TLS 握手错误怎么办？证书错误、SNI 与时间不同步

TLS 握手错误意味着客户端与节点在建立加密连接的阶段就失败了，还没有到传输数据这一步。按出现概率排序：系统时间不准、节点配置中的 SNI 或伪装域名与服务端证书不匹配、订阅过旧导致证书或域名已更换、当前网络存在中间人设备（校园网、公司网常见）、协议特征被识别并干扰。

排查的第一步永远是校准时间。这一步成本最低，却能解决相当大比例的握手失败，尤其是虚拟机、长期休眠后的电脑和刚换电池的设备。

排查清单（从最可能的原因开始）

1. 校准系统时间并开启自动同步。Windows 在日期和时间设置中点击「立即同步」，macOS 在日期与时间中勾选自动设置。校准后重启客户端。
2. 更新订阅。机场更换证书、域名或 SNI 后，旧订阅里的节点配置不再匹配。更新后删除旧节点重新导入。
3. 检查 SNI / 伪装域名。Trojan、VLESS 等协议依赖 SNI 与服务端证书匹配，手动修改过节点配置、或从其他格式转换而来的配置常在这里出错。对照订阅原始内容逐字核对。
4. 检查是否误开了跳过证书验证。有些教程建议开启 skip-cert-verify 来「解决」错误，这只是掩盖问题；反过来，如果机场节点使用自签证书却没有开启该选项，也会握手失败，以机场文档为准。
5. 检查 DNS 解析。域名被污染后解析到错误 IP，握手时拿到的证书自然不匹配。排查方法见 DNS 错误怎么排查。
6. 换一个网络环境。校园网、公司网常部署带证书替换的安全设备，会对 TLS 流量做中间人处理。切到手机热点测试，正常说明是网络环境问题。
7. 换协议。某些协议的 TLS 特征被识别后会被干扰，表现为握手阶段被重置。切换到 Hysteria2、TUIC 或 Reality 类协议对比。
8. 检查系统根证书与本地安全软件。过期或损坏的根证书、启用 HTTPS 扫描的杀毒软件都可能干扰握手。

原因、表现与处理对照表

什么时候联系客服，什么时候换机场

联系客服的时机：系统时间准确、订阅已更新、多个网络环境下同一批节点仍然握手失败，而其他协议或其他节点正常。这通常是机场侧证书过期或配置下发错误，把节点名称与客户端日志中的错误行发给客服即可。

换机场的信号是证书与配置问题反复出现。证书到期未续、SNI 配置频繁出错，反映的是运维习惯问题，而不是偶发故障。如果握手能通过但节点依然不可用，转到节点全部超时怎么办。关于协议、SNI 等概念在节点配置中的位置，可以参考什么是节点，v2rayN 中手动核对节点配置的方法见 v2rayN 使用教程。

总结

• 先校准系统时间，这是 TLS 握手失败最常见也最容易修复的原因。
• 更新订阅并对照原文核对 SNI / 伪装域名，避免手动修改导致不匹配。
• 跳过证书验证只是排查手段，不是解决方案。
• 校园网、公司网中的证书错误多为中间人设备，换网络即可确认。
• 同一批节点在多网络下持续失败，属于机场侧配置问题，联系客服。