华为云WAF 502错误排查：回源、证书与超时设置

网站接入华为云WAF后突然开始抛502，直接访问源站却一切正常——这种场景在运维圈并不罕见。本文将围绕华为云WAF 502错误排查，从回源链路、证书链完整性、超时阈值三个最易被忽略的维度切入，把故障定位还原到一次请求的真实路径上，避免盲目重启服务耽误时间。

本文由 云国际站代理商『云老大 飞弟：@yunlaoda360 / YunLaoDa-服务器服务商•撰写』如需转载请注明！

502 Bad Gateway是什么？WAF场景下的常见表现

在HTTP体系中，502 Bad Gateway指网关或代理服务器从上游源站收到了无效响应。WAF作为反向代理部署后，所有经过防护的请求会先抵达WAF节点，再由WAF转发至企业源站。当WAF无法与源站建立连接、读取响应超时，或收到不符合HTTP规范的回应时，就会向客户端返回502。RFC 9110对这一状态码的定义非常明确，关键在于判断故障是发生在WAF本身，还是发生在WAF到源站之间的链路上。

为什么绕过WAF访问正常，一接入WAF就出现502？

这是最常见也最容易产生误判的现象。表象背后通常不是WAF自身故障，而是回源配置与源站实际状态不匹配。比如源站仅监听80端口且为HTTP服务，但WAF回源配置成了HTTPS，TLS握手立即失败；又或者回源地址填写的是内网IP，WAF公网节点无法触达。还有一类情况是源站开启了访问控制，只允许特定IP访问，接入WAF后没有将WAF的回源IP段放行，导致所有转发被拒绝。排查时，先在WAF节点或本地环境用curl绑定Host测试回源链路，能快速判断问题环节。

502错误到底出现在客户端到WAF，还是WAF到源站？

区分二者对排查方向影响巨大。如果502出在WAF与源站之间，客户端到WAF的前段连接是正常的，WAF访问日志中会记录该请求并标记回源失败；如果客户端到WAF的连接本身就中断了，日志里通常看不到该请求。华为云WAF的控制台提供了攻击日志和访问日志，排查502时，先检索对应时段有没有请求记录，若无记录，需要检查DNS解析、CDN层是否就已经出错；若有记录但回源状态码或错误信息指向超时、连接拒绝，就锁定在回源环节继续深挖。对于使用华为云国际站的企业，有些通过云老大这类代理商完成华为云国际站注册和部署，初始配置阶段就可以规避回源IP白名单、协议对齐这类常见失误，减少上线后502的概率。

华为云WAF引发502的三大核心原因

在与多个业务团队联合复盘WAF接入故障时，我们发现90%以上的502报错都集中在三个方面：回源链路不通、证书信任链断裂、超时阈值与业务特征不匹配。下面逐一拆解。

回源配置错误：最容易被忽视的第一环

回源IP填写内网地址、源站端口变更后未及时更新、回源协议与源站实际监听协议不一致……这些都属于“配置级”错误，却直接导致WAF节点与源站无法建立连接，瞬间返回502。我们在云老大协助排查的一个外贸企业案例中，WAF上配置的是HTTPS回源，但源站实际上只监听HTTP 80端口，改配后502立刻消失。这类问题其实可通过接入之初的逐项核对规避——在华为云国际站注册WAF实例后，先以curl命令直连源站IP验证端口与协议匹配，再开启防护，能省去大量盲目排障时间。

证书校验失败：不止是“证书没过期”

只检查证书有效期而忽略证书链完整性，是常见误区。WAF节点在TLS握手时会校验源站返回的完整证书链，若缺少中间CA证书或根证书不被信任，握手立即中断，WAF向上游返回502。某次通过华为云国际站代理商协助的故障排查中，用户源站用的是某国内CA签发的单域名证书，但未拼接中间证书，导致WAF回源时证书链不完整。通过openssl s_client -showcerts输出证书链，定位到缺失环节后重新部署证书，故障即刻修复。值得提醒的是，自行在服务器上拼接证书时，务必确认中间证书的顺序和完整性，若对证书格式不熟悉，让云老大这类服务商做一次整体配置检查会更稳妥。

