ERR_TUNNEL_CONNECTION_FAILED: co oznacza i jak naprawić

Czym jest błąd ERR_TUNNEL_CONNECTION_FAILED?

ERR_TUNNEL_CONNECTION_FAILED to błąd Chrome i Edge, który występuje wyłącznie wtedy, gdy przeglądarka korzysta z serwera proxy. Kod źródłowy Chromium opisuje błąd sieciowy -111 tak: nie udało się nawiązać połączenia tunelowego przez proxy („A tunnel connection through the proxy could not be established.”). Ten błąd nie ma własnej strony, więc widzisz ogólną: „Nie można uzyskać dostępu do tej witryny. Strona internetowa pod adresem … może być tymczasowo niedostępna lub mogła zostać na stałe przeniesiona pod nowy adres”, a pod spodem ERR_TUNNEL_CONNECTION_FAILED.

Ten ogólny tekst wprowadza w błąd. Ze stroną zwykle wszystko jest w porządku. Awaria nastąpiła krok wcześniej, między Twoją przeglądarką a serwerem proxy, który ma przekazywać Twój ruch.

Wiele osób, które widzą ten błąd, w ogóle nie wie, że korzysta z proxy. Aplikacja VPN, rozszerzenie przeglądarki, skrypt automatycznej konfiguracji w sieci albo adware mogą po cichu je włączyć, dlatego pierwszym krokiem jest sprawdzenie, jakiego proxy Chrome faktycznie używa.

Jak działa (i zawodzi) tunel przez proxy

Ruch HTTPS jest szyfrowany od końca do końca, więc zwykłe proxy WWW nie może go odczytać. Zamiast tego przeglądarka prosi proxy o otwarcie surowego tunelu specjalnym żądaniem:

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

HTTP/1.1 200 Connection established   <- tunnel open, HTTPS flows through it

HTTP/1.1 403 Forbidden                <- or the proxy refuses: ERR_TUNNEL_CONNECTION_FAILED

Jeśli proxy odpowie czymkolwiek innym niż sukces, na przykład kodem 403, bo strona jest zablokowana, albo 502, bo samo proxy nie może dotrzeć do strony, Chrome się poddaje i pokazuje ERR_TUNNEL_CONNECTION_FAILED. Pierwsza strzałka w przykładzie oznacza otwarty tunel, przez który płynie HTTPS, a druga odmowę proxy.

Co powoduje błąd ERR_TUNNEL_CONNECTION_FAILED?

Rozwiązanie 1: Sprawdź, jakiego proxy Chrome faktycznie używa

Otwórz chrome://net-internals/#proxy w pasku adresu, kliknij Re-apply settings i Clear bad proxies, a potem odśwież stronę. Ta strona nie pokazuje już samego proxy. Aby zobaczyć efektywne ustawienia proxy, których używa Chrome, łącznie ze skryptem automatycznej konfiguracji, zapisz log w chrome://net-export i otwórz go w przeglądarce NetLog (netlog-viewer.appspot.com), w zakładce Proxy.

Jeśli widnieje tam „Use DIRECT connections” albo nie ma żadnego proxy, to nie proxy jest przyczyną i zamiast tego sprawdź, czy Twoja sieć nie blokuje strony. Jeśli widać proxy lub skrypt PAC, którego nie rozpoznajesz, przejdź do rozwiązań 2 i 3, aby ustalić, skąd się wziął. Pomaga też otwarcie strony What Is My IP: jeśli pokazana lokalizacja lub dostawca internetu nie są Twoje, ruch przechodzi przez proxy lub VPN.

Rozwiązanie 2: Wyłącz systemowe proxy (jeśli go nie używasz)

Chrome i Edge korzystają z ustawień proxy systemu operacyjnego. Jeśli celowo nie używasz proxy, wyłącz je:

• Windows 11: Ustawienia → Sieć i Internet → Serwer proxy. W sekcji Ręczna konfiguracja serwera proxy wyłącz Użyj serwera proxy. W sekcji Automatyczna konfiguracja serwera proxy zostaw włączone Automatycznie wykryj ustawienia, ale wyłącz Użyj skryptu instalacyjnego, chyba że dostałeś taki skrypt od swojej organizacji.

