ERR_TUNNEL_CONNECTION_FAILED: що означає ця помилка Chrome

Більшість помилок браузера розпливчасті. Ця - ні, і це добра новина.

Коли ви відкриваете HTTPS-сайт через проксі, браузер не надсилає ваш запит до проксі напряму. Він просить проксі спочатку побудувати тунель за допомогою HTTP-запиту CONNECT, у якому вказані хост і порт. Проксі повинен відповісти 200 Connection Established, після чого зашифрований трафік проходить крізь нього без змін.

ERR_TUNNEL_CONNECTION_FAILED означає, що цей обмін не завершився. Не те, що сайт не працює, не те, що у вас проблеми з інтернетом, не те, що DNS збився. Проблема на етапі проксі.

Це дає вам діагноз ще до будь-яких змін: у вашому з'єднанні є проксі, і саме він створює проблему. Єдине питання - який саме проксі і чому він відмовив.

«Але я не користуюся проксі»

Значить, у вас є проксі, який ви не налаштовували свідомо. У приблизному порядку за частотою:

VPN-клієнт - запущений або напівзапущений. Багато з них встановлюють системний проксі і залишають його після збою або некоректного відключення.
Розширення браузера. Блокувальники реклами, інструменти для приватності та розширення «безкоштовного VPN» можуть встановлювати проксі через API розширень, і в трекері проблем Chromium є звіти саме про цю помилку з цієї причини.
Корпоративна або шкільна конфігурація. PAC-файл або примусова політика, яка часто вказує на проксі, що відповідає тільки зсередини офісної мережі. Тому ноутбук працює в офісі, а вдома - ні.
Залишкові системні налаштування. Параметри LAN у Windows і мережеві проксі macOS зберігають все, що було туди записано востаннє, включно з програмами, які ви вже видалили.
Шкідливе ПЗ або adware - зазвичай працює так: вставляє себе як локальний проксі.

Найшвидший спосіб розібратися: відкрийте той самий сайт в іншому браузері та через мобільний інтернет. Якщо відмовляє тільки один браузер - справа в розширенні або в налаштуваннях проксі цього браузера. Якщо всі браузери на комп'ютері не працюють, а телефон працює - проблема в системі або в мережі.

Де шукати, залежно від платформи

Платформа	Де знаходяться налаштування проксі
Windows 10 та 11	Параметри, Мережа та інтернет, Проксі-сервер. Також `inetcpl.cpl`, Підключення, Налаштування локальної мережі
macOS	Системні налаштування, Мережа, ваш інтерфейс, Деталі, Проксі
Ubuntu та Linux-десктопи	Налаштування мережі, плюс змінні середовища `http_proxy` і `https_proxy`
WSL	Нічого не успадковує автоматично: має власні змінні середовища, а проксі хоста Windows - це окрема річ
Android	Окремо для кожної Wi-Fi-мережі, у розширених налаштуваннях мережі

Рядок про WSL регулярно спантеличує людей. Термінал усередині WSL і браузер на тій самій машині можуть не погоджуватися навіть у тому, чи існує проксі взагалі, і тому один працює, а інший - ні.

Якщо ви налаштували проксі навмисно

Це та частина, яку пропускають загальні інструкції, бо їхня порада - «вимкніть проксі». Якщо проксі - це і є мета, ось шість способів, якими він викликає саме цю помилку.

1. Неправильний порт або правильний порт для неправильного протоколу. SOCKS5-ендпоінт, введений у поле HTTP-проксі, щоразу провалить обмін CONNECT. Те саме з HTTP-портом, введеним як SOCKS. Перевірте, яким протоколом насправді говорить цей порт, перш ніж припускати, що проблема в облікових даних.

2. Проблема з автентифікацією. Споріднена помилка - 407 Proxy Authentication Required, і ці два запити потрапляють в один кластер не випадково: залежно від клієнта відхилений логін може виглядати як будь-яка з них. Якщо бачите 407 десь поруч, почніть звідти, зі статті про виправлення 407.

3. Проксі не дозволяє CONNECT на цей порт. Багато проксі дозволяють CONNECT на 443 і відмовляють у всьому іншому. Якщо URL, що не працює, використовує нестандартний порт, - це ваша відповідь.

4. Ваша IP-адреса не внесена до білого списку. Провайдери, що аутентифікують за IP, а не за логіном, тихо відхиляють тунелі з невідомих адрес. Ваша домашня адреса змінилася, або ви перейшли в іншу мережу - і нічого більше.

5. Проксі мертвий, прострочений або призупинений. Неоплачена або прострочена адреса не повідомляє про це ввічливо, з боку браузера це виглядає саме так.

6. Апстрім блокує призначення. Деякі провайдери блокують певні порти або категорії. Сам запит на тунель нормальний, проксі просто не буде його відкривати до цього хоста.

Розділити ці причини за хвилину можна, протестувавши проксі поза браузером:

curl -x http://USER:PASS@HOST:PORT -I https://example.com

200 або 301 означає, що проксі і облікові дані працюють, а проблема в налаштуваннях браузера. 407 означає помилку автентифікації. Відмова з'єднання означає, що ендпоінт або порт неправильний. Це та решта перевірок перед покупкою описані в статті як протестувати проксі перед покупкою.

По браузерах

Chrome, Edge, Opera та Brave - це все Chromium, тому вони мають однаковий текст помилки і використовують системний проксі, якщо його не перевизначає розширення. Це пояснює дві поширені ситуації:

Не працює в Chrome та Edge, але працює у Firefox. Firefox має власні налаштування проксі і за замовчуванням ігнорує системні, тому тихо обходить те, що зламане. Firefox покаже інше повідомлення для того самого збою.
Не працює тільки в одному браузері на Chromium. У цього браузера є розширення або параметр командного рядка, що встановлює проксі, якого немає в інших.