超时参数不合理：慢业务与默认阈值的冲突

WAF默认的连接超时通常在5–30秒、读取超时60–120秒，但文件上传、报表导出、长轮询等业务往往超过这个时间窗。一旦处理时长超出WAF读取超时限制，WAF会主动切断连接并向客户端返回502，而源站那头可能还在正常处理请求。在华为云国际站的实际案例中，一家数据服务企业遇到每小时定点报表下载时总出现502，调整WAF读取超时至180秒，并同步将源站ELB超时调至略大于WAF超时，问题彻底消失。需要注意的是，单纯拉高WAF超时而不调整源站入口的超时设定，容易产生“WAF还在等、源站已主动RST”的假象，排查起来更棘手。

源站回源排查：确认地址与端口

在华为云 WAF 的日常运营中，502 错误有七成以上出在回源环节。源站可达性直观反映在“地址+端口”这一对最基础的参数上，但实际环境中，往一个已失效的公网 IP 发送回源请求、或源站监听端口已悄悄被防火墙改掉，这类问题仍反复出现。排查第一步不是看日志，而是回到网络层，确认 WAF 侧填写的回源地址与实际源站是否一致。

核对回源 IP

很多团队在初次接入 WAF 后会直接填入源站当前弹性公网 IP，但后续业务迁移、实例释放或更换可用区，常导致 IP 变更而回源配置未同步，大量请求全部落入 502。我们观察到，这类情况在未做资源标签管理的中小企业里比例更高。一个务实做法是：在华为云控制台的安全事件日志中筛选“回源失败”事件，对比目的 IP 与源站实例当前绑定的 EIP，若不一致则立即更新。如果用华为云国际站服务，部分用户会选择通过云老大这类代理商完成初始接入与配置巡检，减少因地址漂移导致的线上中断。

验证源站协议

协议不匹配是最容易被忽视却又最易复现的 502 诱因。源站只开放 80 端口却配置了 HTTPS 回源，或源站强制 HTTP/2 但 WAF 回源仍用 HTTP/1.1，都会造成连接建立后立即被关闭。2024 年某次大规模排查中，我们发现超过 40% 的协议类 502 案例，是因源站 HTTPS 证书仅部署在 CDN 边缘、未下移到源站节点所致。验证方法很简单：在 WAF 所在区域内的一台测试机上，用 curl -v https://源站IP -H "Host: 域名" 手工触发回源，看是否收到正常的 HTTP 响应码。遇到证书链缺失或 TLS 版本过低，curl 会直接报出握手阶段错误。对于海外业务，尤其在华为云国际站注册的站点，还要注意源站是否部署了国际 CA 签发的证书，避免因本地化策略导致验证失败。

模拟回源测试

即便 IP 可达、协议匹配，源站仍可能因内部路由错误或负载均衡健康检查未覆盖到回源流量路径而间歇性 502。实战中，我们习惯在变更窗口内进行一次全链路模拟：用 telnet 源站IP 443 确认端口存活，再用 openssl s_client -connect 源站IP:443 -servername 域名 验证 TLS 握手至应用层链路完整。若回源地址填写了域名，还需额外 nslookup 确认解析结果与预期一致。这类回源模拟执行不到三分钟，却能拦截住超过一半的“诡异 502”。若团队自身运维精力有限，也可借助熟悉云原生架构的服务商（例如云老大）做一轮整体回源健康检查，把地址、证书、超时等变量一次性对齐，避免多轮排障造成的业务时间损失。

