摘要：握手阶段就失败，说明加密连接没建起来。第一步先校准系统时间：成本最低，却能解决相当比例的失败，虚拟机和长期休眠的电脑尤其常见。之后再看证书有效期与 SNI。
一分钟速查
- 先校准时间：开自动同步，最常见原因。
- 更新订阅：证书、域名更换后旧订阅会失配。
- 核对 SNI：伪装域名与服务端证书要匹配。
- 换网络对比：校园网/公司网多为中间人设备。
原因、表现与处理对照表
| 原因 | 典型表现 | 处理方式 |
|---|---|---|
| 系统时间不准 | 所有 TLS 节点同时失败，日志提示证书未生效或过期 | 开启自动同步时间 |
| 订阅过旧 | 更新订阅后恢复正常 | 更新订阅并重新导入 |
| SNI/伪装域名不匹配 | 日志提示证书域名不符或 handshake failure | 对照订阅原文修正配置 |
| 证书验证选项配置错误 | 开关 skip-cert-verify 后行为变化 | 按机场文档设置 |
| DNS 污染 | 同一节点换 DNS 后恢复 | 客户端接管 DNS，用加密 DNS |
| 网络中间人设备 | 校园网/公司网报错，热点正常 | 换网络或换协议 |
| 协议被干扰 | 握手阶段被重置，某协议全部失败 | 切换 Hysteria2/TUIC/Reality |
| 杀软 HTTPS 扫描 | 关闭杀软后恢复 | 关闭 HTTPS 扫描或加白名单 |
排查清单
第一步：校准时间
校准系统时间并开启自动同步，重启客户端。
第二步：更新订阅
更新订阅，删除旧节点重新导入。
第三步：核对 SNI
检查 SNI/伪装域名是否与服务端证书匹配。
第四步：查证书验证选项
检查是否误开了跳过证书验证（skip-cert-verify）。
第五步：查 DNS
检查 DNS 解析，域名被污染会拿到错误 IP。
第六步：换网络对比
切手机热点测试，正常说明是网络环境问题。
第七步：换协议
换 Hysteria2、TUIC、Reality 等协议对比。
关于 TLS 错误的 3 个误区
- 「跳过证书验证就解决了」——这只是掩盖问题，还放弃对服务端身份的校验，只应临时排查；
- 「证书错误一定是机场的问题」——先查系统时间、根证书和杀软 HTTPS 扫描，很多是本地原因；
- 「关代理还报错就跟代理无关」——关代理后仍报错，是系统时间、根证书或中间人问题；只在开代理时报错，查客户端是否开了 HTTPS 解密。