适合处理 v2rayN、v2rayNG 与 v2flyNG 中出现的 TLS 握手失败、证书过期、域名不匹配和连接被关闭问题。先校准系统时间，再核对节点地址、SNI 与传输层设置，最后结合核心日志判断是本地配置、网络拦截还是服务端证书异常。
先按 TLS 握手顺序定位故障阶段
TLS 位于传输连接之上。客户端先解析服务器地址并建立 TCP 连接，随后发送包含协议版本、加密套件和 SNI 的 ClientHello。服务端返回证书后，Xray 或 V2Fly 内核会检查证书有效期、签发链和域名。任一检查失败，VMess 或 VLESS 的认证数据都还没有进入正常交换阶段，因此更换 UUID、alterId 或路由规则通常不能解决证书错误。
排查时先保存一条完整核心日志，不要只看界面上的“连接失败”。v2rayN 可从主窗口底部日志区或「帮助」→「查看日志」检查近期输出；v2rayNG 可打开左上角菜单中的「日志」查看核心错误。不同内核版本的措辞可能略有变化，但 x509、certificate、handshake、server name 等关键词足以确定故障方向。
报错：x509: certificate has expired or is not yet valid
原因与解法：本机时间超出证书有效区间，或者服务端证书确实已经过期。先自动同步日期、时间与时区，再重新连接；多台设备同时报错时联系配置提供方更新证书。
报错：x509: certificate is valid for another domain, not current domain
原因与解法：SNI 所指域名不在证书的主题备用名称中。把 TLS 的 serverName 改为证书覆盖的域名，不要直接照抄服务器 IP。
报错：remote error: tls: handshake failure
原因与解法：服务端拒绝了握手，常见于 SNI、端口、TLS 开关或传输方式不一致。逐项对照服务端配置，确认没有把 WS、gRPC、TCP 等传输参数混用。
报错：tls: failed to verify certificate
原因与解法：证书链、域名或有效期校验未通过。优先修正时间和 SNI，不要把关闭证书验证作为常规处理方式。
校准系统时间、时区与网络时间
证书包含明确的生效时间和失效时间，验证过程使用设备当前时钟。系统时间即使只偏差数分钟，也可能让刚签发或刚续期的证书落在“尚未生效”区间。休眠后时钟漂移、双系统写入时钟标准不一致、虚拟机暂停恢复，以及路由器阻断时间同步，都可能触发此类错误。
Windows 中依次打开「设置」→「时间和语言」→「日期和时间」，启用自动设置时间与自动设置时区，然后执行立即同步。macOS 可在「系统设置」→「通用」→「日期与时间」中启用自动设置。Android 进入系统「设置」→「系统」→「日期和时间」，同时开启网络提供的时间和时区。Linux 应确认系统时间、时区和时间同步服务均处于正常状态。
-
记录原始报错
断开当前连接，清理日志显示后重新连接一次，保留包含 x509、TLS 与目标域名的完整错误行。
-
核对日期时区
检查年份、月份、日期、小时和时区。只改时钟而不修正时区，重启后仍可能再次偏移。
-
执行时间同步
启用系统自动时间并手动触发一次同步。若同步失败，先切换到可正常访问网络时间服务的连接。
-
重启客户端
完全退出 v2rayN、v2rayNG 或 v2flyNG，再重新启动内核，避免旧连接继续复用此前的握手状态。
-
交叉验证设备
在另一台时间准确的设备上测试同一配置。只有单台设备失败时，优先继续检查该设备的时间和证书环境。
核对服务器地址、SNI 与证书域名
服务器地址负责把连接送到目标主机，SNI 则在 TLS 握手阶段告诉服务端应返回哪一张证书。两者可以相同，也可以不同。例如服务器地址可能是 IP，而 SNI 必须填写证书覆盖的域名。把 IP 同时填进 SNI，通常会得到域名不匹配错误，因为公开证书一般只覆盖域名。
检查证书域名时要区分主域名与子域名。证书覆盖 example.net，不代表一定覆盖 edge.example.net；通配符证书覆盖一级子域名时，也不自动覆盖更深层级。节点提供的 host、SNI、serverName 和伪装域名可能承担不同职责，不应因为文本相似就全部填写成同一个值。
| 配置项 | 作用 | 正确填写原则 | 常见错误 |
|---|---|---|---|
| 地址 | 用于 DNS 解析并建立连接 | 填写节点给出的域名或 IP | 粘贴了协议前缀、路径或多余空格 |
| 端口 | 指定远端服务监听位置 | 与服务端实际监听端口一致 | 误填成本地代理端口 10808 |
| SNI | 选择 TLS 证书与虚拟主机 | 填写证书覆盖且服务端要求的域名 | 填写 IP 或不相关域名 |
| Host | 用于 HTTP、WS 或其他传输层请求 | 按节点说明填写，不与 SNI 强行合并 | 把完整网址连同路径一起填入 |
| 传输安全 | 决定是否启用 TLS 或对应安全层 | 与服务端部署方式完全一致 | 服务端启用 TLS，客户端却选择 none |
报错：x509: cannot validate certificate for an IP because it does not contain any IP SANs
原因与解法：客户端按 IP 校验证书，但证书没有包含该 IP。保留 IP 作为连接地址，并在 SNI 或 serverName 中填写证书对应域名。
