适用于 v2rayN 桌面端、v2rayNG 与 v2flyNG 安卓端连接 TLS 节点时出现的握手与证书错误。先从内核日志判断失败阶段，再依次核对本机时间、节点地址、SNI、证书链和服务端监听配置；不要把跳过证书验证当成修复。文中同时区分普通 TLS 与 REALITY，避免把两套参数混着改。
一、先定位报错发生在哪一段连接
v2rayN 是桌面客户端界面，实际建立连接、输出 TLS 错误的是它启动的代理内核。v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核。不同内核、不同版本的日志措辞可能不同，但排查顺序基本一致：先确定失败的是订阅下载、节点出站，还是浏览器访问的目标网站。
如果“更新订阅”时弹出证书错误，先查订阅地址对应的 HTTPS 服务；此时修改某个节点的 SNI 通常不起作用。如果只有浏览器提示网站证书异常，而内核日志显示节点出站成功，则要检查目标站点、本机 HTTPS 检查软件或网络登录页，不能直接认定节点证书坏了。
- 保留完整上下文：记录报错时间、当前节点、内核名称，以及错误前后几行日志。分享时遮住订阅地址、用户标识和认证信息。
- 只触发一次请求：暂停自动测速与其他联网程序，选中一个节点后访问一个正常的 HTTPS 页面，避免多个错误混在一起。
- 先看最内层错误：
failed to process outbound traffic只是外层描述，后面的x509、timeout或connection refused才决定下一步。
二、按日志关键词选择排查方向
下面保留常见英文错误片段，便于与日志逐字对照。附带域名、日期和地址的部分会因环境而变，不必要求整行完全相同。一次调整一个变量，保存后重新发起连接，再看最内层错误是否变化。
报错：x509: certificate has expired or is not yet valid
原因与解法：本机当前时间不在证书有效期内，可能是本机时钟错误，也可能是服务端证书过期。先同步设备时间，再对照日志中的有效期；时间正确仍报错，就需要服务端续期并加载新证书。
报错：x509: certificate is valid for …, not …
原因与解法：证书包含的名称与客户端要验证的名称不一致。核对节点 SNI、证书的 SAN 域名与服务端虚拟主机配置，不要把节点 IP 直接当作证书域名。
报错：x509: certificate signed by unknown authority
原因与解法：客户端无法建立可信证书链，常见于缺失中间证书、自签名证书或本机信任库异常。公共证书服务应补齐证书链；自建私有服务则按既定安全流程部署可信根证书。
报错：remote error: tls: handshake failure
原因与解法：对端拒绝了握手，但这一行不能证明具体原因。对照服务端日志检查 SNI、TLS 版本、客户端证书要求与监听协议，再确认请求是否到达预期服务。
报错：tls: first record does not look like a TLS handshake
原因与解法：连接到的端口返回了非 TLS 数据。核对端口是否实际提供 TLS，以及反向代理、转发规则是否把流量送到了明文服务。
EOF 和 connection reset by peer 也不能单独证明 SNI 错误。它们只表示连接被结束或重置，应结合服务端接入日志、端口连通性和同节点在其他网络下的结果继续缩小范围。
三、系统时间偏差：先同步，再看有效期
TLS 验证使用设备实际的系统时间判断证书是否处于有效期内。时间落在证书生效日期之前，或者超过到期日期，都会失败。时区显示错误不一定意味着系统时间戳错误；应以自动同步结果和实际日期为准，不要只把时区改到另一个地区。
-
打开时间设置
Windows 11 进入「设置」→「时间和语言」→「日期和时间」，检查年份、日期与时间。其他桌面系统进入系统设置中的日期与时间页面。
-
执行自动同步
打开「自动设置时间」，在「其他设置」中点击「立即同步」。如果同步失败，先检查网络与时间服务可达性，不要连续手动拨动时钟试错。
-
检查安卓时间
安卓进入「设置」，搜索「日期和时间」，打开「自动设置时间」与自动时区选项。不同系统的上级菜单可能叫「系统」或「其他设置」，以设备搜索结果为准。
-
重新建立连接
停止并重新启动客户端连接，重新发起一次访问。若仍报有效期错误，对照日志中的当前时间、证书起始时间与截止时间，确认是否需要服务端续期。
如果设备每次关机后日期都回到多年前，还需检查硬件时钟、电池或系统时间服务。若本机时间正常、多个设备都在同一节点报证书过期，则更应查看服务端证书，而不是给每台设备分别修改安全选项。
四、SNI、节点地址与 Host：三个字段分别核对
节点地址决定连接哪个主机；SNI 是 TLS 握手时发送的服务器名称，服务端可据此选择站点和证书。普通 TLS 配置中的 serverName 通常也用于证书名称验证。WebSocket 的 Host 则属于 HTTP 请求头，作用在不同层，不能因为三个字段看起来像域名就认为它们必须相同。
| 字段 | 作用 | 排查重点 |
|---|---|---|
| 地址与端口 | 定位实际连接入口 | 域名解析、端口监听与转发目标 |
| SNI / serverName | 选择 TLS 虚拟主机，通常作为验证名称 | 与服务端配置及证书 SAN 匹配 |
| WebSocket Host | 选择 HTTP 虚拟主机或路由 | 与反向代理接收的 Host 一致 |
| WebSocket Path | 选择 HTTP 请求路径 | 大小写、前导斜杠与服务端一致 |
