CDN回源报502是源站证书过期了吗？

CDN回源502错误主因是源站响应异常，需依次排查SSL证书有效性、防火墙白名单、Nginx超时与缓冲区配置、Host头及协议一致性、上游服务状态。

CDN回源请求返回502错误时，源站SSL/TLS证书过期是可能原因之一，但并非唯一原因。该错误表明CDN作为网关未能从源站获得有效HTTP响应，需结合证书状态、网络连通性、Nginx配置及安全策略等多维度验证。以下是针对性排查与修复路径：

一、验证源站SSL证书有效性

证书过期或不可信将直接导致HTTPS回源握手失败，CDN无法建立安全连接，从而返回502。尤其在七牛云、阿里云国际站等平台中，已确认存在因证书不被CDN服务器信任而触发E502报错的案例。

1、通过CDN回源IP（如阿里云国际站回源段可在控制台“服务内容”查得）+源站域名，使用curl命令模拟回源请求：
curl -Iv https://your-domain.com --resolve your-domain.com:443:SOURCE_SERVER_IP

2、检查输出中是否出现“SSL certificate problem”、“unable to get local issuer certificate”或“certificate has expired”等提示

3、若确认证书过期，立即更新证书；若提示证书不受信任，需确保证书链完整，并使用受主流Linux系统信任的根证书颁发机构签发

二、检查源站防火墙与回源IP白名单

高防CDN或国际CDN通常使用固定IP段回源，若源站安全组、iptables或云防护软件未放行这些IP，请求会被静默丢弃，Nginx无日志记录且返回502。

1、登录对应CDN服务商控制台，查找“回源IP段”或“Origin Pull IP Ranges”官方列表（如Cloudflare、腾讯云、阿里云均公开）

2、将获取到的全部IPv4/IPv6网段添加至源站云服务器安全组入方向规则

3、临时禁用本地iptables或firewalld服务，执行systemctl stop firewalld，再测试回源是否恢复

4、关键验证点：在Nginx access_log中应能明确看到来自CDN回源IP的200或非502状态码请求记录

三、审查Nginx upstream超时与缓冲区配置

CDN回源常携带冗长Header（如X-Forwarded-For嵌套、CF-Ray）、大URL或HEAD探测请求，若Nginx默认参数过于保守，会主动中断连接并返回502。

1、编辑Nginx主配置或server块，确认存在以下关键指令：

large_client_header_buffers 4 16k;

proxy_connect_timeout 60;

proxy_send_timeout 300;

proxy_read_timeout 300;

2、检查proxy_pass后是否使用变量（如$backend），若变量为空会导致upstream_addr显示为“none”，触发502

3、必须显式设置proxy_http_version 1.1，否则HTTP/1.0下keepalive失效，易引发连接重置

四、确认CDN与源站协议及Host头一致性

部分CDN（如Cloudflare）回源时会发送带端口的Host头（如example.com:443）或启用HTTP/2，若Nginx未开启http_v2模块或server_name未覆盖该Host，请求将无法匹配location，最终由default_server返回502。

1、在Nginx配置中，server块内检查server_name是否包含CDN实际发送的Host值，支持通配符如*.example.com

2、运行nginx -V | grep -o with-http_v2_module，确认已编译HTTP/2支持

3、若CDN强制HTTPS回源，确保server监听443端口且ssl_certificate与ssl_certificate_key路径正确可读

4、在access_log中启用$host和$upstream_addr字段，比对日志中Host值与server_name是否完全一致

五、排查源站服务进程与资源状态

即使证书有效、防火墙开放、Nginx配置无误，若上游应用（如PHP-FPM、Node.js、Java容器）崩溃、进程僵死或内存耗尽，Nginx仍会因connect refused或read timeout返回502。

1、执行systemctl status nginx php-fpm（或对应服务名），确认所有依赖服务处于active (running)状态

2、运行top -b -n1 | head -20，检查CPU与内存占用是否持续高于90%

3、查看Nginx error_log中是否频繁出现“connect() failed (111: Connection refused) while connecting to upstream”

4、使用ss -tlnp | grep :80 或 :443，确认源站Web服务确实在预期端口监听且未被其他进程占用