适用于节点已经导入、连接时却出现 TLS 或 x509 报错的情况。先确认错误来自订阅下载还是节点连接，再按系统时间、证书域名、信任链与指纹顺序检查。每次只改一个字段，保留原始节点作对照；不要把关闭证书验证当成修复结果。
先区分订阅报错与节点握手失败
“TLS 握手失败”不是一个独立原因。订阅地址使用 HTTPS 时会建立一次 TLS 连接；客户端连接启用 TLS 的代理节点时，还会建立另一条连接。浏览器访问 HTTPS 网站也有自己的证书验证。三处报错虽然可能都带 x509，需要修改的对象却不同。
如果点击更新订阅后立即报错，节点列表还没变化，优先检查订阅地址对应的网站证书。如果订阅更新正常，但选中某个节点访问网页时内核报错，才检查该节点的 TLS 设置。若只有浏览器提示证书异常而内核没有相应错误，还要检查浏览器信任库、网络登录页和本地 HTTPS 检查软件。
- 记录触发动作：更新订阅、连接节点，还是打开某个网站，不要只保留“连接失败”四个字。
- 记录错误时间：先查看客户端日志，再发起一次请求，找到同一时刻的底层错误，而非只看最后一行汇总。
- 检查安全层：VMess、VLESS 是代理协议名称，不代表所有节点都启用普通 TLS。若安全层为 REALITY，应核对其专用参数，不能套用普通 TLS 的全部判断。
按报错原文确定检查方向
日志可能在下列英文前后附带服务器地址、时间和内核调用信息。阅读时找最具体的一层原因。单独的 EOF 或 context deadline exceeded 不能证明证书有问题，也可能是服务端主动断开、网络阻断或握手超时。
报错:x509: certificate has expired or is not yet valid
原因：当前时间不在证书有效期内，可能是设备时钟错误，也可能是服务端证书过期。解法：先同步设备时间；时间正确后仍报错，把日志中的有效期信息交给服务提供方检查证书部署。
报错:x509: certificate is valid for …, not …
原因：客户端验证的名称不在服务端证书允许的域名范围内；省略部分会显示实际域名。解法：核对节点的 SNI、serverName 与提供方给出的证书域名，不要只修改连接地址。
报错:x509: certificate signed by unknown authority
原因：证书链无法连接到受信任根，常见于缺少中间证书、自签名证书或本地信任库异常。解法：先换网络对照，再让服务端检查完整证书链；不要随意安装来源不明的根证书。
报错:remote error: tls: handshake failure
原因：远端拒绝握手，可能涉及 SNI、TLS 参数、协议入口或服务端策略。解法：恢复订阅原始参数，确认端口与安全层一致，并结合服务端日志继续定位，而不是直接关闭验证。
系统时间：先同步，再重新连接
证书验证比较的是绝对时间，不只是屏幕上显示的小时数。时区显示不同但绝对时间正确，通常不会造成证书失效；手工把时钟往前或往后拨，则可能触发错误。设备长时间关机、双系统切换或自动校时失败后，尤其值得先检查这一项。
-
同步电脑时间
Windows 打开「设置」→「时间和语言」→「日期和时间」，启用「自动设置时间」，检查时区，再点「立即同步」。同步失败时先确认普通网络可用，不要反复修改节点。
-
同步手机时间
Android 通常在「设置」→「系统」→「日期和时间」中启用「自动设置时间」和「自动设置时区」。部分设备可在设置中搜索“日期和时间”；菜单名称以设备系统为准。
-
重建连接
在 v2rayN 中重启内核；在 v2rayNG 中停止连接后重新启动。重新发起请求，检查新日志，避免把校时前留下的错误当作当前结果。
-
核对有效期
时间恢复正确后若仍出现有效期错误，记录日志中的当前时间、证书起止时间与时区。证书确实过期时，需要服务端续期并重新加载证书，客户端改日期无法正确修复。
Windows 可在终端用下面的命令查看本地时间和时间服务状态。第二条命令可能因系统服务未运行而返回错误；它用于辅助诊断，不代表节点本身有问题。对外求助时无需提交完整设备信息。
powershell -NoProfile -Command "Get-Date -Format o"
w32tm /query /statusSNI、连接地址与 Host 分开核对
节点的“地址”决定连接哪个 IP 或域名；SNI 是 TLS 握手时发送的服务器名称，也通常参与证书名称验证；WebSocket 的 Host 则属于后续 HTTP 请求字段。它们在一些部署中相同，在另一些部署中不同。把三个字段都改成一个能打开的网站域名，不会自动获得可用节点。
| 设置项 | 作用与检查内容 |
|---|---|
| 地址与端口 | 确定实际连接入口。端口 443 常用于 TLS，但端口号本身不能证明该入口启用了 TLS；以订阅提供的值为准。 |
| SNI / serverName | 向 TLS 服务端声明目标名称。普通 TLS 节点应使用提供方指定且与证书匹配的域名，不带协议前缀、路径或端口。 |
| Host | 常用于 WebSocket 等 HTTP 传输的虚拟主机匹配。修改 Host 不等于修改 SNI，也不能修复证书名称不匹配。 |
| 路径与 ALPN | 路径用于相应传输入口；ALPN 用于应用层协议协商。没有明确要求时保留订阅值，不自行强制 h2 或 http/1.1。 |
