V2Ray TLS 握手失敗、憑證錯誤排除：系統時間、SNI 與 allowInsecure 設定

先分辨憑證錯誤與連線失敗

「TLS 握手失敗」描述的是連線階段，並非單一原因。用戶端先連上節點位址與連接埠，再進行 TLS 協商及憑證驗證，之後才會進入代理協定的互動。連線逾時、伺服器主動中斷、憑證網域不符，都可能被上層統稱為連線失敗。排查時應展開核心日誌，查看錯誤鏈最末層，而不是只看測速清單中的失敗標記。

v2rayN 可在主畫面的日誌區查看這次連線記錄；v2rayNG 與 v2flyNG 可從主選單的日誌入口查看。不同版本的選單名稱可能不同。先記下用戶端版本、核心名稱、傳輸方式及完整錯誤，再只對一個節點發出一次請求，避免多個背景連線的日誌混在一起。

系統時間：先同步，再判斷憑證是否過期

憑證包含生效時間與到期時間。裝置時鐘太早可能觸發「尚未生效」，太晚則可能顯示「已過期」。只切換時區通常不會改變實際的系統時間戳；需要校正的是實際日期與時間。雙系統切換、長時間關機後開機，或自動時間同步失敗，都應優先檢查。

1. 同步時間

   Windows 11：開啟「設定」→「時間與語言」→「日期與時間」，啟用「自動設定時間」，再於「其他設定」中點選「立即同步」。若同步失敗，請先確認裝置網路連線正常。

2. 確認其他裝置

   macOS：前往「系統設定」→「一般」→「日期與時間」，啟用自動設定日期與時間。Android：前往系統「設定」→「系統」→「日期與時間」，啟用自動設定時間；部分廠牌的系統會將此選項放在「更多設定」。

3. 重新建立連線

   同步時間後，停止並重新啟動用戶端連線，記錄新產生的錯誤。不要用校正時間前的舊日誌判斷修復是否有效。

4. 檢查憑證期限

   若裝置時間正確，仍提示憑證過期，請檢查實際收到的憑證有效期限。憑證更新後，還需要讓 TLS 終止服務重新載入；磁碟上的新檔案不代表目前連線已使用新憑證。

連線位址、SNI 與 Host 不可混為一談

節點編輯頁中的「位址」決定連線目標；SNI 是 TLS ClientHello 中送出的伺服器名稱，伺服器常依此選擇憑證；WebSocket 的 Host 則屬於握手後的 HTTP 要求標頭。三者可能使用相同網域，也可能不同，但必須符合伺服器設定，不能把「偽裝網域」當成可任意更換的裝飾欄位。

以保留供文件說明的網域 edge.example.com 為例：如果憑證的 Subject Alternative Name 包含此名稱，SNI 就應填入這個主機名稱，而不是 https://edge.example.com/path。透過 IP 連線時，也可以明確指定伺服器要求的網域作為 SNI。若直接以 IP 驗證，憑證必須包含相符的 IP 位址項目，只有網域項目並不足夠。

用戶端中 SNI 與 allowInsecure 的檢查位置

介面名稱會隨版本變動，以下以節點編輯入口及實際欄位作為定位依據。訂閱匯入的參數也可能在更新時被覆寫，修改前建議複製一個節點供排查，並記下原始值。不要在同一次測試中同時修改位址、連接埠、SNI 和傳輸方式，否則即使恢復連線，也難以判斷原因。

• v2rayN：在主畫面雙擊目標節點，開啟伺服器編輯視窗。檢查「位址」與「連接埠」，再查看傳輸層安全相關區域中的 tls、「SNI」及「跳過憑證驗證」或「允許不安全連線」選項。一般 TLS 情境下，後者應關閉。若使用自訂設定，請以實際載入的 JSON 為準；一般編輯視窗不一定會修改該檔案。
• v2rayNG：在節點清單中點選目標節點的編輯圖示，往下查看 TLS 設定。確認傳輸層安全性為 tls，核對「SNI」與「允許不安全連線（allowInsecure）」；若使用 WebSocket，請另外檢查傳輸設定中的 Host 和 path。此用戶端使用 Xray 核心，REALITY 節點應依對應欄位排查。
• v2flyNG：從節點清單進入編輯頁，檢查 TLS、伺服器名稱或 SNI，以及允許不安全連線選項。此用戶端使用 v2fly 核心，不應照搬 Xray 專用的安全設定；若目前編輯頁沒有對應欄位，請核對節點類型與使用的版本，不要改把值填入 Host。

以下是一般 TLS 的 streamSettings 設定片段，用來辨識欄位，並非完整節點設定。範例使用 TCP 傳輸，網域僅供說明；現有節點若使用 WebSocket 或其他傳輸方式，不要為了照抄範例而改成 TCP。最終支援的欄位仍以實際執行的核心為準。

{
  "streamSettings": {
    "network": "tcp",
    "security": "tls",
    "tlsSettings": {
      "serverName": "edge.example.com",
      "allowInsecure": false
    }
  }
}

憑證鏈與 SNI：透過獨立握手縮小問題範圍

若環境中有終端機工具，可在同一部裝置、同一個網路下獨立檢視伺服器傳回的憑證。以下指令需在系統已安裝 OpenSSL 的情況下使用；執行前請將範例主機名稱、SNI 與連接埠替換為實際參數。連線位址與 SNI 分開指定，特別適合檢查「透過 IP 連線、以網域驗證」的設定。

openssl s_client -connect edge.example.com:443 -servername edge.example.com -showcerts -verify_hostname edge.example.com -verify_return_error

• 先確認是否收到憑證：若連線建立前就逾時，應先檢查網路、DNS、連接埠及防火牆；沒有憑證輸出不代表憑證已過期。
• 接著檢查名稱與期限：查看傳回憑證中的網域項目、生效時間與到期時間。若 SNI 選到預設站點的憑證，請核對伺服器端的虛擬主機設定及憑證綁定。
• 檢查憑證鏈：伺服器通常應傳送葉憑證及必要的中繼憑證，根憑證則由用戶端的信任存放區提供。瀏覽器能連線，不代表所有核心都能建立相同的信任鏈。
• 比較信任環境：OpenSSL 與用戶端核心可能使用不同的信任存放區。指令成功只能證明該工具在目前目標及參數下的結果，不能取代用戶端重新測試。

若只有在某個網路中收到簽發者不同的憑證，請檢查該網路是否有 HTTPS 檢查、入口網站登入或流量轉送。不要從錯誤彈出視窗中任意安裝未知的根憑證。若伺服器由他人管理，提供去識別化的錯誤末行、發生時間、SNI 與連接埠即可；不要附上完整訂閱網址、UUID 或其他憑證資料。

常見問題與修復後驗收

修改完成後，先儲存節點並重新啟動連線，再用相同的要求重新測試。驗收時不能只看延遲數字：日誌中不應再出現原本的憑證錯誤，實際要求也應能完成；一般 TLS 節點仍須維持憑證驗證開啟。若握手通過後出現路徑錯誤、HTTP 狀態碼異常或協定驗證失敗，應改查傳輸路徑與帳戶參數，不要再反覆修改 SNI。

• 記錄這次修改的欄位，以及修改前後的錯誤末行。
• 確認用戶端使用的是修改後的節點，而非另一個名稱相同的訂閱項目。
• 刪除排查時建立的暫存設定，或清楚標示用途，以免誤選。
• 需要了解欄位層級時，請參閱設定參考；需要確認術語時，請參閱術語表。