V2Ray TLS 握手失敗與憑證報錯：系統時間、SNI 與 allowInsecure 詳解

TLS 握手失敗的常見報錯與檢查順序

TLS 握手是 V2Ray 建立連線的第一步。用戶端向伺服器送出 ClientHello，伺服器回傳憑證鏈，本機核心依序驗證憑證有效期、網域比對與簽發鏈。任何一環失敗，連線都會在握手階段終止，表現為「已連線但立即斷開」或核心日誌中的憑證錯誤。v2rayN 與 v2rayNG 使用同一套 Xray 核心，報錯格式一致。

建議固定檢查順序：先讀報錯原文，再核對系統時間，接著比對網域與 SNI，最後檢查憑證鏈。亂序操作最常見的後果是反覆切換節點，真正的問題卻始終沒有改變。

三條報錯對應三個獨立檢查點。後續章節依此順序展開，每節末尾提供 v2rayN 與 v2rayNG 的具體操作路徑。

系統時間偏差：expired 與 not yet valid 的第一來源

憑證校驗以裝置的本地時間為準。憑證內含 NotBefore 與 NotAfter 兩個時間邊界，本機時間落在邊界之外，就會觸發「已過期」或「尚未生效」報錯。v2rayN 的核心日誌面板會印出每次握手的本機時間戳，先比對日誌時間與真實時間，偏差超過幾分鐘即可判定為時間問題。

時間同步只需兩步：開啟自動時間，再點一次「立即同步」。虛擬機與雙系統使用者需額外確認來賓系統時間在恢復執行後已刷新，暫停期間時間會停滯。

Windows 與 Android 的時間同步路徑

• Windows 11 / 10：設定 → 時間與語言 → 日期與時間，開啟「自動設定時間」並點選「立即同步」。
• Android：設定 → 系統 → 日期和時間，開啟「自動判定時間」；部分機型入口在「更多設定」下。
• 虛擬機與雙系統：恢復執行後先手動同步一次時間，避免暫停或休眠導致時間停滯。

同步完成後重啟核心再試。v2rayN 透過「核心」→「重啟核心」觸發，v2rayNG 關閉再開啟連線開關即可。若報錯消失，表示問題就是時間偏差。

SNI 與網域比對：憑證名稱不符報錯的定位

網域比對是憑證校驗的第二步。用戶端用「伺服器位址」或獨立 SNI 欄位比對憑證中的 CN 與 SAN 清單。位址填 IP 而憑證只簽給網域時，日誌出現 valid for xxx, not yyy 報錯。Xray 核心中該欄位名為 serverName，圖形介面顯示為 SNI。

{
  "streamSettings": {
    "network": "tcp",
    "security": "tls",
    "tlsSettings": {
      "allowInsecure": false,
      "serverName": "v2.example.com"
    }
  }
}

解法只有兩個方向：把位址改回網域，或保留 IP 位址並在 SNI 欄位填入憑證網域。前者適用於網域可解析的場景，後者適用於網域被污染、需要 IP 直連的場景。v2rayN 中 SNI 位於伺服器編輯視窗的 TLS 分組，v2rayNG 在伺服器編輯頁的 TLS 相關設定中填寫。

憑證鏈缺漏與 allowInsecure 的正確用法

憑證鏈由葉子憑證、中繼憑證與根憑證組成。伺服器必須下發葉子與中繼憑證，根憑證由用戶端系統信任庫提供。中繼憑證缺漏時，用戶端無法建構信任鏈，報 unknown authority。這是伺服器端設定問題，常見於只把葉子憑證寫入部署檔案的情況。

allowInsecure 的作用是跳過整條憑證校驗鏈，包括有效期、網域與簽發者。它不會修復憑證本身的問題，只讓握手通過。暫時勾選後若連線成功，表示問題確實出在憑證側；隨後應回到伺服器端修復憑證，而不是長期保留該選項。

v2rayN 中 allowInsecure 位於伺服器編輯視窗的 TLS 分組，勾選後需重啟核心生效；v2rayNG 在伺服器編輯頁的 allowInsecure 開關，切換後需斷開重連。資料仍經 TLS 加密，但憑證身分不再被驗證，中間人可替換憑證。

v2rayN 與 v2rayNG 的 TLS 設定對照

下表彙整四個檢查點在兩款用戶端中的入口，依此順序操作可涵蓋絕大多數憑證類報錯。