適合節點已能建立連線，卻在 TLS 握手或憑證驗證階段失敗的使用者。依序檢查「完整錯誤訊息 → 系統時間 → SNI 與憑證網域 → 憑證鏈 → 重新測試」。特別留意連線位址、TLS 名稱與 HTTP Host 的差異；應保留憑證驗證，不要把略過驗證當成長期解決方案。
先看完整錯誤訊息：憑證錯誤和連線逾時是不同問題
TLS 握手發生在代理協定驗證之前。用戶端通常會先連上伺服器，再協商加密參數、接收憑證並驗證伺服器身分，之後才開始上層通訊。因此，若明確看到 x509 憑證錯誤，應優先檢查時間、名稱與信任鏈，不要先修改 VMess 或 VLESS 的使用者識別資訊。若記錄只有 handshake failed，還不能判定原因，請展開查看更詳細的錯誤訊息。
在 v2rayN 主視窗查看記錄區，有些介面會將它標示為「資訊」。選取要測試的節點，清除舊記錄後實際開啟網頁，並記下同一時間前後的完整錯誤鏈。選單名稱可能因桌面介面版本而異；若記錄只顯示連線失敗，可前往「設定」→「參數設定」尋找記錄層級選項，暫時調高至 info 後再試。排查完成後請恢復原設定；分享記錄前，先移除訂閱網址、使用者識別資訊與瀏覽目標。
錯誤：x509: certificate has expired or is not yet valid
原因與解決方法：本機時間不在憑證有效期間內，或伺服器使用的憑證確實已過期。先同步本機時間，再確認憑證的有效起訖時間；若時間正確仍無法連線，請伺服器管理者更新憑證並重新載入。
錯誤：x509: certificate is valid for example.com, not www.example.com
原因與解決方法：用戶端驗證的名稱不在憑證涵蓋範圍內。請核對節點要求的 SNI 與憑證 SAN，不要靠新增或移除網域前綴碰運氣；此處的網域僅用來說明錯誤格式。
錯誤：x509: certificate signed by unknown authority
原因與解決方法：目前的信任存放區無法建立可信任的憑證鏈。檢查伺服器是否漏傳中繼憑證，以及本機根憑證存放區是否過舊；若使用組織管理的私有憑證，請透過管理員認可的管道設定信任。
錯誤：remote error: tls: handshake failure
原因與解決方法：遠端主動拒絕握手，光看這一行無法判斷原因。請核對 TLS 是否啟用、SNI、ALPN 與入口連接埠，再請管理者比對伺服器記錄，檢查虛擬主機與握手政策。
同步系統時間：先校正日期，再重試同一個節點
憑證有「生效時間」與「到期時間」，用戶端會依本機目前時間判斷憑證是否有效。日期慢了幾個月，可能會顯示憑證尚未生效；日期跳到未來，則可能把正常憑證判定為過期。時區顯示不正確，不一定代表實際時間有誤；請一併檢查日期、時鐘與時區，不要只看工作列上的小時數。
-
開啟時間設定
Windows 11：前往「設定」→「時間與語言」→「日期與時間」。Windows 10 的路徑相同。先確認年份、月份與日期是否正確。
-
立即同步時間
開啟「自動設定時間」，確認時區符合所在地，再於「同步時鐘」區域點選「立即同步」。若同步失敗，先確認網路連線正常；受組織管理的裝置請使用管理員指定的時間來源。
-
確認同步結果
查看最後一次成功同步的時間是否已更新。在命令提示字元執行
w32tm /query /status，即可查看時間來源與最近一次成功同步的時間；若命令執行失敗，請檢查 Windows Time 服務狀態及組織原則。 -
重新測試原節點
保持伺服器位址、連接埠與 SNI 不變，重新連線至同一個節點並開啟網頁。若錯誤仍與憑證有效期間有關，請將記錄中的目前時間和憑證有效期間一併提供給管理者確認。
Android 裝置可在系統設定中搜尋「日期與時間」，開啟自動設定時間與自動時區，再重新連線。各廠牌的設定位置不同，不需要修改代理程式參數來校正系統時鐘。若電腦每次斷電後日期都會重設，請進一步檢查韌體時間與主機板電池；只在用戶端反覆切換節點會掩蓋真正原因。
