如何解决Cloudflare CNAME记录出现的521错误

1. 确认Cloudflare SSL/TLS加密模式 #

• 你预期的「Cloudflare端完成SSL终止、回源走80端口HTTP」的逻辑，对应Cloudflare的*灵活（Flexible）*加密模式。如果当前配置为「完全」「完全（严格）」「严格」模式，Cloudflare会强制回源走HTTPS 443端口，且要求源站持有符合要求的SSL证书，这就是你遇到521错误、SSL握手报错的核心原因。
• 直接进入Cloudflare对应域名的「SSL/TLS」控制台，确认加密模式是否和你的部署预期匹配。

2. 核对EKS侧服务与网络配置 #

• 如果你确定要使用灵活模式，无需开放EKS服务的443端口，只需保证80端口对外正常可达即可，同时检查AWS安全组、网络ACL是否放通了Cloudflare官方IP段到EKS节点/LoadBalancer的80端口访问权限。
• 如果你后续要改用回源HTTPS的更高安全模式，需要先在EKS集群内配置有效证书：可以通过cert-manager签发免费公共可信证书，或者上传自有证书到Ingress Controller/负载均衡中，确保443端口返回的证书符合Cloudflare的校验要求（严格模式下要求证书为公共可信CA签发，完全模式可接受自签证书）。

3. 逐层验证连通性与报错 #

• 本地绑定hosts将域名直接指向EKS服务的公网IP，分别执行curl http://你的域名和curl -k https://你的域名，验证源站两个端口的服务状态是否符合预期。
• 排查SSL握手错误时，使用openssl s_client -connect 你的EKS服务公网IP:443命令，查看证书返回、握手环节的具体报错，定位是证书无效、端口未监听还是网络拦截导致的问题。

4. 核对Cloudflare解析配置 #

• 确认你的CNAME记录已经开启橙色云代理（Proxy状态为「已代理」），如果是灰色云「仅DNS」模式，Cloudflare不会提供SSL代理能力，请求会直接打到源站，需要源站自行配置HTTPS服务才能正常访问。

内容的提问来源于stack exchange，提问作者jdkealy