TLS 或 SSL 错误如何排查？

HTTPS 请求通常先通过代理建立 CONNECT 隧道，再由客户端与目标站完成 TLS 握手。证书错误不一定来自代理认证。

基础检查

• 确认设备系统时间和时区正确。
• 更新系统信任库与客户端运行时。
• 检查目标域名、SNI 和证书主机名一致。

代理配置

• 将 HTTP 代理用于 HTTPS CONNECT，而不是误配成目标 TLS 服务器。
• 不要安装来源不明的根证书。
• 确认客户端没有启用企业中间代理造成双重拦截。

对比

• 使用同一配置访问已知正常的公开 HTTPS 页面。
• 记录 CONNECT 响应和 TLS 错误阶段。
• 比较不同客户端库的结果。

处理

• 证书过期或主机名不匹配时停止访问。
• 不要关闭证书校验作为长期解决方案。