ERR_TUNNEL_CONNECTION_FAILED: o que é e como resolver

O que é o ERR_TUNNEL_CONNECTION_FAILED?

O ERR_TUNNEL_CONNECTION_FAILED é um erro do Chrome e do Edge que só acontece quando o navegador está usando um servidor proxy. O código-fonte do Chromium descreve o erro de rede -111 assim: "A tunnel connection through the proxy could not be established" (não foi possível estabelecer uma conexão de túnel através do proxy). Não existe uma página de erro própria para ele, então você vê a genérica: "Não é possível acessar esse site. A página da Web em … pode estar temporariamente inativa ou pode ter sido movida permanentemente para um novo endereço da Web", com ERR_TUNNEL_CONNECTION_FAILED logo abaixo.

Esse texto genérico engana. Normalmente o site está funcionando. A falha aconteceu um passo antes, entre o seu navegador e o proxy que deveria encaminhar o seu tráfego.

Muita gente que vê esse erro nem sabe que está usando um proxy. Um app de VPN, uma extensão do navegador, um script de configuração automática na rede ou um adware podem ativar um proxy sem avisar, então o primeiro passo é verificar qual proxy o Chrome está realmente usando.

Como funciona um túnel de proxy (e como ele falha)

O tráfego HTTPS é criptografado de ponta a ponta, então um proxy web comum não consegue lê-lo. Em vez disso, o navegador pede ao proxy que abra um túnel direto com uma requisição especial:

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

HTTP/1.1 200 Connection established   <- tunnel open, HTTPS flows through it

HTTP/1.1 403 Forbidden                <- or the proxy refuses: ERR_TUNNEL_CONNECTION_FAILED

Se o proxy responde com qualquer coisa diferente de sucesso, por exemplo 403 porque o site está bloqueado ou 502 porque o próprio proxy não consegue alcançar o site, o Chrome desiste e mostra ERR_TUNNEL_CONNECTION_FAILED.

O que causa o ERR_TUNNEL_CONNECTION_FAILED?

Correção 1: veja qual proxy o Chrome está realmente usando

Abra chrome://net-internals/#proxy na barra de endereço, clique em Re-apply settings e em Clear bad proxies e recarregue o site. Essa página não mostra mais o proxy em si. Para ver as configurações de proxy efetivas que o Chrome está usando, incluindo qualquer script de configuração automática, salve um log em chrome://net-export e abra-o no NetLog viewer (netlog-viewer.appspot.com), na aba Proxy.

Se aparecer "Use DIRECT connections" ou nenhum proxy, o proxy não é a causa, e vale verificar se a sua rede está bloqueando o site. Se aparecer um proxy ou um script PAC que você não reconhece, siga para as correções 2 e 3 para descobrir de onde ele vem. Abrir o Qual é Meu IP também ajuda: se a localização ou o provedor de internet mostrados não forem os seus, o seu tráfego está passando por um proxy ou por uma VPN.

Correção 2: desative o proxy do sistema (se você não usa um)

O Chrome e o Edge usam as configurações de proxy do sistema operacional. Se você não usa um proxy de propósito, desative-o:

• Windows 11: Configurações → Rede e Internet → Proxy. Em Configuração manual de proxy, desative Usar um servidor proxy. Em Configuração automática de proxy, deixe Detectar configurações automaticamente ativado, mas desative Usar script de instalação (Use setup script), a menos que a sua organização tenha fornecido um.

• macOS: Ajustes do Sistema → Rede → a sua conexão → Detalhes… → Proxies. Desative todos os proxies, incluindo a configuração automática de proxy, a menos que você precise dela.

:: O Windows também tem um proxy separado para os serviços do sistema (WinHTTP)
netsh winhttp show proxy
netsh winhttp reset proxy

Correção 3: verifique extensões, apps de VPN e políticas do Chrome

• Extensões: abra chrome://settings/system. Se uma extensão controla o seu proxy, o Chrome mostra um aviso dizendo que essa extensão está controlando a configuração, com um botão para desativá-la. Se não houver aviso, desative as extensões de proxy e de VPN em chrome://extensions, uma de cada vez.

• Apps de VPN: alguns apps de VPN funcionam como um proxy local, e não como uma VPN completa. Feche o app por completo, não apenas desconecte, e recarregue.

• Políticas: abra chrome://policy. Se aparecerem políticas de proxy como ProxyMode, ProxyServer ou ProxyPacUrl, a sua organização ou um software instalado está impondo um proxy, e você vai precisar mudar isso na origem (ou pedir à equipe de TI).

Correção 4: redefina as configurações de rede e limpe o DNS

Se as configurações de proxy parecem limpas mas o erro continua, redefina a configuração de rede. No Windows, execute os comandos abaixo em um Prompt de Comando de administrador e reinicie; no Mac, remova e adicione a rede de novo e limpe o cache DNS.

ipconfig /flushdns
netsh winsock reset
netsh int ip reset
netsh winhttp reset proxy

Correção 5: na rede do trabalho ou da escola, pergunte antes de contornar

Redes de empresas e escolas muitas vezes exigem um proxy, e muitas o usam para bloquear categorias de sites. Quando só alguns sites falham com ERR_TUNNEL_CONNECTION_FAILED e todo o resto funciona, é bem provável que o proxy esteja bloqueando esses sites de propósito.

Desligar o proxy normalmente não ajuda nessas redes, porque as conexões diretas também são bloqueadas. Pergunte à equipe de TI se o site pode ser liberado, ou acesse o site a partir de outra rede.

Para administradores de proxy

Para ver exatamente como o proxy responde à requisição CONNECT, reproduza-a com o curl a partir de uma máquina cliente:

curl -v -x http://proxy.example.com:3128 https://example.com/ -o /dev/null
# Sucesso:  "HTTP/1.1 200 Connection established"
# Falha:    "CONNECT tunnel failed, response 403"
#           (curl antigo: "Received HTTP code 403 from proxy after CONNECT")

Um 403 aponta para uma regra de acesso, um 407 para autenticação, e um 502/503 para o proxy não conseguir alcançar o destino (verifique o DNS do próprio proxy e o firewall de saída). Na configuração padrão do Squid, http_access deny CONNECT !SSL_ports recusa o CONNECT para qualquer porta que não esteja na lista SSL_ports (443 por padrão), então sites HTTPS em portas como 8443 falham até você adicioná-las. Você pode verificar de fora se a porta de destino está acessível com o Verificador de Portas do DNS Robot.

ERR_TUNNEL_CONNECTION_FAILED vs. erros parecidos

Guias relacionados: ERR_CONNECTION_RESET, ERR_NETWORK_CHANGED e ERR_NAME_NOT_RESOLVED.