ERR_CONNECTION_RESET su un solo sito

Tutti gli altri siti si caricano, ma uno continua a non aprirsi con "Impossibile raggiungere il sito" e ERR_CONNECTION_RESET. Ricaricare non serve. Questa guida è un albero decisionale. Ogni passo trova la causa oppure ne esclude una, e l'ordine va dai controlli più veloci a quello più rivelatore.

Cosa significa davvero "connessione reimpostata"

Una connessione TCP può chiudersi in modo ordinato, oppure essere abbattuta di colpo con un pacchetto di reset (RST). Chrome e gli altri browser basati su Chromium mostrano ERR_CONNECTION_RESET quando arriva un reset prima che la pagina sia consegnata. Firefox mostra una pagina simile, "La connessione è stata annullata". Il reset può arrivare dal server del sito, da un software sul tuo computer o da un dispositivo in mezzo alla rete che finge di essere una delle due estremità.

Ecco perché lo stesso errore ha cause così diverse. Il trucco è capire chi ha inviato il reset e quando.

Passo 1: è davvero un solo sito?

Apri due o tre siti senza legami tra loro, compreso uno che visiti raramente. Se ne falliscono diversi, il problema è la tua connessione, il router o il dispositivo, non quel sito. Riavvia il router e verifica se gli altri dispositivi sulla stessa rete funzionano. Se fallisce un solo sito, continua.

Passo 2: è una sola rete?

Questa è la prova più utile, ed è gratuita. Apri il sito con i dati mobili invece del Wi-Fi, oppure collega il portatile all'hotspot del telefono. Se il sito si apre su una rete e dà reset sull'altra, la rete che fallisce è coinvolta. Le cause più comuni sono trattate in Perché un sito si apre con i dati mobili ma non con il Wi-Fi? Se fallisce ovunque, la causa più probabile è il sito stesso o il tuo dispositivo.

Passo 3: un altro browser, una finestra privata, nessuna estensione

Prova una finestra privata o in incognito, dove la maggior parte delle estensioni è disattivata per impostazione predefinita. Poi prova un altro browser. Ad blocker, estensioni per la privacy, componenti aggiuntivi di "navigazione sicura" e criteri aziendali del browser possono tutti chiudere le connessioni. Se il sito funziona in una finestra privata, riattiva le estensioni una alla volta finché l'errore non ricompare.

Passo 4: disattiva altre VPN, proxy e scansione HTTPS

Qualsiasi cosa si trovi sul percorso del tuo traffico può reimpostare una connessione che non gli piace:

• Un'altra app VPN o proxy. Disattivala del tutto e riprova.
• "Scansione HTTPS" o "protezione web" dell'antivirus. Alcune suite di sicurezza ispezionano il traffico cifrato e interrompono le connessioni che ritengono rischiose. Sospendi brevemente quella funzione per provare, poi riattivala.
• Il proxy di sistema. Su Windows, guarda in Impostazioni → Rete e Internet → Proxy. Su macOS, guarda in Impostazioni di Sistema → Rete → la tua connessione → Dettagli → Proxy. Un proxy che non riconosci, o uno rimasto da una vecchia app, può impedire l'apertura di singoli siti. Rimuovi solo ciò che sai di aver impostato tu, e su un computer gestito chiedi al tuo reparto IT.

Passo 5: svuota la cache DNS e prova il DNS cifrato

Se il sito ha cambiato server, il tuo dispositivo potrebbe usare ancora il vecchio indirizzo, il che può causare un reset o un timeout. Svuota le cache:

# Windows (Command Prompt)
ipconfig /flushdns

# macOS
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Chrome's own cache: open chrome://net-internals/#dns and click "Clear host cache"

Poi confronta la risposta della tua rete con quella di un resolver indipendente: nslookup example.com e poi nslookup example.com 1.1.1.1. Se sono diverse e funziona solo la risposta indipendente, il problema è il DNS della tua rete. Il DNS cifrato risolve questo tipo di blocco, come spiegato in DoH e DoT. Indirizzi diversi da soli non sono una prova, perché i grandi siti assegnano server diversi a reti diverse.

Passo 6: controlla data e ora

Un orologio sbagliato di solito produce un errore di certificato piuttosto che un reset, ma il controllo richiede dieci secondi. Attiva data e ora automatiche, poi ricarica. Non fare mai clic oltre un avviso di certificato per "superare" una pagina che non si apre.

Passo 7: il sito è fuori servizio?

Controlla la pagina di stato del sito o il suo account social ufficiale, oppure usa un servizio pubblico del tipo "è giù per tutti o solo per me". Se il sito è fuori servizio, aspetta. Ricorda che questi servizi fanno la prova dai propri server, quindi un risultato "online" lì non dimostra che il sito sia raggiungibile dalla tua rete.

