适用于 v2rayN、v2rayNG 与 v2flyNG 的 TLS 连接排查。先凭日志区分证书验证失败与连接超时，再检查设备时间、节点 SNI、服务端证书链和指纹参数。每次只改一个字段，恢复连接后保持证书验证开启；如果节点使用 REALITY，转而核对其专用认证参数，不把普通 TLS 的证书处理方式直接套用。
先分层：TLS 报错发生在哪一步
TLS 握手位于连接建立与代理协议认证之间。VMess、VLESS 是代理协议；TLS 是传输安全层，两者不是同一个开关。节点列表显示已选中、内核正常运行，只说明本地程序启动，不代表远端证书已经通过验证。先确认所选节点的「传输层安全」是 TLS，还是 REALITY，再判断本文哪些步骤适用。
在 v2rayN 主界面的日志区域查找失败请求对应的时间，复制最内层原因，而不是只看外层的「连接失败」。v2rayNG 与 v2flyNG 可从侧边菜单进入「日志」查看。不同版本的入口文字可能略有变化，记录客户端版本、内核类型、节点安全类型和完整错误链即可；分享日志前遮盖订阅地址、用户标识与认证信息。
报错：x509: certificate has expired or is not yet valid
原因与解法：设备当前时间不在证书有效区间内——先校准本机时间；若时间准确，再由服务端维护者检查证书是否过期、续签后是否已加载。
报错：x509: certificate signed by unknown authority
原因与解法：证书链无法连接到受信任的根证书——检查服务端是否发送中间证书，并排查自签名证书、旧信任库或网络中的 TLS 检查设备。
报错：context deadline exceeded
原因与解法：操作在截止时间前未完成，单凭这一行不能认定为证书问题——结合前后日志检查域名解析、远端端口与握手过程。
系统时间同步：先排除本地有效期误判
证书包含生效时间和到期时间。设备年份、日期或实际系统时钟错误，会把正常证书判为「尚未生效」或「已过期」。仅修改界面显示的时区通常不能修复真实时钟偏差；时区决定时间如何显示，证书验证依据的是实际时间点。
-
核对日期
Windows 打开「设置」→「时间和语言」→「日期和时间」，检查年份、月份、日期与时区。先纠正明显错误，再尝试联网同步。
-
同步时钟
开启「自动设置时间」，在「其他设置」或「同步时钟」区域点击「立即同步」。Android 打开系统「设置」→「日期和时间」，启用「自动设置时间」；部分系统将该项放在「系统」内。
-
确认结果
Windows 查看最近一次成功同步时间。若同步失败，用管理员终端执行下方命令检查时间服务；网络未允许时间同步流量时，需要先处理网络或服务状态。
-
重新连接
断开当前连接，再启动同一节点并产生一次新请求。对照新日志的时间戳，不要用日志面板里保留的旧错误判断修改结果。
w32tm /query /status
w32tm /resync上述命令用于 Windows 时间服务，不是代理内核命令。如果提示服务未启动，先在系统「服务」中检查「Windows Time」；受组织策略管理的电脑，应按管理员指定的时间源处理。重启后反复丢失日期，还要检查设备时钟保持与系统时间配置，而不是反复更换节点。
SNI 填写：连接地址不等于证书域名
节点「地址」决定连接哪台服务器；「端口」决定连接哪个服务；SNI 通常通过内核的 serverName 字段指定，参与 TLS 虚拟主机选择，并用于证书名称验证。连接地址可以是 IP，而 SNI 仍然是域名。这种组合本身没有问题，前提是远端服务确实按该域名提供对应证书。
- 地址：填写订阅或服务端配置给出的主机名、IP，不要把它与 SNI 随意互换。
- 端口：按节点配置填写。
443是常见 TLS 端口，但不是固定要求，不能把所有节点都改成它。 - SNI / serverName：填写服务端要求的证书域名，例如说明中的
example.com；这里只用于展示格式，实际值必须来自节点配置。 - 输入格式：只填主机名，不加
https://、路径、查询参数或:443。 - 证书范围：现代验证通常检查证书的 SAN。通配符
*.example.com一般匹配a.example.com，不匹配根域名example.com，也不匹配a.b.example.com。
在 v2rayN 主界面双击目标节点，进入编辑窗口，找到「传输层安全」中的 TLS 设置，核对「SNI」或「serverName」。在 v2rayNG、v2flyNG 的节点编辑页核对同名字段。界面版本不同可能只显示其中一种名称；不要把 WebSocket 的「Host」当成 SNI，前者是 HTTP 请求头，后者在 TLS 握手阶段使用。
证书链与握手超时：分别验证名称、信任和端口
名称不匹配与未知签发机构是两类问题。前者检查 SNI 是否落在证书 SAN 范围内；后者检查证书链是否完整、签发机构是否受当前环境信任。即使浏览器能打开同域名网页，也不能直接证明代理连接正常：浏览器可能连接了不同端口、不同地址，或使用了不同的信任与证书链补全机制。
| 日志线索 | 优先检查 | 处理位置 |
|---|---|---|
| expired / not yet valid | 实际系统时间、证书有效期 | 设备时间设置；服务端证书部署 |
| certificate is valid for…not… | SNI 与证书 SAN 是否对应 | 节点 TLS 字段；服务端虚拟主机 |
| unknown authority | 中间证书、根信任、自签名证书 | 服务端完整证书链；受管理的信任配置 |
