梯子提示证书错误？系统时间与 TLS 握手问题排查

选梯子编辑部 · 更新于 2026-10-08

故障排查客户端报错难度：进阶约 10 分钟读完

梯子证书错误，最常见的原因不是证书坏了，而是设备的系统时间不对。TLS 校验证书时要对照当前时间，偏差太大，一张好证书也会被判成“已过期”或“尚未生效”；部分代理协议本身也对时间敏感。所以看到节点全部超时、日志里出现 certificate、handshake、x509 这类字样，先校时，再往下查。

先看清是哪一种梯子证书错误

同样叫“证书错误”，出现的位置不同，原因和处理顺序也不同：

本文主要处理第一种，同时覆盖后两种。动手之前，先回答三个问题，它们能直接把范围缩小一半：

1. 是全部节点都报错，还是只有个别几个？ 全部一起，多半是本地条件（时间、网络）或服务商整体问题；个别，多半是那几个节点自己的配置。
2. 关掉梯子直连时，普通网站有没有证书警告？ 直连也有警告，问题在本机时间、安全软件或当前网络，与梯子无关。
3. 换一个网络（例如手机热点）是否一样？ 换网络后消失，说明问题出在原来的网络环境。

日志里的 certificate、handshake、x509 是什么意思

多数内核是用 Go 语言写的，日志里的措辞比较接近。下面是常见字样和它们通常指向的方向，不同内核和客户端的原文会有出入，以你看到的为准：

注意最后一行：TLS 握手失败并不总是证书的问题。连接在握手阶段被掐断，日志里同样会出现 handshake 字样，原因可能是线路。节点超时的整体判断方法见节点超时怎么办。

系统时间不对：为什么会让握手失败，怎么校时

证书带有生效时间和失效时间。客户端验证证书时，拿本机的时钟来比对。系统时间不对，哪怕偏差只是时区选错，换算出的实际时间也可能和真实时间差几个小时，证书就会被判成无效。部分代理协议则在协议层要求双方时间接近，容许的偏差很小，具体以所用协议的文档为准。

先排除这几个容易被忽视的情况：

• 时区选错。 钟面看着对，换算成世界标准时间却偏了几小时。
• 关闭了自动校时。 手动设置过时间，之后又慢慢漂移。
• 台式机主板电池没电。 每次断电后，时间回到很早以前。
• 双系统切换。 两个系统对硬件时钟的理解不同，切换后会差出几个小时。
• 虚拟机或休眠恢复后。 时钟可能没有及时追上。

按系统校时：

命令行的做法（Windows 需要管理员权限的终端，macOS 与 Linux 需要 sudo）：

w32tm /resync
sudo sntp -sS time.apple.com
timedatectl status
sudo timedatectl set-ntp true

第一条用于 Windows，第二条用于 macOS，后两条用于 Linux。timedatectl status 里能看到系统时钟是否已同步。校时之后，完全退出客户端再重新打开，刷新订阅并重新测试节点。如果节点恢复，问题就解决了，之后保持自动校时开启即可。

时间没问题：证书无效还可能出在哪

校时后仍然报错，再按下面几种情况排除。

服务端证书到期或更换。 如果同一个域名下的节点同时出现证书过期的字样，而你的时间确认无误，就可能是服务商一侧的证书到期了。这种情况自己没法修，只能等服务商处理。先看公告渠道有没有说明，再把日志截图发给客服。

域名或 SNI 不符。 日志里出现“证书适用于某某域名，而不是某某”，说明配置里的服务器名称与证书不一致。可能是订阅内容更新后，你的本地配置还是旧的，试着重新更新订阅，方法见订阅链接怎么用。如果你手改过配置，或用过订阅转换，也要检查字段有没有丢失，转换的风险见订阅转换是什么。

自签证书。 有的节点使用自签证书，客户端自然不认。这类节点通常配套提供“跳过证书验证”选项，也可能提供证书指纹，下一节单独讲。

客户端来路不明。 如果你的客户端或订阅来自不明渠道，配置可能被改过，甚至要求你安装额外的根证书。这类来源的特征见机场假官网怎么识别和破解版梯子软件能用吗，遇到要求安装根证书的，先停下。

