TLS 握手失败怎么办？SSL 证书错误与握手超时排查

可能原因

1. A

   系统时间不准确

   证书有有效期，系统时间偏差较大时，正常证书也会被判定为未生效或已过期。

2. B

   安全软件或企业网络解密 HTTPS

   杀毒软件的 HTTPS 扫描、企业代理会替换网站证书，客户端不信任这些证书时握手失败。

3. C

   DNS 解析到错误地址

   DNS 污染使域名指向了错误的服务器，对方返回的证书与域名不匹配，或者握手直接被中断。

4. D

   网络中间设备干扰

   部分网络环境会根据 SNI 等特征中断 TLS 连接，表现为握手超时或连接被重置。

5. E

   客户端或内核版本过旧

   机场使用了 Reality、uTLS 指纹等较新的 TLS 相关特性，旧版本内核不支持时会握手失败。

6. F

   节点证书过期或配置错误

   机场节点的证书过期或域名配置有误时，所有使用该节点的连接都会握手失败。

检查方法

• 检查系统时间、日期和时区是否正确，是否开启了自动同步。
• 查看杀毒软件或安全软件是否开启了 HTTPS 扫描、网页防护等功能。
• 在浏览器中查看出错网站的证书颁发者，判断是否被替换为安全软件或企业的证书。
• 用 nslookup 查询域名，确认解析结果是否异常。
• 对比同一网络下多个节点、多种协议的表现，判断是单个节点问题还是全局问题。