适合节点可以发起连接，却在 TLS 握手或证书验证阶段失败的用户。按“读取完整错误 → 同步系统时间 → 核对 SNI 与证书域名 → 检查证书链 → 复测”的顺序操作。重点区分连接地址、TLS 名称和 HTTP Host，保留证书验证，不把跳过验证当作长期修复。
先看完整报错：证书错误与连接超时不是同一层
TLS 握手发生在代理协议认证之前。客户端通常先连接服务器，再协商加密参数、接收证书并验证服务器身份，之后才进行上层通信。因此，已经出现明确的 x509 证书错误时，优先检查时间、名称与信任链，不要先改 VMess 或 VLESS 的用户标识。日志只有 handshake failed 时则不能直接下结论，还要展开下一层错误。
在 v2rayN 主窗口查看日志区域，部分界面将其称为“信息”。选择一个待测节点，清空旧日志后发起一次真实网页请求，记录同一时间附近的完整错误链。菜单名称会随桌面界面变化；如果日志只显示连接失败，可在「设置」→「参数设置」中寻找日志级别选项，临时提高到 info 后重试。排查结束再恢复原级别，分享日志前移除订阅地址、用户标识和访问目标。
报错：x509: certificate has expired or is not yet valid
原因与解法：本机时间落在证书有效期之外，或服务端确实使用了过期证书。先同步本机时间，再核对证书的起止时间；时间正确仍失败，应由服务端维护者续签并重新加载证书。
报错：x509: certificate is valid for example.com, not www.example.com
原因与解法：客户端验证的名称不在证书覆盖范围内。核对节点要求的 SNI 与证书 SAN，不要通过添加或删除域名前缀来碰运气；这里的域名仅用于说明错误结构。
报错：x509: certificate signed by unknown authority
原因与解法：当前信任库无法建立可信证书链。检查服务端是否漏发中间证书，以及本机根证书库是否过旧；若为组织管理的私有证书，应通过管理员认可的渠道配置信任。
报错：remote error: tls: handshake failure
原因与解法：远端主动拒绝握手，单凭这一行无法确定原因。核对 TLS 开关、SNI、ALPN 与入口端口，再请维护者对照服务端日志检查虚拟主机和握手策略。
系统时间同步：先修正日期，再重试同一节点
证书带有“生效时间”和“到期时间”。客户端会用本机当前时间判断证书是否可用。日期落后数月，可能提示尚未生效；日期跳到未来，可能把正常证书判成过期。时区显示不正确不一定意味着实际时间错误，应同时检查日期、时钟与时区，不能只凭任务栏显示的小时数判断。
-
打开时间设置
Windows 11 进入「设置」→「时间和语言」→「日期和时间」。Windows 10 对应入口为「设置」→「时间和语言」→「日期和时间」。先检查年份、月份与日期是否正确。
-
执行立即同步
开启「自动设置时间」，确认时区符合所在地，然后在“同步时钟”区域点击「立即同步」。如同步失败，先确认基础联网正常；受组织管理的设备使用管理员指定的时间源。
-
确认同步结果
查看最后成功同步的时间是否更新。在命令提示符执行
w32tm /query /status可查看时间源和最近成功同步时间；命令执行失败时，检查 Windows Time 服务状态及组织策略。 -
复测原节点
保持服务器地址、端口与 SNI 不变，重新连接同一节点并请求网页。若错误仍指向有效期，把日志中的当前时间与证书有效期一起交给维护者核对。
安卓设备可在系统设置中搜索“日期和时间”，开启自动设置时间及自动时区，再重启连接。不同厂商入口不同，不必修改代理应用参数来修复系统时钟。若电脑每次断电后日期都回退，应继续检查固件时间和主板电池；只在客户端反复切换节点会掩盖根因。
w32tm /query /status
w32tm /query /source上面两条命令用于读取状态，不会修改节点配置。看到本地时钟来源或同步失败记录时，应继续排查时间服务，而不是把证书验证关掉。也不要手动把系统时间回拨到旧证书仍有效的日期，这会影响其他安全连接。
SNI 怎么填：区分服务器地址、证书名称与 Host
SNI 是 TLS 握手中发送给服务器的名称，用于帮助同一入口选择对应站点和证书。客户端通常还会使用配置的服务器名称校验证书，但具体回退行为取决于内核与客户端；不要假定留空总能得到正确结果。以节点提供方明确给出的 TLS 参数为准，填纯域名，不带 https://、路径或端口。
| 配置字段 | 负责什么 | 核对方法 |
|---|---|---|
| 服务器地址 | 决定网络连接到哪个域名或 IP | 对照当前订阅，确认没有旧地址与拼写错误 |
| 服务器端口 | 决定连接哪个监听入口 | 常见 TLS 入口是 443，但必须服从实际配置 |
| SNI / serverName | 参与 TLS 站点选择，通常也作为证书验证名称 | 与维护者提供的名称和证书 SAN 对照 |
| Host | 用于 WebSocket 等传输的 HTTP 请求路由 | 按传输配置填写，不能代替 TLS 层的 SNI |
| 路径 / Path | 用于具体传输入口匹配 | 检查大小写与前导斜杠，不放进 SNI 字段 |
在 v2rayN 主列表双击待测节点，进入节点编辑窗口，检查“传输层安全”是否按节点要求启用 TLS，再查看“服务器名称”或 SNI 字段。不同协议的编辑窗口略有差异；如果看不到该字段，先确认正在编辑正确协议和传输安全类型。订阅节点先复制一份用于测试，避免手动修改被下一次订阅更新覆盖。
