыток, затем «Host is unreachable».

Как исправить ошибку 523

Шаг 1. Сверьте адрес в DNS

Справка Cloudflare ставит эту проверку первой, и не случайно: ошибка, вызванная неправильным адресом, устраняется за минуту.

Откройте раздел DNS в панели управления Cloudflare и убедитесь, что записи A и AAAA указывают на текущий адрес сервера. Адрес сервера берите из панели хостинга, а не из памяти: после переезда или обновления тарифа он мог измениться.

Если у сервера нет рабочего IPv6, удалите запись AAAA — иначе часть запросов пойдёт по адресу, до которого нет пути.

Шаг 2. Проверьте сервер в обход Cloudflare

Запросите сайт напрямую по адресу сервера:

curl -sv --resolve example.ru:443:203.0.113.10 https://example.ru/ -o /dev/null

Если ответ успешно пришёл — сервер работает, а проблема в пути от Cloudflare. Если curl пишет «No route to host» или «Network is unreachable» — до адреса нет пути и с вашего компьютера тоже: адрес неверен или сеть хостинга недоступна.

Шаг 3. Проверьте маршрут

Программа traceroute (в Windows — tracert) или mtr покажет, на каком узле обрывается путь. Значение в последней строке, где ещё есть ответ, — последний маршрутизатор, до которого пакеты дошли:

mtr -rwc 10 203.0.113.10

Если путь обрывается на сети хостинга, это вопрос к хостингу. Если трассировка долго ничего не показывает после какого-то узла, лучше сохранить её целиком: такие данные требуется предоставить поддержке. Справка Cloudflare просит получить MTR или traceroute и в обратную сторону: с сервера до адреса Cloudflare, который чаще всего подключался к серверу до сбоя. Такие адреса видны в журнале доступа веб-сервера.

Шаг 4. Проверьте файрвол и маршруты на сервере

Посмотрите правила файрвола: нет ли в них блокировки диапазонов Cloudflare с ответом REJECT. Если сервером управляет администратор или хостинг, попросите его проверить это, когда у вас нет своего доступа. Список адресов Cloudflare опубликован на cloudflare.com/ips. Проверьте таблицу маршрутов сервера (ip route) и облачной сети: нет ли маршрутов, которые захватывают адреса Cloudflare, как в примере с 172.0.0.0/8.

Шаг 5. Если сервер свой — проверьте его состояние

Когда у вас есть доступ к серверу через панель хостинга или консоль, убедитесь, что машина запущена и сеть на ней работает. Некоторые действия, которые помогают найти причину:

• Состояние сервера в панели хостинга. Выключенная или зависшая машина — частая причина, особенно после планового обслуживания или перезагрузки, после которой она не поднялась.
• Сетевые настройки. Команда ip addr покажет, назначен ли серверу тот адрес, что указан в DNS; ip route — есть ли маршрут по умолчанию. После обновления системы или смены тарифа адрес мог измениться.
• Служба веб-сервера. systemctl status nginx или systemctl status apache2 покажет, запущена ли служба и не перезапускается ли она постоянно. Сама по себе остановленная служба даёт 521, а не 523, но её стоит проверить вместе с сетью.
• Брандмауэр. В Linux — iptables -S или nft list ruleset, в Windows — правила брандмауэра Защитника. Ищите правила REJECT для входящих соединений.
• Нагрузка. Если очередь соединений переполнена или достигнут лимит ресурсов, сервер редко даёт 523 — чаще 522 или 524, — но если сеть отваливается под нагрузкой, проверьте производительность и максимальное количество одновременно открытых соединений.

В Windows для такой же диагностики служат tracert и командлет PowerShell Test-NetConnection адрес -Port 443: он покажет, удалось ли подключиться к порту, и результат трассировки, если добавить параметр -TraceRoute.

Шаг 6. Обратитесь к хостингу

Если сами вы не можете найти причину, напишите хостинг-провайдеру. Справка Cloudflare перечисляет, что указать в обращении:

• код ошибки и её текст — 523 Origin is unreachable;
• время ошибки и часовой пояс;
• адрес страницы, которая дала ошибку;
• результаты MTR или traceroute от сервера до адресов Cloudflare.

Добавьте адрес сервера из DNS и номер Ray ID со страницы ошибки. Чем точнее информация, тем быстрее поддержка определит, где обрывается путь. Руководство Cloudflare советует также посмотреть журналы балансировщиков, прокси и файрволов, через которые обрабатывается трафик между Cloudflare и сервером: в журнале самого сервера записи о сбое может не быть.

Покажет ли Cloudflare сайт из кэша

Частично. Для этого у Cloudflare есть функция Always Online. По справке (обновлена 15.10.2026), она срабатывает только тогда, когда Cloudflare не может подключиться к серверу, то есть как раз при ошибках вроде 521, 522 и 523. Если сервер доступен, но возвращает ошибку, например 520 или 500, Always Online не включается: сервер онлайн.

Как это работает:

• Cloudflare сначала ищет в своём кэше устаревшую версию страницы.
• Если её нет, берёт копию из архива Internet Archive. Cloudflare сам передаёт архиву самые посещаемые адреса сайта за последние пять часов, которые отвечали кодом 200.
• Архив обходит сайт раз в 30 дней на бесплатном тарифе, раз в 15 дней на Pro и раз в 5 дней на Business и Enterprise.
• Пользователь видит баннер о том, что смотрит архивную копию, и кнопку обновления, чтобы проверить, не восстановился ли сайт.