在 v2rayN 主界面双击目标节点，进入节点编辑窗口，找到 TLS 区域的「SNI」或「ServerName」字段，按服务提供方给出的值核对；不同版本的字段显示名称可能略有区别。v2rayNG、v2flyNG 则从节点条目的编辑入口检查对应 TLS 参数。先记录原值，不要同时改地址、端口、SNI 和传输方式。
- SNI 只填主机名：例如
edge.example.net，不带https://、端口或路径。这里使用的是说明用保留域名，实际必须填服务端提供的名称。 - 地址可以与 SNI 不同：连接地址使用 IP，并不代表证书必须签给这个 IP；服务端提供域名证书时，应按配置填写正确的服务器名称。
- 以 SAN 为准：证书名称通常通过 Subject Alternative Name 验证。通配名称
*.example.net通常可匹配a.example.net，不能据此推断它也覆盖根域名或多级子域名。 - “伪装域名”不是随意填写项：这个称呼可能指 SNI，也可能指 HTTP Host。先问清字段含义，不要随便找一个能打开的网站域名替换。
五、allowInsecure 与证书链：恢复验证，不绕过错误
allowInsecure 是内核 TLS 配置中常见的跳过证书验证选项。开启它可能让域名不匹配、证书过期或信任链错误暂时不再阻止连接，但连接成功不代表对端身份可信。对普通公网 TLS 节点，应保持证书验证开启，并修正真正的证书问题。
- 客户端侧：在节点 TLS 设置中确认「跳过证书验证」没有开启；对应配置通常是
allowInsecure: false。若使用订阅，检查重新更新后该字段是否又被订阅内容覆盖。 - 服务端侧：确认实际加载的是完整证书链，通常应提供叶子证书与所需中间证书，而不是只放一张站点证书。一般无需把根证书附在服务端发送的链里。
- 续期之后：检查真正终止 TLS 的组件。可能是反向代理，也可能是代理内核本身；应让该组件重新加载证书，不能只看到磁盘文件更新就认定已完成。
- 私有证书：只有确认签发方与部署策略后，才按系统或内核支持的方式配置可信证书。不要为一个未知节点导入来历不明的根证书。
若同一个节点在一台旧设备上报 unknown authority，新设备却正常，可以检查旧设备的系统更新与信任库；但也要排除服务端缺失中间证书、另一台设备恰好已有缓存的情况。安全软件进行 HTTPS 检查时也可能引入不同签发者，应按组织管理策略核实，而不是直接关闭所有防护。
六、用命令区分端口不通与 TLS 配置错误
下面命令仅用于有权限排查的普通 TLS 服务。示例域名需要替换成真实节点地址与 SNI，端口也应使用节点实际值；这些命令不是代理协议连通性测试。Windows 的 PowerShell 可先检查 TCP 端口，装有 OpenSSL 的环境则能进一步观察握手与证书验证结果。
# PowerShell：检查节点 TCP 端口是否可连接
Test-NetConnection -ComputerName node.example.net -Port 443
# OpenSSL：连接节点地址，发送并验证指定服务器名称
openssl s_client -connect node.example.net:443 -servername edge.example.net -verify_hostname edge.example.net -verify_return_error -showcertsTcpTestSucceeded: True 只说明 TCP 连接建立成功，不能证明证书可信、代理认证正确或路由可用。OpenSSL 中的 -servername 用于发送 SNI，-verify_hostname 用于明确验证名称，两者职责不同；只加前者不足以替代完整的名称验证。
- TCP 失败时，先检查地址、端口、服务监听和防火墙，不要继续反复调整证书名称。
- TCP 成功但返回非 TLS 数据时，检查端口映射和反向代理入口是否接错。
- TLS 返回名称或信任链错误时，检查证书 SAN、完整链以及本机信任库。
- TLS 验证通过但客户端仍失败时，继续核对代理协议、认证参数、WebSocket 路径或其他传输参数。
七、修复后复测与常见问题
复测时保留同一个节点、同一种网络和同一个目标页面，先关闭自动切换，再重新启动连接。确认新日志不再出现原来的证书错误，然后再恢复日常路由设置。若需要服务提供方介入，提交报错时间、错误关键词、所用内核和已完成的检查即可，不要发送完整订阅链接。
同步时间以后还是提示证书过期？
先确认系统同步确实成功，再查看日志里证书截止时间。如果已到期，联系服务端续期并重新加载证书；同时核对 SNI，避免实际拿到另一个虚拟主机的旧证书。
勾选跳过证书验证就能用，可以一直开着吗？
不应作为长期配置。先恢复验证，再分别检查有效期、证书 SAN 和完整链。跳过验证后的连通只说明绕过了检查，不能证明接入的是预期服务器。
延迟测试有数字，为什么网页还是打不开？
不同测试可能只测 TCP，或使用不同的请求路径。查看实际网页请求对应的内核日志；若 TLS 已通过，再检查系统代理、分流规则与 DNS，可继续参考站内故障排查。
更新订阅后，修好的 SNI 又变回去了？
先比较更新前后的节点字段，确认订阅源是否持续下发错误值。可复制节点作临时对照，保留原始配置并联系服务方修正订阅源，避免每次更新后重复手改。
换客户端就正常，原客户端要重装吗？
先比较两端的节点字段、内核版本、系统时间和信任库。相同名称的节点不一定使用相同参数；明确差异后再更新客户端，通常比直接重装更容易定位问题。
最终判断顺序是：连接入口正确、系统时间正确、SNI 与证书匹配、证书链可信、代理参数一致。按这个顺序逐项记录结果，比同时更换 DNS、端口、域名和安全选项更容易找到根因。需要了解字段含义时，可查阅术语表；首次导入节点则按客户端配置教程操作。