“跳过证书验证”是诊断工具，不是修复

很多客户端有“跳过证书验证”这个选项，不同位置写法不同，比如配置里的 skip-cert-verify、链接参数里的 allowInsecure 或 insecure。它的含义是：客户端不再检查对方证书是否可信、是否过期、域名是否匹配。

为什么它是个信号：打开后错误消失，只能说明问题出在证书校验环节，并不说明线路是安全的。关掉校验后，连到的服务器是不是它声称的那一台，客户端无从判断，如果链路上有人替换了服务器，你也不会收到任何警告。

也有正常的解释：

• 订阅里自带该选项，不一定有恶意。节点使用自签证书或直接用 IP 连接时，这是常见做法。
• 一些内核支持证书指纹固定，比自动信任更稳妥，见 Mihomo 文档，具体写法因内核而异。

使用原则：

1. 只做临时诊断。 想确认是不是证书环节出了问题，可以对单个节点短暂打开。
2. 测完恢复。 不要把它当作“修好了”长期留着。
3. 打开期间不登录重要账号。 校验已关，保护就少了一层。
4. 长期解决靠修根因。 校时、更新订阅，或让服务商处理证书。

浏览器出现证书警告：安全软件、网络环境与劫持

如果梯子证书错误出现在浏览器里，先看提示的错误代码。以 Chrome 为例，提示中带有类似 ERR_CERT_DATE_INVALID 的字样，说明就是时间问题。其他可能的来源：

怎么区分正常与可疑：

• 点开证书详情，看颁发者是谁。颁发者是你认识的安全软件或公司名，多半是正常的监控；是陌生名称，换网络核对。
• 同一网站在不同网络下警告是否一致。只在某个网络出现，才怀疑该网络。
• 无论如何，不要在有警告的页面继续输入密码，也不要安装来历不明的根证书。机场能看到什么、看不到什么，可以读梯子安全吗。

自己核对：十分钟定位证书错误的清单

按下面的顺序逐项核对，每步都记下结果：

1. 检查系统时间、时区、自动校时开关，校时。
2. 复制日志里的原文，对照前面的字样表，判断是过期、不被信任、域名不符还是握手被拒。
3. 数一数：个别节点失败，还是全部节点失败。
4. 关掉梯子，访问国内网站，看有没有证书警告。
5. 换一个网络（手机热点）再试一次。
6. 重新更新订阅，退出客户端再重开。
7. 核对客户端和订阅的来源是否正规，有没有被要求安装根证书。

综合起来判断：

这张表给的是倾向，不是定论。无法替你确认服务商一侧的真实情况，所以最后一行的结论需要对方的回复来印证。

下一步：先校时，再缩小范围，别靠“跳过验证”蒙混

1. 先完成校时和时区检查，退出客户端重启，大部分情况到这里就结束了。
2. 仍然报错，按上面的清单和结论表缩小范围，把日志原文、报错时间、网络环境、受影响的节点写清楚。
3. 判断是服务商一侧的问题，就带着这些信息找客服；还要看看客户端本身是否可疑，来路不明的客户端先换成正规渠道的版本。
4. 如果服务商反复出证书类故障，公告渠道又长期没人回应，可以考虑换家：到梯子推荐里按用途挑，先用短周期套餐验证，不要一次付很久。
5. 如果问题其实是整体连不上，而不只是证书，回到梯子连不上怎么办，按从外到内的顺序排查。

梯子证书错误看起来吓人，其实是在提醒你某个环节不对劲。先把时间校准，再一步步缩小范围，比关掉校验要可靠得多。

接着读

• 故障排查 · 节点超时怎么办？全部 timeout 和个别超时的区别
• 故障排查 · 梯子连不上怎么办？按 6 步从外到内排查
• 避坑指南 · 机场假官网怎么识别？钓鱼站与仿冒客户端的特征
• 避坑指南 · 破解版梯子软件能用吗？修改版客户端的风险
• 故障排查 · 订阅更新失败怎么办？五种原因逐个排除
• 选购指南 · 梯子安全吗？机场能看到什么、看不到什么

文中出现的术语

• 代理内核
• 直连
• Shadowsocks