在 v2rayN 主界面双击目标节点，进入服务器编辑窗口，检查地址、端口、传输协议以及 TLS 区域的服务器名称。v2rayNG 可在目标节点右侧点编辑图标，检查「地址」「端口」及 TLS 下的「SNI」。不同界面版本可能显示为 serverName 或服务器名称，应按字段含义对应，而不是寻找一个所有版本通用的菜单。
结论：先恢复原始 SNI，再查解析结果
证书名称不匹配时，先对照新导入的订阅节点恢复 SNI。若字段一致仍收到错误证书，再检查节点地址的 DNS 解析和服务端入口；随机换“伪装域名”会增加变量。
- 以 IP 作为连接地址不一定错误：服务端允许这样连接、同时配置正确 SNI 时，仍可完成域名证书验证。
- 通配符证书通常只匹配一层子域。例如
*.example.com不匹配a.b.example.com；此处域名仅用于解释规则，不是节点配置。 - 订阅节点被手动修改后，后续更新可能覆盖修改。诊断时复制节点再编辑，保留订阅原项供对照。
证书链与跳过验证：不要混成同一个开关
证书验证不仅检查域名，也检查签名链和有效期。服务端漏发中间证书时，某些浏览器可能因为已有缓存而能打开页面，代理内核却仍会报错。因此，“浏览器能打开”只能当作一条线索，不能替代内核验证结果。
- 仅一个节点失败：同一设备上其他 TLS 节点正常，优先让提供方检查该入口的完整证书链、证书域名和加载状态。
- 同一设备多个服务失败：检查系统更新、根证书信任库与本地 HTTPS 检查软件。不要为了测试直接关闭全部安全防护。
- 只在某个网络失败：先完成网络登录认证，再用另一条可信网络作对照；若收到的证书签发者异常，停止输入订阅凭据并检查网络环境。
- 明确使用自签名证书：必须通过可信渠道确认身份，并按客户端和内核支持的方式配置信任。无法确认时，不应靠忽略验证继续使用。
已经开启过跳过验证的用户，应在排查结束后关闭该选项，再重新连接。只有验证恢复、日志没有同类错误、实际请求也成功，才算修复完成。一次延迟测试通过，并不代表所有请求都经过了预期的 TLS 入口。
TLS 指纹：按节点要求配置，不靠轮流尝试
TLS 指纹影响客户端握手消息的特征，例如扩展排列和支持参数的组合；它不是证书的替代品，也不会让过期证书重新有效。普通 TLS 与 REALITY 对相关参数的要求不同，不能把某种节点的配置经验直接复制到另一种节点。
v2rayN 是客户端界面，实际握手由当前选择的内核执行；v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核。字段出现在界面里，不等于不同内核对它具有相同支持。排查时记录正在使用的内核名称，并核对服务提供方要求，避免只比较客户端名称。
- 确认安全层。编辑节点查看是 TLS 还是 REALITY，保留原始订阅。普通 TLS 遇到
x509报错时，先查时间、SNI 和证书链。 - 检查指纹字段。在节点编辑页的 TLS 或 REALITY 区域查找「指纹」或 fingerprint。订阅明确给出
chrome等值时，先保持该值，不额外修改 ALPN。 - 核对内核支持。若日志提示不支持某个字段，先更新适配的客户端与内核，再重新导入订阅；不要把删除字段当成通用兼容方案。
- 单独检查 REALITY。除 serverName 和指纹外，还需要核对公钥、shortId 等提供方参数。不要把公钥填入证书路径，也不要用普通 TLS 的跳过验证开关代替这些参数。
结论：证书错误优先修证书条件
日志明确显示证书过期或域名不匹配时，先完成对应修复，再讨论指纹兼容。只有时间、入口和参数均已核对，且远端仍拒绝握手时，才继续检查客户端握手特征与服务端策略。
常见追问与修复后的复测
为什么手机能连，电脑却提示证书错误？
先确认两端确实使用同一个节点、同一个 SNI 和相同安全层，再同步电脑时间。随后让两端接入同一网络复测；若仍只有电脑失败，检查其信任库与本地 HTTPS 检查软件，不要仅凭节点名称相同就认定参数相同。
开了“跳过证书验证”就能用，要保留吗？
不要作为日常配置保留。先记下原始证书错误，再关闭该选项，按时间、域名和证书链逐项修复。若提供方要求长期忽略验证，应先确认其身份验证方案，而不是直接接受未知证书。
改成全局模式能解决 TLS 握手失败吗？
不能直接修复证书。路由规则决定请求走哪条出站，TLS 验证负责确认该连接的服务端身份。先检查日志实际选中的节点；切换模式后错误消失，也可能只是流量换了出口，仍需修复原节点。
订阅更新提示证书错误，也要改节点 SNI 吗？
不需要先改节点。先同步系统时间，核对订阅 URL 的域名是否正确。若只有该订阅地址失败，联系提供方检查订阅站点证书；修改已有节点的 SNI 不会改变订阅网站的 HTTPS 证书。
最终复测应保持同一设备、同一网络、同一个节点，每次只改一项。重启连接后分别检查内核日志和实际网页访问，并确认关闭跳过验证后仍然正常。若需要求助，提交以下最小信息即可，不要公开完整订阅地址、UUID、密码或其他认证参数。
- 客户端名称、实际安装版本、当前内核及版本，以及操作系统名称。
- 触发错误的动作、准确时间和已脱敏的完整底层错误文本。
- 传输方式、安全层、端口，以及 SNI 是否与提供方要求一致。
- 校时、换网络和恢复原始节点后的结果，注明每次只改变了哪一项。