• macOS: Ustawienia systemowe → Sieć → Twoje połączenie → Szczegóły… → Proxy. Wyłącz wszystkie proxy, łącznie z automatyczną konfiguracją proxy, chyba że ich potrzebujesz.

:: Windows ma też osobne proxy dla usług systemowych (WinHTTP)
netsh winhttp show proxy
netsh winhttp reset proxy

Rozwiązanie 3: Sprawdź rozszerzenia, aplikacje VPN i zasady Chrome

• Rozszerzenia: otwórz chrome://settings/system. Jeśli proxy kontroluje rozszerzenie, Chrome pokazuje informację, że to rozszerzenie zarządza ustawieniem, wraz z przyciskiem do jego wyłączenia. W przeciwnym razie wyłączaj rozszerzenia proxy i VPN w chrome://extensions po jednym.

• Aplikacje VPN: niektóre aplikacje VPN działają jak lokalne proxy, a nie pełny VPN. Całkowicie zamknij aplikację, a nie tylko ją rozłącz, i odśwież stronę.

• Zasady: otwórz chrome://policy. Jeśli widzisz zasady proxy, takie jak ProxyMode, ProxyServer lub ProxyPacUrl, Twoja organizacja albo zainstalowane oprogramowanie wymusza proxy i trzeba to zmienić u źródła (albo zapytać dział IT).

Rozwiązanie 4: Zresetuj ustawienia sieci i wyczyść DNS

Jeśli ustawienia proxy wyglądają czysto, a błąd nie znika, zresetuj konfigurację sieci. W Windows uruchom poniższe polecenia w wierszu polecenia jako administrator i uruchom komputer ponownie; na Macu usuń sieć, dodaj ją z powrotem i wyczyść pamięć podręczną DNS.

ipconfig /flushdns
netsh winsock reset
netsh int ip reset
netsh winhttp reset proxy

Rozwiązanie 5: W sieci firmowej lub szkolnej zapytaj, zanim obejdziesz proxy

Sieci firmowe i szkolne często wymagają proxy, a wiele z nich używa go do blokowania całych kategorii stron. Gdy błąd ERR_TUNNEL_CONNECTION_FAILED pojawia się tylko na niektórych stronach, a wszystko inne działa, proxy najpewniej celowo blokuje te strony.

Wyłączenie proxy w takich sieciach zwykle nie pomaga, bo połączenia bezpośrednie też są blokowane. Zapytaj dział IT, czy stronę można odblokować, albo otwórz ją z innej sieci.

Dla administratorów proxy

Aby zobaczyć dokładnie, jak proxy odpowiada na żądanie CONNECT, odtwórz je za pomocą curl z komputera klienckiego:

curl -v -x http://proxy.example.com:3128 https://example.com/ -o /dev/null
# Sukces:   "HTTP/1.1 200 Connection established"
# Porażka:  "CONNECT tunnel failed, response 403"
#           (starszy curl: "Received HTTP code 403 from proxy after CONNECT")

Kod 403 wskazuje na regułę dostępu, 407 na uwierzytelnianie, a 502/503 na to, że proxy nie może dotrzeć do celu (sprawdź DNS samego proxy i jego zaporę ruchu wychodzącego). W domyślnej konfiguracji Squida reguła http_access deny CONNECT !SSL_ports odrzuca CONNECT do każdego portu, którego nie ma na liście SSL_ports (domyślnie 443), więc strony HTTPS na portach takich jak 8443 nie działają, dopóki ich nie dodasz. Czy port docelowy jest w ogóle osiągalny, sprawdzisz z zewnątrz za pomocą Port Checker od DNS Robot.

ERR_TUNNEL_CONNECTION_FAILED a podobne błędy

Powiązane poradniki: ERR_CONNECTION_RESET, ERR_NETWORK_CHANGED i ERR_NAME_NOT_RESOLVED.