报错：EOF 或 connection closed by peer
原因与解法：远端在握手期间直接关闭连接。先确认端口与 TLS 开关，再检查 SNI、传输方式和网络是否把连接送到了错误服务。
订阅节点中的 TLS 字段通常由订阅内容生成。手动修改后再次更新订阅，修改可能被覆盖。若同一分组内所有节点都出现相同的错误，应先更新订阅并确认订阅内容是否已经修正；若只有一个节点失败，则更可能是该节点的证书、域名或服务端监听配置异常。
正确理解 allowInsecure 的用途
allowInsecure 控制客户端是否跳过部分证书验证。正常连接公开服务时应保持关闭，使内核继续检查证书链、有效期和域名。开启后即使连接暂时恢复，也只说明问题位于证书验证环节，不能证明 SNI、证书部署或系统时间已经正确。
- 日常使用：保持 allowInsecure 关闭，修正证书、系统时间与 SNI。
- 短时诊断：仅在明确理解风险且需要确认故障层级时临时测试，测试完成后立即恢复关闭。
- 自签名环境：优先把受信任的根证书正确安装到受控设备，而不是长期跳过验证。
- 订阅配置：不要批量给全部节点启用该选项，它会掩盖多个节点各自不同的证书问题。
REALITY 配置也可能出现 serverName 相关问题，但它的安全层参数不能直接照搬普通 TLS 节点。VLESS 只是代理协议，TLS、XTLS Vision 或 REALITY 属于传输安全配置；排查时应先确认节点采用哪一种安全方式，再检查对应字段。不要把普通 TLS 的证书处理方法机械套用到不同安全层。
在 v2rayN、v2rayNG 与 v2flyNG 中逐项复查
桌面端和安卓端的界面名称存在差异，但需要核对的字段相同：地址、端口、传输协议、传输安全、SNI、Host、路径以及内核日志。先复制原配置作为备份，每次只修改一项并重新测试，才能判断具体是哪一个字段造成变化。
-
检查核心设置
在 v2rayN 中打开「设置」→「参数设置」→「Core 类型」，确认节点由预期内核处理。普通 Xray 配置不要误切到不兼容的核心。
-
编辑节点字段
双击 v2rayN 节点进入编辑界面，依次检查地址、端口、传输协议、TLS、安全类型与 SNI。不要在地址栏中加入 https:// 前缀。
-
检查安卓配置
在 v2rayNG 或 v2flyNG 的配置列表中点选目标配置并进入编辑，核对「伪装域名」「SNI」或同义字段，保存后重新启动连接。
-
更新订阅内容
打开订阅分组并执行更新，再对比失败节点字段是否发生变化。订阅更新失败与节点 TLS 失败属于不同连接过程，应分别查看日志。
-
关闭旧的连接
停止客户端代理，等待旧连接释放后再启动。桌面端同时确认系统代理指向当前本地监听端口，而不是已退出的旧实例。
-
对比其他节点
测试同一订阅中的另一个节点。全部节点失败时检查本机环境，单个节点失败时重点检查该节点证书和服务端配置。
路由分流一般不会改变远端证书内容，但它可能决定连接从哪个出站发起。如果规则把节点域名送入不可用的代理出站，就可能表现为超时或连接关闭。为排除分流影响，可短时切换到直接且明确的测试规则；确认 TLS 恢复后，再还原原有路由配置并逐条检查命中日志。
常见追问与最终排查清单
完成时间、SNI 和证书验证检查后，仍失败的连接应从网络层与服务端继续排查。DNS 污染可能把域名解析到错误地址，透明代理可能改写连接路径，服务端反向代理也可能没有加载续期后的证书。此时需要结合解析结果、连接端口和服务端日志判断，而不是继续反复修改 UUID。
手机能连接，电脑一直提示证书时间错误？
优先检查电脑的年份、时区和自动时间同步。完成同步后完全退出 v2rayN，再启动内核测试；不要只断开节点后立即重连。
SNI 留空可以让客户端自动判断吗？
当连接地址就是证书域名时，部分配置可以使用地址作为默认 serverName；地址为 IP、前置域名或特殊部署入口时，应按节点说明明确填写 SNI。
更新订阅后所有节点同时握手失败怎么办？
先确认系统时间，再查看订阅是否改变了传输安全、SNI 或端口。若多台设备在同一时间出现相同错误，通常需要配置提供方检查证书和服务端部署。
开启 allowInsecure 后能用，可以一直开着吗？
不建议。它只适合作为短时定位手段。应恢复严格验证，并修正域名匹配、证书链或时间问题。
TLS 报错和 VMess、VLESS 密钥有关系吗？
证书验证发生在代理协议认证之前。日志明确指向 x509、certificate 或 server name 时，先处理 TLS；握手成功后再检查 UUID、加密方式与流控参数。
- 确认设备日期、时间与时区准确，并成功执行自动同步。
- 确认节点地址没有协议前缀、路径、空格或复制错误。
- 确认远端端口与服务端监听一致，没有误填 10808 等本地端口。
- 确认 SNI 对应证书覆盖的域名，而不是直接填写不受证书覆盖的 IP。
- 确认 TLS、WS、TCP、gRPC 等传输参数与服务端一致。
- 保持 allowInsecure 关闭，用日志定位实际证书错误。
- 确认订阅更新没有覆盖手动修正，必要时复制配置后单独测试。
- 对比另一台设备与另一个节点，区分本机问题和服务端问题。
排查顺序应保持稳定：先读日志，再同步时间，随后核对地址、端口、SNI 和传输安全，最后检查证书链与服务端状态。按这个顺序处理，可以避免把证书故障误判成节点认证、系统代理或路由规则问题，也能减少无效的批量改动。