Ошибка подключения к удалённому серверу MCP: диагностика сети, TLS и прокси

Не можете подключиться к удалённому серверу MCP? Это диагностическое руководство поможет устранить проблемы с сетью, DNS, конфигурацией корпоративного прокси, инспекцией TLS и правилами файрвола. Следуйте чек-листу, чтобы выявить и исправить сбои подключения.

Диагностический чек-лист

Пройдите этот чек-лист систематически, чтобы выявить проблему:

Шаги диагностики подключения

Проверьте доступность конечной точки: можете ли вы достичь URL сервера? (См. ниже)
Проверьте разрешение DNS: правильно ли разрешается доменное имя?
Проверьте правила файрвола: разрешены ли исходящие подключения?
Проверьте конфигурацию прокси: не блокирует ли подключение корпоративный прокси?
Проверьте TLS/SSL: валидны ли сертификаты и доверяют ли им?
Проверьте API-ключ: работает ли аутентификация? (См. 401 Unauthorized)

Шаг 1: Проверка доступности конечной точки

Сначала убедитесь, что вы можете достичь конечной точки сервера MCP:

Проверка с помощью curl

Используйте curl для проверки базового подключения:

Базовая проверка подключения

curl -v https://app.workify.ru/mcp

Это должно вернуть ответ (даже если это ошибка аутентификации). Если вы получаете ошибку подключения, конечная точка недоступна.

С аутентификацией

curl -H "Authorization: Bearer YOUR_API_KEY" \
  https://app.workify.ru/mcp

Это проверяет как подключение, так и аутентификацию. Ошибка 401 означает, что подключение работает, но аутентификация не удалась. Ошибка подключения означает проблемы с сетью.

Ожидаемые ответы

200 OK: подключение успешно, сервер доступен
401 Unauthorized: подключение работает, но аутентификация не удалась (см. руководство по 401)
Connection refused: сервер недоступен или файрвол блокирует
DNS resolution failed: доменное имя не может быть разрешено
Timeout: истекло время попытки подключения (проблема файрвола или сети)

Шаг 2: Проверка разрешения DNS

Если доменное имя не разрешается, вы получите ошибки DNS:

Проверка разрешения DNS

macOS/Linux

nslookup app.workify.ru
# или
dig app.workify.ru

Windows

nslookup app.workify.ru

Проблемы DNS и их решения

Распространённые проблемы DNS

DNS-сервер недоступен: проверьте сетевое подключение и настройки DNS-сервера
Блокировка корпоративным DNS: домен может быть заблокирован корпоративными DNS-фильтрами
Неправильный DNS-сервер: убедитесь, что вы используете корректные DNS-серверы (8.8.8.8, 1.1.1.1 для проверки)
Проблемы кэша DNS: очистите кэш DNS: sudo dscacheutil -flushcache (macOS) или ipconfig /flushdns (Windows)

Шаг 3: Конфигурация корпоративного прокси

Корпоративные сети часто используют прокси, которые могут блокировать или мешать подключениям MCP:

Обнаружение проблем с прокси

Признаки проблем с прокси:

Подключение работает из дома, но не из офиса
Сообщения об ошибках упоминают "proxy" или "gateway"
Ошибки 407 Proxy Authentication Required
Тайм-ауты подключения в корпоративной сети

Настройка прокси для MCP

Если ваша сеть требует прокси, вам может понадобиться его настроить. Однако большинство клиентов MCP не поддерживают настройку прокси напрямую. Варианты:

Вариант 1: Системный прокси

Настройте системные параметры прокси. Клиенты MCP могут автоматически унаследовать эти настройки.

Вариант 2: VPN

Используйте VPN, чтобы обойти ограничения корпоративного прокси (если это разрешено политикой компании).

Вариант 3: Обратитесь в ИТ-отдел

Попросите ваш ИТ-отдел добавить app.workify.ru в белый список или разрешить исходящие HTTPS-подключения к конечным точкам MCP.

Шаг 4: Проблемы с TLS/SSL-сертификатами

Инспекция TLS и проблемы с сертификатами могут препятствовать безопасным подключениям:

Проверка TLS-подключения

openssl s_client -connect app.workify.ru:443 -servername app.workify.ru

Это показывает детали сертификата и любые ошибки TLS.

