DNS、TLS 证书和系统时间导致的连接问题排查

三类问题的共同特征

这三类问题放在一起讲，是因为它们的表象很像，而且互相牵连：

现象	最可能的原因
全部节点超时、握手失败	系统时间偏差
IP 能通、域名不通；打开错网站	DNS 解析在错误的一侧
浏览器提示证书不安全	时间错误，或中间设备接管

共同点是：客户端看起来一切正常，连接就是建立不起来。按下面的顺序查，成本从低到高。

第一步：系统时间（最先查）

代理协议的握手要校验时间，客户端与服务器偏差超过几分钟就可能直接失败，症状是全部节点同时超时——非常容易被误判为服务商跑路。

处理方式：

• Windows：设置 → 时间和语言 → 日期和时间，确认「自动设置时间」与「自动设置时区」为开启，点一次「立即同步」；
• macOS：系统设置 → 通用 → 日期与时间，开启「自动设置日期与时间」；
• Android / iOS：设置里的日期与时间，开启自动获取；
• 双系统电脑常见时区偏差 8 小时的情况（Windows 与 Linux 对硬件时钟的解读不同），表现为切换系统后代理必然失效。

时间校准后立刻重测。这一步成本最低、命中率却很高，值得永远放在第一位，其他超时原因见所有节点显示 TIMEOUT 的常见原因。

第二步：DNS 在哪一侧解析

理解一个概念就够了：域名解析可以发生在你本地，也可以发生在代理服务器那一侧。

• 解析在本地发生 → 本地网络返回什么地址，你就连到哪里，可能是错误地址或不适合你的就近节点；
• 解析在代理侧发生 → 拿到的是代理服务器视角的解析结果，通常才是你想要的。

典型症状与处理：

1. 域名打不开、IP 能通 → 解析出了问题。临时切到全局模式验证：恢复正常说明解析确实需要走代理侧；
2. 打开的是错误页面或运营商提示页 → 本地解析被干扰，让目标域名由代理侧解析；
3. Clash 系客户端通常有 DNS 相关开关（含 fake-ip 模式），保持机场下发配置的默认值即可，不要随意自定义——自定义 DNS 是这类问题最常见的来源；
4. 路由器方案下 DNS 配置最容易出错，见路由器代理方案实操。

顺带一提 DNS 泄露：解析请求走本地网络时，本地网络能看到你访问了哪些域名。它不影响可用性，但影响隐私，主流客户端默认配置多已处理。

第三步：TLS 证书报错

浏览器提示「您的连接不是私密连接」「证书无效」时，按这个顺序判断：

1. 先看系统时间——时间错误会让所有有效证书都被判为过期或尚未生效。这是最常见的原因；
2. 看是不是只有某一个网站：只有一个站点报错，多半是该站点自己的证书问题，与代理无关；
3. 看是不是所有 HTTPS 都报错：这通常意味着连接被中间设备接管——公司/学校网络的安全网关、安装了根证书的软件、或被篡改的网络环境；
4. 系统根证书过旧：长期不更新的旧系统（尤其是老旧手机、老版本 Windows）会因根证书过期而无法验证新证书，需要更新系统。

什么时候不该点「继续访问」：时间正确、多个网站同时报错时。这种情况下点继续等于把本应加密的内容交给中间设备，涉及账号密码就是实打实的风险，相关注意事项见订阅链接与账号的安全保存。

第四步：订阅链接也会受影响

订阅更新失败常常是同一批原因造成的：

• 订阅地址是 HTTPS，系统时间错误 → 下载订阅时证书校验失败；
• 订阅域名被本地 DNS 解析到错误地址 → 更新超时或返回错误内容；
• 处理顺序与更多可能性见订阅更新失败的完整排查方法。

快速排查清单

1. 校准系统时间（自动同步 + 立即同步），重测；
2. 域名不通但 IP 通 → 切全局模式验证 DNS，恢复机场下发的默认 DNS 配置；
3. 证书报错 → 先看时间，再看是单站点还是全部站点；全部报错就停止访问并换网络环境；
4. 旧设备更新系统根证书；
5. 换一个网络（手机热点）交叉验证，区分「本机问题」与「网络环境问题」。

以上都正常但网页仍打不开，转客户端可以启动但打不开网页继续分层排查。