w32tm /query /status
w32tm /query /source上述兩個命令只會讀取狀態，不會修改節點設定。若看到本機時鐘來源或同步失敗記錄，應繼續排查時間服務，而不是關閉憑證驗證。也不要手動把系統時間調回舊憑證仍有效的日期，這會影響其他安全連線。
SNI 怎麼填：分清伺服器位址、憑證名稱與 Host
SNI 是 TLS 握手時傳送給伺服器的名稱，用來協助同一個入口選擇對應的網站與憑證。用戶端通常也會使用設定的伺服器名稱驗證憑證，但具體回退方式取決於核心與用戶端；不要假設留空就一定能取得正確結果。請以節點提供者明確指定的 TLS 參數為準，填寫純網域名稱，不要包含 https://、路徑或連接埠。
| 設定欄位 | 用途 | 檢查方式 |
|---|---|---|
| 伺服器位址 | 決定網路要連到哪個網域或 IP | 比對目前的訂閱內容，確認沒有使用舊位址或拼字錯誤 |
| 伺服器連接埠 | 決定要連線至哪個監聽入口 | 常見的 TLS 入口是 443，但仍須以實際設定為準 |
| SNI / serverName | 參與 TLS 網站選擇，通常也會作為憑證驗證名稱 | 比對管理者提供的名稱與憑證 SAN |
| Host | 用於 WebSocket 等傳輸方式的 HTTP 請求路由 | 依傳輸設定填寫，不能取代 TLS 層的 SNI |
| 路徑 / Path | 用於比對特定傳輸入口 | 檢查大小寫與開頭斜線，不要填入 SNI 欄位 |
在 v2rayN 主清單中雙擊要測試的節點，開啟節點編輯視窗，確認「傳輸層安全性」已依節點要求啟用 TLS，再查看「伺服器名稱」或 SNI 欄位。不同協定的編輯視窗略有差異；若看不到該欄位，請先確認編輯的是正確的協定與傳輸安全類型。訂閱節點請先複製一份進行測試，避免手動修改被下次更新覆蓋。
憑證名稱請查看 SAN，也就是「主體別名」。例如，憑證只涵蓋 example.com 時，不會自動涵蓋 www.example.com；*.example.com 通常可匹配 a.example.com，但不能匹配根網域 example.com 或多一層的 a.b.example.com。若連線目標是 IP，但仍要使用網域憑證，請依節點要求明確填寫名稱，不要讓用戶端把 IP 當成網域憑證的驗證目標。
- 不要把隨手找到的正常網站網域填入 SNI；遠端入口必須有相符的設定才能提供該名稱的憑證。
- 不要只修改 Host 來處理憑證名稱不符；HTTP 請求通常會在 TLS 驗證通過後才送出。
- 「偽裝網域」不是通用的協定欄位，可能指 Host，也可能指 SNI。請先確認提供者指的是哪一項。
- 使用 REALITY 的節點應依照其 serverName、公鑰等專用參數核對，不適用一般 TLS 的憑證替換方法。
憑證鏈與 TLS 版本：讓伺服器提供正確憑證
本機時間與 SNI 都正確後，接著檢查伺服器憑證。常見情況是憑證已更新，但反向代理尚未重新載入；或伺服器只傳送網站憑證，沒有傳送必要的中繼憑證。瀏覽器偶爾能補齊憑證鏈，不代表每個用戶端核心都能成功驗證；伺服器應正確提供完整的憑證鏈。
若可使用命令列，可透過 OpenSSL 單獨檢查 TLS 入口。以下僅示範命令寫法；example.com 是文件範例網域，不是節點伺服器。實際診斷時，請使用自己的連線目標、連接埠與 SNI。命令會直接連線至目標，不會自動使用 v2rayN 的系統代理。若連線位址與 SNI 不同，請分別填入 -connect 與 -servername，不要勉強設成相同名稱。
openssl s_client -connect example.com:443 -servername example.com -showcerts -verify_hostname example.com -verify_return_error請特別查看回傳憑證的名稱、有效期間、憑證鏈與驗證結果。命令中的 -servername 用來傳送 SNI，-verify_hostname 則用來明確檢查名稱，兩者並非相同操作。若工具不支援這些參數，請先查看本機 OpenSSL 版本說明。握手完成後可按 Ctrl+C 結束；此測試只檢查 TLS，不能證明 WebSocket 路徑、代理協定驗證或流量轉送也正常。
