risk/troubleshoot · 集群 A · 连接故障 · 4/6

代理连接出现证书错误：TLS 校验失败的排查思路

证书错误分哪两种

首先要分清证书错误出现在哪里：是客户端连接节点时报错，还是浏览器打开网页时报错。两者原因和风险程度不同，处理方式也不同。

很多使用 TLS 的代理协议，会让客户端像访问 HTTPS 网站一样验证节点证书。验证内容包括：证书是否在有效期内、证书是否由可信机构签发、证书上的域名是否与连接时声明的域名（SNI）一致。任何一项不通过，握手就会失败。协议与 TLS 的关系可以参考 代理协议 专题。

节点 TLS 校验失败的常见原因

节点 TLS 校验失败时，按出现频率从高到低排查即可：

  客户端报证书 / TLS 错误
            │
  1. 本机系统时间准确吗？
     ├─ 否 → 开启自动对时，重试
     └─ 是
          │
  2. 更新订阅后仍报错吗？
     ├─ 否 → 节点参数已变更，问题解决
     └─ 是
          │
  3. 其他设备同一节点也报错吗？
     ├─ 否 → 本机客户端版本或证书存储问题
     └─ 是
          │
  4. 所有节点都报错，还是个别节点？
     ├─ 个别 → 该节点证书可能过期，反馈服务商
     └─ 全部 → 换网络对比，排除中间设备干扰

系统时间错误

证书有明确的生效时间和过期时间。如果本机时间比实际时间早很多，客户端会认为证书「尚未生效」；如果晚很多，会认为证书「已经过期」。这是最常见也最容易解决的原因，详细原理见 系统时间不同步为什么会导致代理断连。

订阅参数过期

服务商可能更换了节点域名或证书配置，旧订阅中的参数与新证书不匹配。手动更新订阅通常就能解决。如果订阅更新失败，请先处理 订阅更新失败 的问题。

客户端或系统证书存储过旧

长期未更新的操作系统或客户端，其内置的可信根证书列表可能过旧，无法识别较新的证书链。表现是同一订阅在新设备上正常、在老设备上报错。更新系统或客户端到较新版本即可。

节点证书过期或配置错误

这属于服务端问题。如果多台设备、多个网络环境下同一节点都报证书错误，而其他节点正常，基本可以判断是该节点的问题，只能反馈给服务商等待处理。

浏览器证书警告要更谨慎

浏览器的证书警告比节点 TLS 错误更需要警惕，因为它直接关系到你在网页上输入的数据是否安全。正常情况下，代理只是转发加密流量，不会改变网站证书，所以开代理不应该导致大量网站出现证书警告。

如果开代理后大量 HTTPS 网站出现证书警告，请：

1. 立即停止在这些网站上登录或输入敏感信息；
2. 关闭代理，确认警告是否消失；
3. 检查是否导入过来源不明的配置文件、规则或安装过未知根证书；
4. 检查客户端是否开启了需要安装证书的功能（例如 HTTPS 解密类功能），不清楚用途时应关闭；
5. 必要时从官方渠道重新下载客户端、重新获取订阅。

如果只是个别网站报证书警告，而关闭代理后同样报警，那多半是网站本身的证书问题，与代理无关。更多关于恶意配置和客户端安全的内容，请阅读 安全与隐私 专题。

为什么不建议跳过证书校验

部分客户端提供「允许不安全连接」「跳过证书验证」之类的选项，打开后确实可能让连接恢复，但它的代价是：客户端不再确认对端身份。这意味着如果连接被中间设备冒充，客户端也无法察觉。

如果服务商的配置说明中明确要求某种证书设置，以服务商说明为准，并理解其含义后再决定。

证书错误的常见提示文字

不同客户端和浏览器的报错措辞各不相同，但大致可以归为几类，认识它们能更快地对应到原因。

一类提示与时间有关，例如证书已过期、证书尚未生效，这类提示首先检查系统时间，其次才考虑证书本身。一类提示与签发者有关，例如证书由未知机构签发、无法验证证书链，这类常见于系统或客户端的证书存储过旧，或者连接被中间设备替换了证书。还有一类与域名有关，例如证书域名不匹配，常见原因是订阅中的域名参数已变更而本地未更新。

记下报错的原文，在反馈给服务商时附上，能帮助对方更快定位问题。

排查之后

完成以上步骤仍无法解决时，记录报错文字（去除订阅链接等敏感信息）、出现时间、受影响节点名称，通过官方渠道反馈。如果你在比较不同品牌的协议资料，可以在 机场品牌库 查看，部分品牌协议标注为「待核实」，此类品牌更应以服务商提供的配置为准。整体排查方法可回到 故障排查 专题查看。