Ограничения тоже важны: копии есть не у каждой страницы, а динамические части — корзина, формы, комментарии — не работают и показывают ошибку. Always Online не исправляет 523, но даёт возможность показать часть страниц на период поиска причины. Использование функции бесплатно на всех тарифах. Включается функция в панели Cloudflare, на странице настроек кэширования (Configuration).

Как предотвратить ошибку 523

• Обновляйте DNS сразу после переезда. Смена хостинга или сервера — самая частая операция, после которой адрес в Cloudflare устаревает. Проверяйте запись в тот же день.
• Не держите AAAA без IPv6. Запись должна существовать только для рабочего адреса. Наличие лишней записи — неожиданный источник ошибки: часть запросов идёт по IPv4 корректно, а часть — по IPv6 в никуда.
• Актуальный контроль адресов. Храните список серверов и их адресов в одном месте и сверяйте его с DNS после каждой смены хостинга.
• Регулярная проверка сервера напрямую. Мониторинг, который обращается к серверу по его адресу, а не только к сайту через Cloudflare, покажет сбой раньше посетителей.
• Безопасные изменения сети. Перед тем как установить новый VPN, туннель или правило маршрутизации, проверьте, не затрагивает ли оно ресурсы и адреса Cloudflare.
• Аккуратно с маршрутами. Любые изменения таблиц маршрутов, VPN и туннелей проверяйте на адресах Cloudflare.
• Ограничение доступа делайте молча или разрешайте Cloudflare. Если файрвол должен блокировать трафик, следует сначала исключить из правил диапазоны Cloudflare. Иначе ограничение, которое задумано для чужих клиентов, отрежет от сервера всех пользователей сайта.
• Записывайте изменения. Если 523 появилась внезапно, список последних изменений в сети и конфигурации сервера сократит поиск причины в разы.

Что делать посетителю

Ошибка на стороне сайта: ваш браузер, интернет и Cloudflare работают. Таких проблем посетитель решить не может: очистка кэша и смена браузера не помогут — до сервера сайта не может дойти сам Cloudflare. Подождите и попробуйте обновить страницу позже. Если сайт нужен срочно, сообщите владельцу время ошибки и номер Ray ID со страницы.

Чем 523 отличается от других ошибок 5xx

Коды 520–526 — собственные коды Cloudflare. Ими он сообщает, на каком этапе работы с сервером сайта случился сбой. Стандартные коды 500–504 отдаёт сам сервер или обычный прокси.

Рядом стоит ошибка 1016 Origin DNS error: Cloudflare не может даже узнать адрес сервера, потому что запись A отсутствует или CNAME указывает на домен, который не разрешается. При 523 адрес известен, но до него нет пути.

Справочник: все ошибки 5xx

По запросу «ошибка 523» многие попадают на страницы о других кодах 5xx. Чтобы не путаться, вот краткая сводка: что означает каждый код и кто его возвращает клиенту.

Стандартные коды, которые отдаёт сервер или прокси:

Коды Cloudflare (520–526 и 530): их возвращает сам Cloudflare, когда связь с сервером сайта не удалась на одном из этапов. Страница ошибки с таким кодом формируется на стороне Cloudflare, а не сервера. В сравнительной таблице выше — основные из них. Почему кодов так много? Чтобы владелец по одному числу понял, в какой ситуации произошёл сбой: отказ, молчание, нет пути, нет ответа или нет шифрования. Для решения проблемы это половина работы.

Важная разница для владельца: при 503 сервер работает и сам сообщает о временной недоступности. Он может передать заголовок Retry-After — сколько ждать до повторных запросов. При 523 сервер ничего не сообщает: до него не доходит ни один запрос, и все процессы на нём могут быть в полном порядке.

Что 523 значит для поиска

Для поискового робота 523 — ошибка сервера класса 5xx. Короткий сбой не вредит, но если путь к серверу не восстановлен несколько дней, страницы начнут выпадать из индекса. Подробнее о том, как роботы ведут себя при ошибках 5xx, — в статье об ошибке 503.

Источники

• Cloudflare: Error 523 (обновлено 23.04.2026), Error 1016 (23.04.2026), Cloudflare 5xx errors — developers.cloudflare.com
• Список адресов Cloudflare — cloudflare.com/ips
• Стенд: nginx 1.31.6 и iptables 1.8.13 в Docker, 20.10.2026

Похожие ошибки

• Ошибка 522 — Cloudflare не дождался соединения с сервером.
• Ошибка 520 — сервер вернул Cloudflare непонятный ответ.
• Ошибка 525 — Cloudflare и сервер не договорились о шифровании.
• ERR_CONNECTION_REFUSED — сервер отказал браузеру в соединении без посредника.

Границы замера

Стенд — nginx посредником в Docker; Cloudflare на стенде не было, коды 521, 522 и 523 мы сопоставили с ошибками соединения nginx по описаниям в справке Cloudflare. В обходе 2056 сайтов 20.10.2026 за Cloudflare работали 79, и ни один не отвечал 523, поэтому живой пример страницы ошибки здесь не показан.

Коротко

523 — Cloudflare не может добраться до сервера сайта: по пути нет маршрута до адреса. Чаще всего виноват старый адрес в записи A или AAAA после переезда, сбой сети хостинга или правила маршрутизации и файрвола. Сверьте DNS, проверьте сервер напрямую и маршрут через mtr, а если путь обрывается в сети хостинга — передайте ему время ошибки и результаты трассировки.