結論：同一入口回傳錯誤憑證，先修正伺服器端設定
確認連線目標與 SNI 都符合設定後，若仍收到其他網站的憑證，請管理者檢查入口虛擬主機與憑證的綁定；繼續更換用戶端的 Host 或本機監聽連接埠，無法修復這個問題。
- 出現「未知的憑證簽發者」：檢查完整憑證鏈、本機根憑證更新，以及受管理網路是否進行 TLS 檢查。
- 只有特定網路無法連線：比較手機熱點與原本的網路，記錄收到的憑證簽發者是否不同。
- 提示協定版本或加密套件不相容：比對雙方設定，先恢復節點建議的預設協商方式，不要盲目鎖定版本。
- 一般 TLS 連接埠上啟用了錯誤服務：檢查入口實際執行的是不是未加密的 HTTP、其他協定，或錯誤的轉送目標。
allowInsecure 怎麼設定：保留憑證驗證，修正憑證來源
在常見的 TLS 設定中，allowInsecure 表示允許略過伺服器憑證驗證。啟用後，連線可能不再因名稱或信任鏈問題報錯，但這不代表憑證已修復，也不代表連上的是預期伺服器。它無法修復連接埠無法連線、協定選錯或伺服器拒絕握手等問題，更不能取代正確的 SNI。
在 v2rayN 的節點編輯視窗中尋找「允許不安全的連線」；部分介面會顯示為 allowInsecure。若用戶端也提供全域預設值，請確認該設定是否會影響新匯入的節點。v2rayNG 使用 Xray 核心，v2flyNG 使用 v2fly 核心；兩者的編輯入口與支援欄位可能不同，請以各自介面為準，不要將一個用戶端匯出的所有選項直接套用到另一個用戶端。
- 記下目前節點的伺服器位址、連接埠、SNI 與驗證開關，並保留原始設定以便還原。
- 恢復憑證驗證後重新連線一次，確認目前錯誤是否仍與名稱、有效期間或信任鏈有關。
- 依照問題類型進行修復；私有憑證應由管理員提供可信任的檔案，不要從聊天截圖或陌生附件安裝根憑證。
- 完成後再次確認開關狀態，避免測試設定殘留在訂閱複本或其他裝置上。
重新測試與常見問題：每次只變更一個設定
修復後，使用同一個節點、同一個目標網頁與相同代理模式重新測試。先確認記錄中不再出現憑證錯誤，再確認網頁是否能正常載入。若 TLS 已通過但仍無法連線，請接著排查傳輸路徑、代理協定驗證、DNS 與路由分流。節點延遲數值只反映該測試方法的結果，不能取代實際連線測試。
時間同步成功，為什麼仍顯示憑證過期？
比對記錄中的憑證到期時間。若本機日期正確，伺服器可能仍在使用舊憑證。請管理者檢查憑證更新結果、憑證檔案路徑與服務重新載入狀態；重新安裝用戶端通常無法解決問題。
瀏覽器能開啟網域，節點卻仍然握手失敗？
確認瀏覽器連線的連接埠、IP 與 SNI 是否相同。能成功開啟網站首頁，不代表節點入口設定正確；接著檢查用戶端信任存放區與伺服器的中繼憑證鏈。
訂閱更新後 SNI 又被改回去，該怎麼辦？
訂閱更新會重新產生節點參數。請複製節點進行比對測試，記下修正前後的差異，再請提供者修正訂閱內容；不要把反覆手動修改當成固定流程。
只有在辦公室網路出現未知的憑證簽發者，該怎麼查？
使用同一台裝置切換到可信任的其他網路進行比較，記錄憑證簽發者是否改變。受管理網路可能設有檢查政策，請聯絡管理員確認；不要自行關閉驗證或安裝來路不明的根憑證。
改成本機 10808 連接埠能修復 TLS 錯誤嗎？
不能。10808 是常見的本機代理監聽連接埠，與遠端憑證驗證是不同環節。只有記錄明確顯示本機連接埠已被占用時，才需要修改監聽連接埠，並同步調整使用端設定。
- 時間：確認系統已成功同步，重新開機後日期也沒有重設。
- 名稱：SNI 不含通訊協定前綴或路徑，且與伺服器憑證 SAN 相符。
- 信任：保持憑證驗證啟用，並確認伺服器提供完整憑證鏈。
- 結果：記下成功請求的時間；回報問題時只附上已遮蔽敏感資訊的相關錯誤，不要傳送完整訂閱內容。