Passo 8: leggi il reset con curl

Se il sito dà ancora reset su una sola rete, guarda l'handshake stesso. curl è incluso in Windows 10 e 11, macOS e nella maggior parte dei sistemi Linux. Eseguilo in un terminale con il tuo sito al posto di example.com:

curl -v https://example.com

Una connessione sana stampa alcune righe come queste, poi le intestazioni della pagina. Il testo esatto dipende dalla versione di curl e dalla libreria TLS:

*   Trying 203.0.113.10:443...
* Connected to example.com (203.0.113.10) port 443
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
...
< HTTP/2 200

Lo schema che indica un filtraggio basato sul nome è questo:

*   Trying 203.0.113.10:443...
* Connected to example.com (203.0.113.10) port 443
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* Recv failure: Connection reset by peer
curl: (35) Recv failure: Connection reset by peer

Leggilo riga per riga. "Connected" significa che la connessione TCP all'indirizzo IP del server ha funzionato, quindi l'indirizzo non è bloccato del tutto. "Client hello" è il primo messaggio TLS, e porta il nome del sito in chiaro in un campo chiamato SNI. "Connection reset by peer" subito dopo significa che qualcosa ha interrotto la connessione appena quel nome era visibile, prima che il server potesse rispondere. Alcune reti invece chiudono la connessione in silenzio, cosa che curl segnala come fine inattesa del file o come errore SSL "syscall", e Chrome può mostrare ERR_CONNECTION_CLOSED.

Confronta con gli altri risultati:

Per avere una conferma, esegui lo stesso comando su un'altra rete. Se lì funziona, il filtro appartiene alla prima rete. Non è un'ipotesi su un caso raro. Uno studio del 2020 di OONI e del Centre for Internet and Society ha rilevato connessioni TLS interrotte subito dopo il ClientHello per alcuni siti su Bharti Airtel, e un filtraggio basato su SNI combinato con l'indirizzo di destinazione su Reliance Jio. Il CIS ha riportato separatamente l'uso dell'ispezione SNI da parte di Jio, e il rapporto è stato discusso sul forum ntc.party. Per approfondire: Come capire se un sito è bloccato.

Dove GreenTunnel aiuta e dove no

GreenTunnel è una VPN locale che funziona sul dispositivo ed è sviluppata da noi, quindi leggi questa parte sapendo che siamo di parte. Affronta due delle cause viste sopra:

• Filtraggio SNI. Rimodella i primi pacchetti TLS di una connessione, per esempio dividendo il Client hello o il suo record TLS, così un filtro che cerca il nome di un sito non lo trova tutto intero. Come funziona: SNI, DPI e suddivisione dei record TLS.
• Blocco DNS. Le richieste passano tramite DNS cifrato (DoH o DoT) verso Cloudflare, Google o Quad9, così la rete non può restituire di nascosto una risposta falsa.

Il suo strumento Inspect URL esegue i confronti dei passi 5 e 8 per un sito sulla rete in cui ti trovi, e dice se il sito è filtrato per nome, riceve una risposta DNS falsa, è bloccato per indirizzo IP o è a posto. Se una tecnica funziona, puoi toccare Use this technique.

Non aiuta quando:

• il sito è fuori servizio, o il reset arriva dal server del sito o dal suo servizio di protezione,
• il blocco è per indirizzo IP, che si presenta come un timeout su "Trying",
• una rete aziendale, scolastica o comunque gestita blocca il sito di proposito. Le regole di quella rete spettano al suo proprietario. Rispetta la policy e chiedi all'amministratore se ti serve l'accesso per lavoro,
• la causa è un'estensione, un antivirus o un DNS non aggiornato sul tuo dispositivo. Risolvi quelli direttamente.

Limiti onesti e uso responsabile

GreenTunnel non nasconde il tuo indirizzo IP e non è uno strumento di anonimato. Non può aggirare blocchi IP, interruzioni della rete o liste di consentiti, e non promette di aprire un sito specifico. I filtri cambiano nel tempo e variano da un provider all'altro, quindi un risultato di oggi può essere diverso il mese prossimo.

Domande frequenti

ERR_CONNECTION_RESET è sempre il segno che un sito è bloccato?

No. Possono causarlo estensioni, la scansione HTTPS dell'antivirus, un proxy rimasto, un DNS non aggiornato o il sito stesso. Un blocco diventa probabile solo quando il reset avviene su una sola rete, subito dopo il Client hello, e il sito funziona altrove.

Perché il sito funziona con i dati mobili ma dà reset sul Wi-Fi?

Le due reti usano provider, resolver e filtri diversi. Una delle due può leggere il nome del sito o rispondere al DNS in modo diverso. Esegui curl -v su entrambe e confronta dove si ferma ciascuna.

Cancellare i cookie risolve un reset della connessione?

Raramente. I cookie vengono inviati dopo che la connessione è stata stabilita, mentre la maggior parte dei reset avviene prima. Cancellare i dati del sito può aiutare quando è il sito stesso a rifiutare una sessione non valida, cosa che di solito mostra invece un errore HTTP.

GreenTunnel può risolvere un reset causato dal firewall della mia azienda?

Non è pensato per questo. Una rete gestita blocca i siti secondo la policy del suo proprietario. Chiedi all'amministratore invece di provare ad aggirarla.

Fonti

• OONI e Centre for Internet and Society, Investigating TLS blocking in India, luglio 2020.
• Centre for Internet and Society, Reliance Jio is using SNI inspection to block websites.
• Forum ntc.party, SNI filtering by Indian ISP Reliance Jio.
• Progetto curl, manuale di curl (l'opzione -v).