Safari використовує системні налаштування macOS, тому поводиться як Chrome на тому самому Mac.

Чому тут з'являються Teams, Outlook, Gmail та YouTube

Це все просто HTTPS через той самий проксі. Ніякої специфіки жодного з них: якщо тунель не спрацював, не працює весь HTTPS, а люди шукають за назвою сайту, який саме намагалися відкрити.

Два додатки справді різні:

VS Code має власні налаштування проксі і може не працювати, коли браузер працює.
Все у WSL або в контейнері має власне повністю окреме середовище згідно з таблицею вище.

Послідовність дій для виправлення

Спробуйте мобільний інтернет або іншу мережу. Відокремлює «моя машина» від «ця мережа» за десять секунд.
Спробуйте інший браузер. Відокремлює налаштування браузера від системних налаштувань.
Перевірте налаштування системного проксі для вашої платформи в таблиці вище і вимкніть усе, чого ви не встановлювали свідомо.
Вимкніть розширення або відкрийте приватне вікно, де вони за замовчуванням вимкнені, і подивіться, чи зникла помилка.
Повністю закрийте VPN-клієнт, а не просто відключіться від нього.
Якщо проксі навмисний, запустіть тест curl вище і пропрацюйте шість причин.

Що цього не виправить

Варто згадати, бо популярні поради для цієї помилки здебільшого запозичені з інших помилок:

Очищення кешу. Збій відбувається раніше, ніж завантажується будь-який контент.
Скидання DNS. Розв'язання імен не те, що не спрацювало, не спрацював тунель. DNS важливий тільки якщо саме ім'я хоста проксі не розв'язується.
Скидання всього мережевого стека. Інколи спрацьовує, але лише тому, що заодно стирає налаштування проксі, а крок третій робить це свідомо і з можливістю відкоту.
Перехід на публічний DNS-резолвер. З тієї ж причини, що й очищення кешу.

Якщо інструкція починається з кешу та DNS для цієї конкретної помилки, вона розглядає збій проксі як загальний збій підключення.

Якщо ви тут, бо налаштовуєте проксі

Тоді ця помилка є повідомленням про конфігурацію, а не несправність, і корисна послідовність така:

Перевірте, що ендпоінт розмовляє тим протоколом, яким ви його вказали, згідно з відмінностями між типами проксі.
Перевірте аутентифікацію окремо через curl, не залучаючи браузер.
Перевірте, чи адреса взагалі має доступ до вашої цілі, бо деякі пункти призначення відмовляють цілим категоріям адрес. Споріднений випадок, коли відмовляє саме пункт призначення, а не проксі, розглянуто в чому Reddit каже, що вас заблоковано мережевою безпекою.

Отримання чистого 200 Connection Established із curl перед тим, як торкатися браузера, економить більшість часу, який люди втрачають на цю помилку.

FAQ

Що означає ERR_TUNNEL_CONNECTION_FAILED?

Що ваш браузер попросив проксі-сервер відкрити зашифрований тунель до сайту за методом HTTP CONNECT, і проксі не завершив це рукостискання. Це саме збій проксі, а не інтернету, DNS чи самого сайту.

Як виправити ERR_TUNNEL_CONNECTION_FAILED?

Знайдіть проксі. Перевірте системні налаштування проксі, вимкніть розширення браузера, повністю закрийте будь-який VPN-клієнт і спробуйте інший браузер і іншу мережу, щоб звузити пошук. Якщо ви налаштували проксі свідомо, перевірте його через curl поза браузером, щоб відокремити проблему з обліковими даними від неправильного порту чи мертвого ендпоінта.

Я не користуюся проксі, то чому я це бачу?

Тому що щось встановило його за вас: VPN-клієнт, який не прибрав за собою, розширення браузера, корпоративна чи шкільна політика, залишкові налаштування від видаленого софту або адваре. Помилка з'являється лише коли проксі на шляху, тож знайти його і є вся робота.

Чи є ERR_TUNNEL_CONNECTION_FAILED кодом статусу HTTP?

Ні. Це мережева помилка Chromium, а не HTTP-відповідь. Найближчий HTTP-еквівалент - це те, що проксі мав би повернути натомість: 200 Connection Established у разі успіху або щось на зразок 407 Proxy Authentication Required, коли облікові дані відхилено.

Чому це трапляється в Chrome, але не у Firefox?

Тому що браузери на Chromium за замовчуванням використовують системні налаштування проксі, а Firefox тримає власні. Firefox нічого не виправляє, він повністю обходить зламаний проксі, що також є корисною діагностикою.

Чи можна обійти ERR_TUNNEL_CONNECTION_FAILED?

Тільки прибравши або полагодивши проксі на шляху. Немає ніякого прапорця браузера чи трюку, бо браузер повідомляє, що необхідний крок не відбувся. Якщо проксі належить вашому роботодавцю чи школі, мережа робить те, на що її налаштували.

Чому Teams, Outlook чи Gmail показують це?

Вони не роблять нічого особливого. Усе це HTTPS-трафік через той самий проксі-хоп, тож коли тунель падає, вони падають разом з усім іншим. Виняток, про який варто знати, - VS Code, бо він має власне налаштування проксі.

Чи допомагає очищення кешу або скидання DNS?

Рідко, і не з тієї причини, яку думають люди. Тунель падає ще до того, як будь-який контент запитано, тож нічого закешованого не може бути неправильним. DNS має значення лише якщо власне ім'я хоста проксі не вдається резолвити.