证书名称要看 SAN，即“主题备用名称”。例如，证书只覆盖 example.com 时，不会自动覆盖 www.example.com；*.example.com 通常可以匹配 a.example.com，但不能匹配根域名 example.com 或多一层的 a.b.example.com。连接目标为 IP 时，若仍要使用域名证书，应按节点要求明确填写名称，而不是让客户端把 IP 当作域名证书的验证目标。
- 不要把随手找到的正常网站域名填入 SNI；远端入口必须能为该名称提供相符的配置。
- 不要只改 Host 来处理证书名称不匹配；HTTP 请求通常在 TLS 验证通过后才发送。
- “伪装域名”不是统一的协议字段，可能指 Host，也可能指 SNI。先确认提供方具体指哪一项。
- 使用 REALITY 的节点应按其 serverName、公钥等专用参数核对；不能套用普通 TLS 的证书替换办法。
证书链与 TLS 版本：让服务端返回正确证书
本机时间和 SNI 都正确后，继续检查服务端证书。常见情况是证书已经续签，但反向代理没有重新加载；或者服务端只发送站点证书，没有发送所需中间证书。浏览器偶尔能补全链，并不能证明每个客户端内核都能成功验证，应该让服务端正确提供完整证书链。
有命令行条件时，可用 OpenSSL 单独观察 TLS 入口。下例仅演示命令写法，example.com 是文档示例域名，不是节点服务；实际诊断须使用自己的连接目标、端口和 SNI。命令直接连接目标，不会自动沿用 v2rayN 的系统代理。连接地址和 SNI 不同时，分别填写 -connect 与 -servername，不要强行改成同一个名称。
openssl s_client -connect example.com:443 -servername example.com -showcerts -verify_hostname example.com -verify_return_error重点看返回证书的名称、有效期、证书链和验证结果。命令中的 -servername 负责发送 SNI，-verify_hostname 负责明确检查名称，两者并非同一操作。如果工具不支持这些参数，先检查本机 OpenSSL 版本说明。握手完成后可按 Ctrl+C 退出；该测试仅检查 TLS，不能证明 WebSocket 路径、代理协议认证或业务转发也正确。
结论：同一入口返回错证书，先修服务端映射
确认连接目标和 SNI 都与配置一致后，若仍返回其他站点的证书，应让维护者检查入口虚拟主机与证书绑定；继续更换客户端的 Host 或本地监听端口不会修复这一层。
- 出现“未知颁发机构”：检查完整链、本机根证书更新，以及受管理网络是否进行了 TLS 检查。
- 只有某个网络失败：对比手机热点与原网络，记录是否返回了不同的证书颁发者。
- 提示协议版本或密码套件不兼容：对照双方配置，先恢复节点推荐的默认协商，不盲目锁定版本。
- 普通 TLS 端口上启用了错误服务：检查入口是否实际运行明文 HTTP、其他协议或错误的转发目标。
allowInsecure 怎么设：保留验证，修复证书来源
allowInsecure 在常见 TLS 配置中表示允许跳过服务器证书验证。启用后，连接可能不再因名称或信任链报错，但这不表示证书已经修好，也不表示连接到了预期服务器。它不能修复端口不通、协议选错、服务端拒绝握手等问题，更不能替代正确的 SNI。
在 v2rayN 的节点编辑窗口中查找“允许不安全连接”；某些界面显示为 allowInsecure。若客户端还提供全局默认值，应检查该默认值是否会影响新导入节点。v2rayNG 使用 Xray 内核，v2flyNG 使用 v2fly 内核，编辑入口与支持字段可能不同，应以各自实际界面为准，不把一个客户端导出的所有选项直接照搬到另一个客户端。
- 记录当前节点的服务器地址、端口、SNI 和验证开关，保留原配置供回退。
- 恢复证书验证，重新连接一次，确认当前报错是否仍是名称、有效期或信任链问题。
- 按照对应类别修复；私有证书由管理员提供可信材料，不从聊天截图或陌生附件安装根证书。
- 完成后再次检查开关状态，避免测试配置残留到订阅副本或其他设备。
复测与常见问题：每轮只改一个变量
修复后，用同一个节点、同一个目标网页和同一种代理模式复测，先确认日志不再出现证书错误，再确认网页能加载。如果 TLS 已通过但仍无法访问，应转向传输路径、代理协议认证、DNS 与路由分流排查。节点延迟数值只能反映对应测试方法的结果，不能代替实际请求验证。
时间同步成功，为什么还说证书过期？
对照日志里的证书到期时间。如果本机日期正确，服务端可能仍在使用旧证书。请维护者检查续签结果、证书文件路径与服务重新加载状态，客户端重装通常无效。
浏览器打开域名正常，节点还是握手失败？
核对浏览器是否连接了相同端口、相同 IP 和相同 SNI。浏览器访问首页成功，不代表节点入口配置正确；再检查客户端信任库与服务端中间证书链。
订阅更新后 SNI 又变回去了怎么办？
订阅会重新生成节点参数。复制节点做一次对照测试，记录修正前后的差异，再要求提供方修复订阅内容；不要把反复手改当作固定流程。
只在办公网络报未知颁发机构，怎么查？
使用同一设备切到可信的其他网络对比，记录证书颁发者是否变化。受管理网络可能有检查策略，应联系管理员确认；不要自行关闭验证或安装来历不明的根证书。
换成本地 10808 端口能修复 TLS 错误吗？
不能。10808 属于常见本地代理监听端口，与远端证书验证是不同环节。仅在日志明确显示本地端口占用时，才需要修改监听端口并同步调整使用方。
- 时间：确认系统同步成功，重启后日期没有回退。
- 名称：SNI 不带协议头或路径，并与服务端证书 SAN 相符。
- 信任：验证开关保持开启，服务端证书链完整。
- 结果：保存一次成功请求的时间点；提交故障反馈时只附脱敏后的相关错误，不发送完整订阅。