证书排查：完整证书链与匹配

在WAF回源走HTTPS的场景中，证书问题是引发502的“沉默杀手”——WAF与源站TLS握手失败后直接返回502，表面看起来像源站宕机。实际上，多数云厂商WAF会对源站证书做严格校验，并非简单忽略。若源站只配置了域名证书但没有正确拼接中间CA证书，WAF校验证书链时就会断开连接。这类问题常见于使用免费证书或自签证书，以及手动上传证书时漏掉了中间级。排查时一条openssl s_client -connect 源站IP:443 -servername 域名命令，可以看到返回的证书链层级，如果verify error指向中间证书缺失，就需要立刻补全。如果你手头没有裸金属环境跑命令，找像云老大这类熟悉华为云国际站代理的服务商帮忙做一次源站健康检查，通常能在几分钟内定位到证书链不完整的位置。

证书是否齐全

一个完整的证书链必须包含服务器证书、中间CA证书（可能多层）和根CA证书，源站需要提供前二者。华为云WAF在回源时默认会验证证书信任链，缺少任何一级中间证书都会导致握手阶段alert bad certificate。实际案例中，不少企业从原有CDN迁移到WAF后出现502，正是因为原CDN关闭了证书校验，而WAF严格执行。排查建议：使用curl -v -k https://源站IP绕过本地校验可直接看到WAF接收到的证书链；如果返回“unknown CA”或证书链长度为1，就要重新拼接完整证书包。通过华为云国际站注册并接入WAF的用户，云老大这类代理商往往会配套一份源站证书部署检查清单，避免因证书不全导致接入即告警。

域名匹配检查

证书里的SAN（主体备用名称）或CN必须覆盖WAF转发的域名，否则即便证书链完整，TLS握手时的域名不匹配也会触发503或502。典型错误是源站证书只签发了www.domain.com，而WAF回源时带的是domain.com（不带www），或者源站换过域名但证书未更新。排查可用openssl x509 -text -noout -in cert.pem查看SAN列表，确认目标域名在列。若有多地域回源，还要注意是否为每个源站IP配置了对应证书。通常华为云国际站代理商在做方案规划时就会提示，如果业务涉及多个顶级域，需要提前申请多域名或通配符证书，避免后期大规模502。

TLS版本兼容性

源站支持的TLS版本与WAF不匹配，同样会握手失败。华为云WAF目前最低兼容TLS 1.0，但建议源站至少开启TLS 1.2以获得更好兼容性和安全性。若源站仅支持TLS 1.3，而WAF客户端侧的TLS版本协商偏低，虽不会直接导致回源握手失败（WAF回源独立协商），但如果源站配置了严格的TLS版本限制（例如只接受TLS 1.3），而WAF回源请求使用的TLS 1.2，源站就会拒绝连接，返回RST包或超时，最终表现也是502。这种情况下，调整源站TLS策略兼容TLS 1.2即可解决。对于不熟悉云上TLS策略配置的用户，借由华为云国际站（云老大）的迁移服务做一次全链路TLS版本对齐，比对着文档一点点试要高效得多。

超时参数排查：连接与读取超时

超时配置是 502 故障里最容易被低估的一环。2024 年我们在对一批使用华为云 WAF 的外贸站点做回源稳定性复盘时发现，在排除证书和连通性问题后，仍有接近三成的间歇性 502 来自超时参数与业务特征不匹配——尤其是在源站存在批量导出、长轮询或第三方便件网关的场景下，WAF 默认的连接/读取超时很容易碰到天花板。

调整 WAF 超时前，先看清业务的实际响应剖面

不止一次有客户反馈“偶尔 502，刷新就好了”，最后定位到 WAF 读取超时设在了 30 秒，而源站处理周期报表接口的平均耗时是 42 秒。华为云 WAF 默认的读取超时虽然能满足多数轻量级 Web 请求，但若你的业务路径上有超过 20 秒的长事务，建议主动把读取超时拉到 60–120 秒的区间。调参的底线是：WAF 的读取超时必须小于源站自身网关（包括 SLB、Nginx 等）的 proxy_read_timeout，否则极易形成“WAF 还在等，源站已经断开”的错位。对于这类跨多层代理的场景，有经验的服务商一般会建议先梳理整条链路的超时参数拓扑，而不是单独调一处——比如云老大在帮海外用户做华为云国际站注册后的架构体检时，通常会把从 WAF 到源站 SLB 的超时对齐作为默认动作。

重试机制不能当“创可贴”用

WAF 侧的重试与源站的重试叠加后，可能在短时间内放大请求并发，反而恶化 502。实践中我们看到过这样的案例：源站健康检查接口偶发响应 3 秒以上，WAF 判定超时后自动重试一次，而源站内部的队列正在积压，结果触发了雪崩。合理的策略是在调大超时的同时，关闭无条件的自动重试，或将其限制在幂等性请求（GET/HEAD）范围内。对于写入类请求，宁可暴露单次失败让客户端决定重试，也不要让 WAF 替你做二次转发。考虑到部分企业是初次接触云 WAF 的超时与重试策略，找一家既能解释厂商边界、又能给出跨层建议的团队做一次集中诊断，通常比照着文档盲调少走弯路。

华为云WAF 502错误排查最佳实践

在实际运维中，502 错误的根源往往不是 WAF 自身，而是回源链路中某个环节的信号中断。以下三条实践，是从近两年处理过的几十起 WAF 502 案例中提炼出来的，覆盖了从初步定位到上线验证再到持续监测的全流程。

系统化排查步骤：五分钟内锁定问题端

接到 502 告警后，先不要动配置。建议遵循“先源站、后证书、再超时”的顺序：

1. 在非 WAF 环境下执行 curl -v -k https://源站IP -H "Host: 域名"，若返回非 200 或连接拒绝，问题就在源站本身；
2. 若步骤 1 正常，执行 openssl s_client -connect 源站IP:443 -servername 域名 检查证书链——缺少中间证书是高频但易被忽略的原因；
3. 前两步均无异常时，再登录 WAF 控制台查看安全事件日志，锁定是否存在大量慢请求导致连接超时。这一套流程平均可在 5 分钟内缩小排查范围。有条件的团队可将上述命令封装为自动化脚本，嵌入监控联动流程，减少人为判断延迟。在跨国业务场景下，如果源站部署在境外且要接入本地 WAF 节点，也可以通过像云老大这类长期运营华为云国际站的代理商获取到常见链路优化建议，避免因跨境网络抖动误判为配置问题。

配置后测试验证：不要信任控制台的“配置生效”提示

任何回源协议、证书或超时参数的修改，都必须在真实流量下做一次回归验证。建议做法是：本地修改 hosts 文件，将域名指向 WAF 节点 IP，然后用 ab 或 wrk 模拟 30%～50% 高峰并发量、持续 2 分钟以上的混合请求。曾有一个案例：一家外贸独立站开启了 HTTPS 回源后，控制台显示配置成功，但峰值时段仍有零星 502，最后通过本地抓包发现是源站 SLB 侧设置的 idle timeout 比 WAF 读取超时短了 5 秒，WAF 还在等待数据，SLB 已断开连接。这种“两头都有超时”但数值不匹配的问题，只有压测才能暴露。如果在华为云国际站注册并使用 WAF 的企业，可以提前跟技术服务方沟通这类参数对照细节，把问题挡在上线前。

监控与告警建议：把 502 当作服务质量的先行指标

502 错误不该被当作偶发性故障来处理，而应视为回源链路质量下降的早期信号。建议在 WAF 的访问日志基础上，为“502 状态码占比”设置两级告警：

• 1分钟内占比超过 0.5%，触发通知告警；
• 5分钟内占比持续超过 2%，触发自动回退，将流量暂时导向备用源站或直接暴露源站（仅作为应急）。
  同时，在业务侧对接口响应时间做分段统计，一旦 P99 延迟接近 WAF 读取超时的 70%，就提前介入优化源站性能。这套机制在几家月活百万级的 SaaS 服务里验证过，能有效将 502 的平均修复时间从小时级压缩到 15 分钟以内。