Проблемы инспекции TLS

Корпоративная инспекция TLS

Некоторые корпоративные сети используют инспекцию TLS (перехват SSL), которая может нарушить подключения MCP:

Симптом: ошибки валидации сертификата, предупреждения "untrusted certificate"
Причина: корпоративный файрвол перехватывает и повторно подписывает TLS-подключения
Решение: установите корневой сертификат компании или используйте VPN для обхода инспекции

Ошибки валидации сертификата

Распространённые ошибки сертификата

Certificate expired: сертификат сервера истёк (редко, но проверьте)
Certificate not trusted: корневой ЦС отсутствует в системном хранилище доверия
Hostname mismatch: сертификат не соответствует доменному имени
Self-signed certificate: сертификат не подписан доверенным ЦС

Шаг 5: Правила файрвола

Файрволы могут блокировать исходящие подключения к серверам MCP:

Проверка правил файрвола

Проверка исходящего HTTPS

telnet app.workify.ru 443
# или
nc -zv app.workify.ru 443

Если это не удаётся, порт 443 (HTTPS) может быть заблокирован файрволом.

Конфигурация файрвола

Необходимые правила файрвола:

Исходящий HTTPS (порт 443): разрешите подключения к app.workify.ru:443
DNS (порт 53): разрешите DNS-запросы для разрешения доменов
Входящие правила не нужны: MCP использует только исходящие подключения

Примеры сообщений об ошибках

Распространённые сообщения об ошибках и их значение:

"Connection refused"

Значение: сервер не принимает подключения
Возможные причины:
- Сервер недоступен
- Файрвол блокирует подключение
- Неправильный номер порта
Решение: проверьте статус сервера, проверьте правила файрвола, подтвердите URL конечной точки

"DNS resolution failed"

Значение: доменное имя не может быть разрешено в IP-адрес
Возможные причины:
- DNS-сервер недоступен
- Доменное имя написано с ошибкой
- Блокировка корпоративным DNS
Решение: проверьте разрешение DNS, проверьте написание домена, попробуйте другой DNS-сервер

"Connection timeout"

Значение: истекло время попытки подключения
Возможные причины:
- Файрвол блокирует подключение
- Перегрузка сети
- Проблемы с прокси-сервером
Решение: проверьте правила файрвола, попробуйте из другой сети, проверьте настройки прокси

"SSL certificate verification failed"

Значение: TLS/SSL-сертификат не может быть проверен
Возможные причины:
- Корпоративная инспекция TLS
- Истёкший сертификат
- Недоверенный корневой ЦС
Решение: установите корневой сертификат компании, проверьте валидность сертификата, проверьте системную дату/время

"407 Proxy Authentication Required"

Значение: корпоративный прокси требует аутентификации
Возможные причины:
- Прокси требует учётных данных
- Клиент MCP не поддерживает аутентификацию прокси
Решение: настройте аутентификацию прокси, используйте VPN или обратитесь в ИТ-отдел для добавления в белый список

Быстрые диагностические команды

Выполните эти проверки

Проверка подключения: curl -v https://app.workify.ru/mcp
Проверка DNS: nslookup app.workify.ru
Проверка порта: telnet app.workify.ru 443 или nc -zv app.workify.ru 443
Проверка TLS: openssl s_client -connect app.workify.ru:443
Проверка с аутентификацией: curl -H "Authorization: Bearer YOUR_API_KEY" https://app.workify.ru/mcp

Всё ещё есть проблемы?

Если вы попробовали все диагностические шаги и всё ещё не можете подключиться:

Попробуйте из другой сети (дом или офис), чтобы изолировать сетевые проблемы
Проверьте, работают ли другие HTTPS-сайты (чтобы исключить общие проблемы сети)
Попробуйте другой клиент MCP, чтобы понять, специфична ли проблема для клиента
Просмотрите 401 Unauthorized, если получаете ошибки аутентификации
Обратитесь в поддержку с конкретными сообщениями об ошибках и диагностическим выводом

Связанное устранение неполадок

401 Unauthorized — исправьте проблемы аутентификации после успешного подключения
Сервер не отображается — исправьте проблемы, когда сервер MCP не появляется
Ошибки JSON в конфигурации — исправьте проблемы невалидного синтаксиса JSON
Индекс устранения неполадок — просмотрите все руководства по устранению неполадок