TLS 握手失败与证书报错：时间、SNI 和信任链检查指南

日志中的 TLS 错误不是一个单独原因。“证书过期”“名称不匹配”“未知签发者”和“握手超时”指向的检查方向不同。把跳过证书验证打开，可能掩盖错误，却没有修复原来的连接问题。

TLS 的重要作用包括保护传输以及验证对端身份，因此应先查明报错，再决定该由客户端还是服务端修正。来源：MDN TLS 说明

先判断是哪一段连接报错

订阅下载、客户端连接节点、浏览器连接目标网站，都可能使用 TLS。订阅地址报错并不说明所有已有节点失效，目标网站证书报错也不必然来自代理服务。

记录报错发生时正在做的动作，以及错误涉及的主机名。只保留诊断所需域名和错误关键词，隐藏 URL 查询参数与凭据。明确连接阶段后再检查下面的项目。

按错误文字选择检查方向

关键词或现象	可能的方向	第一项检查
expired / not yet valid	证书时间或设备时钟	日期、时间、时区
hostname mismatch	连接名称与证书不符	服务器名称与 SNI
unknown authority	信任链不完整或不受信	官方配置与系统信任状态
handshake timeout	连接未在期限内完成	网络路径和服务端状态
authentication failed	应用层认证等问题	不要直接当成证书错误

具体文字取决于实现，表格不是所有程序的错误字典。尤其是握手超时，可能与网络和对端无响应有关，不能直接断言证书过期。

检查一：系统时钟是否正确

核对日期、时间和时区，必要时通过系统正常时间同步功能修正。睡眠恢复、虚拟机或设备时钟异常可能使证书看起来不在有效期内。

如果时间正确而证书确实过期，应联系服务提供方修复。Mozilla 的排错说明也将设备时钟和网站证书状态分开检查。来源：Mozilla 时间与证书故障说明

检查二：名称与参数是否对应

连接 IP、用于验证的服务器名称、SNI 及传输参数可能是不同字段，应按照提供方的完整配置核对。不要从别的节点复制一个“看起来正常”的域名代替。

如果是导入或格式转换后出错，比较转换前后的参数是否遗漏；若更新前可用、更新后全部失败，保留前后版本和错误记录，请服务方确认配置兼容。

检查三：信任链与客户端环境

系统版本过旧、证书链配置不完整、企业代理进行受管理的 TLS 检查，都可能需要不同处理。企业设备应与管理员核对，普通用户应优先使用官方客户端和正常系统更新途径。

不要为一个陌生机场随意安装根证书，也不要把全局关闭安全检查作为常规步骤。问题若来自服务端证书链，正确的修复应在服务端完成。

只改一项，再复测

先保存原配置，修正明确有误的时间或参数，再用同一设备、同一网络、同一目标复测。若换网络才能恢复，保留这一事实，继续检查连接路径；若所有网络都报相同的名称错误，优先让提供方检查配置。

完成反馈时附上版本、时间、连接阶段和脱敏错误。订阅阶段的问题可结合订阅更新排查；涉及协议组合时，查看Shadowsocks、Trojan 与 VLESS 对比。

资料核对：2026 年 9 月 28 日。本文提供诊断方法，不建议通过关闭验证来长期维持连接。