← Cloudflare Spectrum / spectrum / reference

Устранение неполадок

Чтобы разобраться в проблемах с приложением Spectrum, используйте журналы и средства диагностики, описанные на этой странице. Об ошибках проверки API, возвращаемых при создании или обновлении приложения, см. Коды ошибок.

Spectrum регистрирует жизненный цикл каждого проксируемого соединения, включая коды состояния для сбоев на пути от периферии к источнику (например, 521 в подключении отказано, 522 тайм-аут, 523 недоступен). См. Журналы событий.

Когда приложение Spectrum использует источник в виртуальной сети, трафик к источнику проходит через коннектор, связанный с виртуальной сетью. Диагностируйте подключение к источнику со стороны коннектора, используя источники данных для вашего типа коннектора.

• Журналы туннеля записи об активности между cloudflared и сетью Cloudflare, а также между cloudflared и вашим источником. См. Потоки журналов.
• Диагностические журналы туннеля соберите диагностический отчет с одного cloudflared инстанс. См. Диагностические журналы.
• Подключение к приватной сети описывает частые причины, по которым трафик не доходит до приватного источника через туннель. См. Подключение к приватной сети.

Диагностику состояния туннеля, BGP и маршрутизации для источников, подключённых через WAN, см. в Устранение неполадок Cloudflare WAN.

• При создании приложения Spectrum в панели управления появляется ошибка: "Запись A, AAAA или CNAME с таким хостом уже существует."
• У вас уже есть вручную созданная проксируемая DNS-запись (A, AAAA, или CNAME) для имени хоста, которое вы пытаетесь использовать для нового приложения Spectrum.

Cloudflare не поддерживает одновременное использование вручную созданной проксируемой DNS-записи (A, AAAA, или CNAME) и приложение Spectrum на одном и том же имени хоста. Это связано с тем, что Spectrum создаёт и обслуживает собственную DNS запись для приложения, которая конфликтует с уже существующей записью, созданной вручную. Это ограничение платформы, а не только панели управления.

Это ограничение действует только для проксируемых записей, созданных вручную. Несколько приложений Spectrum, включая сочетание типов HTTP/HTTPS и TCP/UDP, могут использовать одно и то же имя хоста, поскольку Spectrum управляет DNS-записью для каждого из них.

Если для этого имени хоста нужны только приложения Spectrum (например, приложение Spectrum HTTP/HTTPS вместе с приложением Spectrum TCP/UDP), обходной путь не требуется: просто создайте дополнительное приложение Spectrum на том же имени хоста.

Если вам нужно сохранить вручную созданную проксированную запись DNS для этого имени хоста (например, чтобы направлять стандартный трафик HTTP/HTTPS через CDN и WAF, а не через Spectrum), используйте архитектура с раздельными хостами вместо этого, если вручную созданная проксируемая запись и приложение Spectrum используют разные хосты:

Настройте приложение или клиент так, чтобы для каждого типа трафика использовалось соответствующее имя хоста.

Подробнее об этом ограничении см. в Ограничения Spectrum.

• Порт приложения Spectrum на стороне Cloudflare использует HTTP (например, порт 8012), тогда как источник ожидает HTTPS на порту 443.
• Источник отклоняет соединение или возвращает ошибки, потому что вместо зашифрованного HTTPS получает нешифрованный HTTP.
• Эта конфигурация работает следующим образом: http:8012 → Cloudflare Spectrum → http:443 (origin) вместо ожидаемого http:8012 → Cloudflare Spectrum → https:443 (origin).

Spectrum работает на уровне L4 (TCP/UDP). Если для параметра Edge TLS Termination задано значение off (Passthrough) Spectrum передает необработанные данные TCP на источник без изменений. Протокол при этом не обновляется: подключение к источнику через порт 443 не означает автоматически, что соединение будет использовать HTTPS.

Чтобы отправлять зашифрованный трафик от Cloudflare к вашему источнику, необходимо включить Edge TLS Termination в приложении Spectrum и установите значение Full или Full (Strict):

• Full: Cloudflare подключается к источнику по TLS, но не проверяет сертификат источника.
• Full (Strict): Cloudflare подключается к источнику по TLS и проверяет сертификат источника в доверенном центре сертификации или через Cloudflare Origin CA.

Вы можете настроить Edge TLS Termination в параметрах приложения Spectrum в панели управления или через API, задав tls поле в full или strict.

См. Edge TLS Termination для дополнительных сведений.

• Для TCP-приложений, у которых Edge TLS Termination настроен на Full или Full (Strict): подключения к источнику завершаются ошибкой. В журналах событий Spectrum может отображаться 521 (отказано в подключении) или 522 (тайм-аут подключения), поскольку неудачное TLS-рукопожатие на источнике регистрируется как ошибка подключения к источнику. См. Журналы событий с полным справочником кодов состояния.
• Для приложений HTTP/HTTPS: клиенты получают ошибку 525 (сбой SSL-рукопожатия).

Обычно эти ошибки появляются после создания приложения Spectrum или изменения настроек TLS.

TLS-рукопожатие между Cloudflare и вашим исходным сервером не удалось. Наиболее частые причины:

• Edge TLS Termination настроен на Full или Full (Strict), но источник не имеет действительного TLS сертификата или не принимает TLS соединения на настроенном порте.
• Источник приложения Spectrum указывает на другое имя хоста, проксируемое через Cloudflare (например, origin.example.com.cdn.cloudflare.net). Это создаёт цепочку двойного проксирования, которая не поддерживается для приложений типа TCP и может вызывать сбои TLS handshake.
• Несовпадение версии TLS или набора шифров между периферийной сетью Cloudflare и сервером-источником.

1. Убедитесь, что на сервере источника установлен действительный сертификат TLS и настроен приём TLS-подключений на порту источника.
2. При использовании Full (Strict), убедитесь, что сертификат источника выпущен общедоступным доверенным центром сертификации (CA) или Сертификат Cloudflare Origin CA.
3. Убедитесь, что источник приложения Spectrum не указывает на другое имя хоста, проксируемое через Cloudflare. Используйте прямой IP-адрес источника или DNS-имя, которое разрешается непосредственно в адрес вашего сервера источника (минуя прокси Cloudflare).
4. Если источник поддерживает только определенные версии TLS, учтите, что при включенном параметре Edge TLS Termination Spectrum поддерживает TLS 1.1, 1.2 и 1.3.

Spectrum использует собственный набор кодов состояния соединения, отличный от кодов состояния HTTP, используемых на уровне CDN Cloudflare. У некоторых кодов совпадают номера (например, 444, 499), но они имеют разное значение.

Полную таблицу кодов состояния см. в Журналы событий.

В следующей таблице перечислены часто встречающиеся коды состояния Spectrum и их вероятные причины: