ERR_TUNNEL_CONNECTION_FAILED: qué significa y cómo solucionarlo

¿Qué es ERR_TUNNEL_CONNECTION_FAILED?

ERR_TUNNEL_CONNECTION_FAILED es un error de Chrome y Edge que solo aparece cuando el navegador usa un servidor proxy. El código fuente de Chromium describe el error de red -111 así: "A tunnel connection through the proxy could not be established" (no se pudo establecer una conexión de túnel a través del proxy). No tiene una página de error propia, así que ves la genérica: "No se puede acceder a este sitio. Es posible que la página web de … esté temporalmente inactiva o que se haya trasladado definitivamente a otra dirección web", con ERR_TUNNEL_CONNECTION_FAILED debajo.

Ese texto genérico confunde. El sitio web suele estar perfectamente. El fallo se produjo un paso antes, entre tu navegador y el proxy que debería reenviar tu tráfico.

Muchas personas que ven este error no tienen ni idea de que están usando un proxy. Una app de VPN, una extensión del navegador, un script de configuración automática de la red o un adware pueden activarlo en silencio, así que el primer paso es comprobar qué proxy está usando Chrome en realidad.

Cómo funciona un túnel de proxy (y por qué falla)

El tráfico HTTPS va cifrado de extremo a extremo, así que un proxy web normal no puede leerlo. En su lugar, el navegador pide al proxy que abra un túnel directo con una petición especial:

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

HTTP/1.1 200 Connection established   <- túnel abierto, el HTTPS pasa por él

HTTP/1.1 403 Forbidden                <- o el proxy se niega: ERR_TUNNEL_CONNECTION_FAILED

Si el proxy responde con cualquier cosa que no sea un éxito, por ejemplo un 403 porque el sitio está bloqueado o un 502 porque el propio proxy no puede llegar al sitio, Chrome se rinde y muestra ERR_TUNNEL_CONNECTION_FAILED.

¿Qué causa ERR_TUNNEL_CONNECTION_FAILED?

Solución 1: mira qué proxy está usando Chrome en realidad

Abre chrome://net-internals/#proxy en la barra de direcciones, haz clic en Re-apply settings y en Clear bad proxies (esa página solo está en inglés) y recarga el sitio. Esa página ya no muestra el proxy en sí. Para ver la configuración de proxy efectiva que usa Chrome, incluido cualquier script de configuración automática, guarda un registro en chrome://net-export y ábrelo en el visor de NetLog (netlog-viewer.appspot.com), en el apartado Proxy.

Si indica "Use DIRECT connections" o no muestra ningún proxy, el proxy no es la causa y lo que debes comprobar es si tu red bloquea el sitio. Si muestra un proxy o un script PAC que no reconoces, sigue con las soluciones 2 y 3 para averiguar de dónde viene. También ayuda abrir Cuál es mi IP: si la ubicación o el proveedor de internet que aparecen no son los tuyos, tu tráfico pasa por un proxy o una VPN.

Solución 2: desactiva el proxy del sistema (si no usas uno)

Chrome y Edge usan la configuración de proxy del sistema operativo. Si no usas un proxy a propósito, desactívalo:

• Windows 11: Configuración → Red e Internet → Proxy. En Configuración manual del proxy, desactiva Usar un servidor proxy. En Configuración automática del proxy, deja activado Detectar la configuración automáticamente, pero desactiva Usar script de configuración salvo que tu organización te haya dado uno.

• macOS: Ajustes del Sistema → Red → tu conexión → Detalles… → Proxies. Desactiva todos los proxies, incluida la configuración automática de proxy, salvo que la necesites.

:: Windows también tiene un proxy aparte para los servicios del sistema (WinHTTP)
netsh winhttp show proxy
netsh winhttp reset proxy

Solución 3: revisa las extensiones, las apps de VPN y las directivas de Chrome

• Extensiones: abre chrome://settings/system. Si una extensión controla tu proxy, Chrome muestra un aviso que indica que esa extensión está controlando el ajuste, con un botón para desactivarla. Si no aparece, desactiva una por una las extensiones de proxy y VPN en chrome://extensions.

• Apps de VPN: algunas apps de VPN funcionan como un proxy local en lugar de como una VPN completa. Cierra la app por completo, no te limites a desconectarla, y recarga.

• Directivas: abre chrome://policy. Si ves directivas de proxy como ProxyMode, ProxyServer o ProxyPacUrl, tu organización o algún programa instalado está imponiendo un proxy, y tendrás que cambiarlo en su origen (o pedírselo al departamento de TI).

Solución 4: restablece la configuración de red y vacía la caché DNS

Si la configuración de proxy parece limpia pero el error continúa, restablece la configuración de red. En Windows, ejecuta los comandos de abajo en un Símbolo del sistema como administrador y reinicia; en un Mac, elimina y vuelve a añadir la red y vacía la caché DNS.

ipconfig /flushdns
netsh winsock reset
netsh int ip reset
netsh winhttp reset proxy

Solución 5: en una red de trabajo o de estudios, pregunta antes de saltarte el proxy

Las redes de empresas y de centros educativos suelen exigir un proxy, y muchas lo usan para bloquear categorías de sitios web. Cuando solo algunos sitios fallan con ERR_TUNNEL_CONNECTION_FAILED y todo lo demás funciona, es muy probable que el proxy esté bloqueando esos sitios a propósito.

Desactivar el proxy no suele servir en esas redes, porque las conexiones directas también están bloqueadas. Pregunta al equipo de TI si pueden permitir el sitio, o usa el sitio desde otra red.

Para administradores de proxy

Para ver exactamente cómo responde el proxy a la petición CONNECT, reprodúcela con curl desde un equipo cliente:

curl -v -x http://proxy.example.com:3128 https://example.com/ -o /dev/null
# Éxito:  "HTTP/1.1 200 Connection established"
# Fallo:  "CONNECT tunnel failed, response 403"
#         (curl antiguo: "Received HTTP code 403 from proxy after CONNECT")

Un 403 apunta a una regla de acceso, un 407 a la autenticación y un 502/503 a que el proxy no logra llegar al destino (revisa el DNS del propio proxy y su firewall de salida). En la configuración predeterminada de Squid, http_access deny CONNECT !SSL_ports rechaza CONNECT hacia cualquier puerto que no esté en la lista SSL_ports (443 de forma predeterminada), así que los sitios HTTPS en puertos como el 8443 fallan hasta que los añades. Con el Port Checker de DNS Robot puedes comprobar desde fuera si el puerto de destino es accesible.

ERR_TUNNEL_CONNECTION_FAILED frente a errores parecidos

Guías relacionadas: ERR_CONNECTION_RESET, ERR_NETWORK_CHANGED y ERR_NAME_NOT_RESOLVED.