ERR_CONNECTION_RESET em um só site

Um site falha com ERR_CONNECTION_RESET e o resto funciona? Verifique passo a passo rede, extensões, proxy, DNS, relógio e filtragem por SNI com curl.

Publicado em 9 min de leituraLer em inglês →

Todos os outros sites carregam, mas um continua falhando com "Não é possível acessar esse site" e ERR_CONNECTION_RESET. Recarregar não adianta. Este guia é uma árvore de decisão. Cada passo encontra a causa ou descarta uma, e a ordem vai das verificações mais rápidas até a mais reveladora.

O que "connection reset" significa de verdade

Uma conexão TCP pode terminar de forma educada, ou pode ser derrubada na hora com um pacote de redefinição (RST). O Chrome e outros navegadores baseados no Chromium mostram ERR_CONNECTION_RESET quando uma redefinição chega antes de a página ser entregue. O Firefox mostra uma página parecida, "A conexão foi redefinida". A redefinição pode vir do servidor do site, de um software no seu próprio computador ou de um equipamento no meio da rede que finge ser uma das duas pontas.

É por isso que o mesmo erro tem causas tão diferentes. O segredo é descobrir quem enviou a redefinição e quando.

Passo 1: é mesmo só um site?

Abra dois ou três sites sem relação entre si, incluindo um que você visita pouco. Se vários falharem, o problema é a sua conexão, o roteador ou o dispositivo, e não aquele site. Reinicie o roteador e veja se outros dispositivos na mesma rede funcionam. Se só um site falha, continue.

Passo 2: é só uma rede?

Este é o teste mais informativo, e é de graça. Abra o site nos dados móveis em vez do Wi-Fi, ou conecte o notebook ao roteador do celular. Se o site abre em uma rede e é redefinido na outra, a rede que falha está envolvida. As causas comuns estão em Por que um site abre nos dados móveis, mas não no Wi-Fi? Se falha em todo lugar, o próprio site ou o seu dispositivo é a causa mais provável.

Passo 3: outro navegador, uma janela anônima, sem extensões

Experimente uma janela privada ou anônima, em que a maioria das extensões fica desligada por padrão. Depois experimente outro navegador. Bloqueadores de anúncios, extensões de privacidade, complementos de "navegação segura" e políticas de navegador de empresas podem fechar conexões. Se o site funciona na janela anônima, reative as extensões uma por uma até o erro voltar.

Passo 4: desligue outras VPNs, proxies e a verificação de HTTPS

Qualquer coisa no caminho do seu tráfego pode redefinir uma conexão de que não goste:

  • Outro app de VPN ou de proxy. Desligue-o completamente e teste de novo.
  • A "verificação de HTTPS" ou a "proteção web" do antivírus. Alguns pacotes de segurança inspecionam o tráfego criptografado e cortam as conexões que consideram arriscadas. Pause esse recurso por um momento para testar e depois ligue de novo.
  • O proxy do sistema. No Windows, veja em Configurações → Rede e Internet → Proxy. No macOS, veja em Ajustes do Sistema → Rede → sua conexão → Detalhes → Proxies. Um proxy que você não reconhece, ou um que sobrou de um app antigo, pode quebrar sites específicos. Remova só o que você sabe que configurou, e em um computador gerenciado pergunte à equipe de TI.

Passo 5: limpe o cache de DNS e teste o DNS criptografado

Se o site mudou de servidor, o seu dispositivo pode ainda estar usando o endereço antigo, o que pode causar redefinição ou tempo esgotado. Limpe os caches:

# Windows (Command Prompt)
ipconfig /flushdns

# macOS
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Chrome's own cache: open chrome://net-internals/#dns and click "Clear host cache"

Em seguida, compare a resposta da sua rede com a de um resolvedor independente: nslookup example.com e depois nslookup example.com 1.1.1.1. Se forem diferentes e só a resposta independente funcionar, o DNS da sua rede é o problema. O DNS criptografado resolve esse tipo de bloqueio, como explicado em DoH e DoT. Endereços diferentes, sozinhos, não provam nada, já que sites grandes entregam servidores diferentes para redes diferentes.

Passo 6: confira a data e a hora

Um relógio errado costuma gerar um erro de certificado, e não uma redefinição, mas é uma verificação de dez segundos. Ative a data e a hora automáticas e recarregue. Nunca clique para "passar" por um aviso de certificado em uma página que está falhando.

Passo 7: o site está fora do ar?

Veja a página de status do site ou a conta oficial dele nas redes sociais, ou use um verificador público do tipo "está fora do ar para todos ou só para mim?". Se o site estiver fora do ar, espere. Lembre que um verificador testa a partir dos próprios servidores, então "no ar" ali não prova que ele seja acessível a partir da sua rede.

