症状排查闭环 规范排查流程
Clash 导入订阅或连接时报错 SSL 握手失败：原因与三步解决教程
典型用户症状：在 Clash Verge、Shadowrocket 或 v2rayN 中导入或更新订阅时，提示「Network Error: SSL Handshake Failed」或「Certificate Verification Failed」，无法拉取最新节点。
🔍 可能引发该症状的底层技术原因
- 本地电脑或手机系统时间与互联网 NTP 服务器存在较大偏差（超过 5 分钟），导致 SSL/TLS 证书校验直接失效
- 本地运营商（如移动宽带）对订阅域名进行了 SNI 阻断或 DNS 投毒劫持
- 订阅服务器本身启用了 Let's Encrypt 证书但缺少中间证书链，或者本地根证书库过旧
- 客户端开启了严格的证书校验（Reject Unauthorized），但未信任自签或反代证书
按步骤诊断与处理流程
1 第 1 步：同步本地系统时间
打开系统设置 -> 日期与时间，关闭并重新开启「自动设置时间」，确保与北京时间精确同步到秒。
验证标准：再次点击更新订阅，观察是否因时间漂移导致报错。
2 第 2 步：临时关闭客户端证书验证
在 Clash Verge Rev「订阅」右键编辑配置，勾选「跳过证书验证 (Skip Cert Verify)」；或在 Shadowrocket 中关闭「验证证书」。
验证标准：保存后重新拉取订阅，若成功拉取，说明是证书链或运营商中间人嗅探所致。
3 第 3 步：更换本地 DNS 并使用备用转换域名
将路由器或本地网卡 DNS 修改为公共纯净 DNS（如 223.5.5.5 或 119.29.29.29），避开运营商劫持。
验证标准：在纯净 DNS 下重新发起订阅请求。 立即检测当前 DNS 解析路径 →
⚠️ 排查完成后的恢复建议
成功拉取订阅后，建议将节点导入本地配置保存，切勿长时期处于跳过证书验证状态，以防遭受公网中间人窃听。
工程师终端一键排查命令速查
若图形界面排查无果，可直接打开终端（macOS Terminal / Windows PowerShell）执行以下标准探测命令定位故障层级：
# 1. 验证本地局域网与网关连通性 (若时延 > 5ms 或丢包则为本地 Wi-Fi 故障) ping -c 4 192.168.1.1
# 2. 验证系统代理端口是否处于正常监听状态 (7890 端口排查) curl -Iv --proxy http://127.0.0.1:7890 https://1.1.1.1/cdn-cgi/trace
# 3. 验证远端 DNS 是否发生污染 (对比国外权威 DNS 返回 IP) nslookup www.google.com 8.8.8.8