| handshake failure | TLS 参数、客户端指纹、服务端策略 | 节点传输设置；服务端握手日志 |
| timeout / deadline exceeded | 解析、端口可达性、丢包与服务响应 | 网络路径；远端监听与防火墙 |
Windows 可用 PowerShell 检查目标 TCP 端口。下面的域名和端口只是命令格式示例，应替换为所选节点的真实地址与端口。TcpTestSucceeded 为真仅说明 TCP 建连成功，不表示证书、SNI 或代理认证正确。
Test-NetConnection -ComputerName example.com -Port 443已安装 OpenSSL 的环境可进一步查看远端发送的证书链。命令中的连接目标与 SNI 可以不同，分别对应节点「地址」与「serverName」。下例将两者都写成示意域名，并显式开启名称检查：
openssl s_client -connect example.com:443 -servername example.com -showcerts -verify_hostname example.com -verify_return_error- 检查返回证书的 SAN、有效期与验证错误，不要只看到有证书输出就判定成功。
- 服务端续签后仍返回旧证书，需要检查证书文件路径，并让实际终止 TLS 的服务重新加载配置。
- OpenSSL 与代理内核可能使用不同的根信任库；工具结果用于定位，不替代客户端最终复测。
指纹与 REALITY：不要混用两套排查方法
客户端指纹影响 ClientHello 的表现形式，不负责修复错误的证书域名、过期证书或缺失的中间证书。Xray 的相关能力与 V2Fly 不应假定完全相同；v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核，不能仅凭界面都有 TLS 选项就认定所有参数通用。
- 普通 TLS 节点：先恢复订阅原有指纹设置。服务端有明确要求时再按要求填写，不要在多个指纹值之间盲目轮换。
- 更换内核之后：检查日志有没有未知字段、不支持的选项或配置解析失败。这些属于配置兼容性问题，不是证书验证问题。
- REALITY 节点：核对服务端指定的 serverName、公钥相关参数、shortId 与指纹；字段在不同版本界面中的名称可能变化，以对应内核文档和服务端配置为准。
- 取值边界：不要自行猜测 REALITY 的目标域名，也不要用普通 TLS 的「跳过证书验证」作为 REALITY 认证失败的修复手段。
如果普通 TLS 节点只有在特定指纹下才能握手，应同时检查服务端访问策略与中间网络设备。保存修改前后的完整错误链，才能区分是握手协商恢复，还是测试请求根本走了另一条出站。排查期间固定同一节点与同一目标请求，避免同时切换路由规则、TUN 和系统代理。
allowInsecure 的取舍：保留验证，修复根因
allowInsecure 在普通 TLS 配置中控制是否允许跳过常规证书验证。开启后流量仍可能经过加密，但服务端身份不能再依靠正常的证书链和名称验证得到确认，存在被冒充或中间人截获的风险。它不是「增强兼容」或「提高速度」开关。
以下是普通 TLS 的 streamSettings 中 tlsSettings 对象示意，不是完整节点配置，也不适用于 REALITY。serverName 必须换成服务端要求的真实域名，不能把示例直接粘贴到所有节点。
{
"serverName": "example.com",
"allowInsecure": false
}- 如果跳过验证后恢复连接，只能说明证书验证值得继续检查，不能确定根因究竟是时间、名称还是信任链。
- 如果开启后仍然超时，应返回端口与握手层排查；反复切换该选项不会修复无法到达的远端服务。
- 修复完成后，确认节点编辑页中的「允许不安全连接」处于关闭状态，再断开重连验证。
常见追问：如何确认问题真正解决
时间同步成功了，为什么还是提示证书过期？
先确认新日志来自本次连接，再查看服务端实际返回的证书有效期。设备时间正确而证书已到期时，需要服务端续签并重新加载证书；只在客户端重启不会改变远端发送的证书。
地址填 IP，SNI 填域名可以吗？
可以，但该 IP 和端口必须提供对应域名的 TLS 服务，证书也必须覆盖这个域名。双击节点核对「地址」「端口」「SNI」三项，不要为了让字段看起来一致而把 SNI 改成 IP。
网页能打开，客户端却提示 unknown authority？
先比较连接的地址、端口与 SNI，再检查服务端是否发送完整中间证书链。浏览器与代理内核可能采用不同的信任库或证书链处理方式，浏览器正常不等于客户端验证必然通过。
更新订阅后 SNI 又变回去了怎么办？
复制节点做临时测试，记录有效字段，并向订阅提供方反馈源配置错误。正式修正后更新订阅，检查 SNI、指纹与验证开关，再用同一节点重新产生请求，不依赖旧连接判断结果。
日志不再报 TLS 错误，但网页仍打不开？
继续检查代理协议认证、路由分流、DNS 和系统代理入口。证书验证通过只说明 TLS 这一层完成，不能证明 VMess 或 VLESS 认证、目标站连接和应用代理设置都已正确。
最终验收按同一顺序执行：系统时间正确，节点字段与服务端一致，证书验证保持开启，重新连接后日志没有新的 TLS 验证错误，再确认应用请求走到预期出站。保留这次修改的字段名与结果，下次订阅变更或切换内核时即可逐项对照。