Passo 8: leia a redefinição com o curl

Se o site continua sendo redefinido só em uma rede, olhe o próprio handshake. O curl vem incluído no Windows 10 e 11, no macOS e na maioria dos sistemas Linux. Rode-o em um terminal, com o seu site no lugar de example.com:

curl -v https://example.com

Uma conexão saudável mostra algumas linhas como estas e depois os cabeçalhos da página. O texto exato depende da versão do curl e da biblioteca TLS:

*   Trying 203.0.113.10:443...
* Connected to example.com (203.0.113.10) port 443
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
...
< HTTP/2 200

O padrão que indica filtragem por nome é este:

*   Trying 203.0.113.10:443...
* Connected to example.com (203.0.113.10) port 443
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* Recv failure: Connection reset by peer
curl: (35) Recv failure: Connection reset by peer

Leia linha por linha. "Connected" significa que a conexão TCP com o endereço IP do servidor funcionou, então o endereço não está bloqueado por completo. "Client hello" é a primeira mensagem do TLS, e ela leva o nome do site em texto puro em um campo chamado SNI. "Connection reset by peer" logo depois significa que algo cortou a conexão assim que o nome ficou visível, antes de o servidor conseguir responder. Algumas redes fecham a conexão em silêncio, o que o curl mostra como um fim de arquivo inesperado ou um erro SSL de "syscall", e o Chrome pode mostrar ERR_CONNECTION_CLOSED.

Compare com outros resultados:

O que o curl mostraSignificado provável
Could not resolve hostFalha de DNS ou bloqueio por DNS. Volte ao passo 5
Fica parado em "Trying" e depois o tempo esgotaO endereço IP está inacessível: um bloqueio por IP, um firewall ou um servidor fora do ar
Redefinição ou fechamento logo depois do "Client hello", só em uma redeProvavelmente filtragem por SNI nessa rede
O handshake termina e depois vem um código de erro HTTPO site respondeu. O problema está do lado dele ou na sua conta

Para reforçar a conclusão, rode o mesmo comando em outra rede. Se funcionar lá, o filtro pertence à primeira rede. Não é um palpite sobre uma situação rara. Um estudo de 2020 do OONI e do Centre for Internet and Society encontrou conexões TLS cortadas logo depois do ClientHello para certos sites na Bharti Airtel, e o SNI combinado com o endereço de destino na Reliance Jio. O CIS relatou separadamente que a Jio usava inspeção do SNI, e o relatório foi discutido no fórum ntc.party. Mais contexto: Como saber se um site está bloqueado.

Onde o GreenTunnel ajuda e onde não ajuda

O GreenTunnel é uma VPN local que roda no dispositivo e é feita por nós, então leia esta parte sabendo que não somos imparciais. Ele trata duas das causas acima:

  • Filtragem por SNI. Ele remodela os primeiros pacotes TLS de uma conexão, por exemplo dividindo o Client hello ou o registro TLS dele, para que um filtro que procura o nome de um site não o encontre inteiro. Como funciona: SNI, DPI e divisão de registros TLS.
  • Bloqueio por DNS. As consultas vão por DNS criptografado (DoH ou DoT) para a Cloudflare, o Google ou o Quad9, então a rede não consegue devolver em silêncio uma resposta falsa.

A ferramenta Inspect URL (Inspecionar URL) faz as comparações dos passos 5 e 8 para um site na rede em que você está, e diz se o site está filtrado por nome, recebe uma resposta DNS falsa, está bloqueado por endereço IP ou está tudo bem. Se uma técnica funcionar, você pode tocar em Use this technique (Usar esta técnica).

Ele não vai ajudar quando:

  • o site está fora do ar, ou a redefinição vem do próprio servidor do site ou do serviço de proteção dele,
  • o bloqueio é por endereço IP, o que aparece como tempo esgotado em "Trying",
  • uma rede de trabalho, de escola ou outra rede gerenciada bloqueia o site de propósito. As regras dessa rede cabem ao dono dela. Respeite a política e peça ao administrador se precisar de acesso para o trabalho,
  • a causa é uma extensão, um antivírus ou um DNS desatualizado no seu próprio dispositivo. Corrija isso diretamente.

Limites honestos e uso responsável

O GreenTunnel não esconde o seu endereço IP e não é uma ferramenta de anonimato. Ele não consegue contornar bloqueios por IP, apagões de rede ou listas de permissão, e não promete abrir nenhum site específico. Os filtros mudam com o tempo e variam entre operadoras, então um resultado de hoje pode ser diferente no mês que vem.

Perguntas frequentes

ERR_CONNECTION_RESET sempre indica que um site está bloqueado?

Não. Extensões, a verificação de HTTPS do antivírus, um proxy esquecido, um DNS desatualizado ou o próprio site podem causá-lo. O bloqueio só fica provável quando a redefinição acontece em uma rede, logo depois do Client hello, e o site funciona em outros lugares.

Por que o site funciona nos dados móveis, mas é redefinido no Wi-Fi?

As duas redes usam provedores, resolvedores e filtros diferentes. Uma delas pode ler o nome do site ou responder ao DNS de outro jeito. Rode curl -v nas duas e compare onde cada uma para.

Limpar os cookies resolve uma redefinição de conexão?

Raramente. Os cookies são enviados depois que a conexão é estabelecida, e a maioria das redefinições acontece antes. Limpar os dados do site pode ajudar quando o próprio site rejeita uma sessão corrompida, o que em geral mostra um erro HTTP.

O GreenTunnel consegue resolver uma redefinição causada pelo firewall da minha empresa?

Ele não foi feito para isso. Uma rede gerenciada bloqueia sites de acordo com a política do dono dela. Fale com o administrador em vez de tentar contornar.

Fontes

← Todos os posts