开启代理后浏览器提示证书错误：HTTPS 报错原因与排查步骤

先区分证书错误与代理连接失败

浏览器显示“您的连接不是私密连接”，说明 HTTPS 身份验证没有通过；它与节点超时、代理端口未监听不是同一个问题。Clash Verge 是客户端界面，实际转发由所用内核执行。Clash 或 Clash Meta（mihomo）在普通 HTTP CONNECT、SOCKS 转发中通常不解密目标网站的 HTTPS 内容，也不需要向系统安装用于签发网站证书的根证书。

因此，“打开代理后出现”只说明网络路径变化与故障有关，不能直接推导为“代理客户端需要安装证书”。先记录浏览器错误码、访问域名、证书颁发者和有效期，再进行对照测试，比反复重装客户端更容易定位。

错误码或现象	优先检查	需要保留的信息
`NET::ERR_CERT_DATE_INVALID`	系统时间、证书起止日期	本机日期与证书有效期
`NET::ERR_CERT_AUTHORITY_INVALID`	未知签发者、缺失证书链、信任库	颁发者与证书链
`NET::ERR_CERT_COMMON_NAME_INVALID`	域名不匹配、错误解析、门户页面	地址栏域名与 SAN 域名列表
`ERR_PROXY_CONNECTION_FAILED`	本机代理地址、端口、内核状态	实际监听端口与日志

第一步：校准系统时间与证书有效期

证书包含生效时间和失效时间。电脑长时间关机、主板电池异常、虚拟机恢复旧快照，都可能让本机日期偏离真实日期。只看任务栏上的小时数不够，还要核对年份、月份和时区。若多个无关网站同时报日期错误，应先修复系统时间。

Windows 11：打开「设置」→「时间和语言」→「日期和时间」，开启「自动设置时间」，确认时区，并点击「立即同步」。受组织管理的设备应使用管理员指定的时间源。
macOS：打开「系统设置」→「通用」→「日期与时间」，启用自动设置日期与时间，并检查时区设置。
核对证书：在浏览器错误页查看证书详情；也可在开发者工具的「安全」面板查看可用的证书信息。记录“有效期起始”和“有效期截止”，与校准后的日期比较。

若只有一个网站的证书已过期，而其他网站正常，通常需要网站维护者续期或修复 CDN 配置。调整本机日期让它落回证书有效期，会影响其他网站和登录令牌，不应作为解决办法。浏览器验证的是时间点；仅修改时区显示，并不一定能修正错误的系统时钟。

第二步：检查中间人解密与异常签发者

企业网关、安全软件的“HTTPS 扫描”、本机抓包工具，都可能终止原始 TLS 连接，再用自己的证书向浏览器提供内容。如果其根证书没有被当前浏览器信任，便可能出现未知颁发者错误。公共 Wi-Fi 的认证页面被错误地返回到 HTTPS 连接时，也可能造成域名或签发者异常。

比较直连与代理下的证书

使用同一浏览器、同一域名，分别记录两条路径中的证书主题、SAN、颁发者与有效期。CDN 可能合法地使用不同证书，不能只凭“证书变了”认定存在拦截。
如果代理路径下的颁发者变成陌生组织、路由器名称或本机安全产品名称，检查对应的 HTTPS 检查功能及网络管理策略。
如果所有 HTTPS 网站都展示同一个不相关域名的证书，优先怀疑错误网关、认证门户或流量被送往错误服务。

在受管理的办公设备上，应联系管理员确认组织根证书的来源、分发方式和使用范围。个人设备若曾启用调试代理，检查工具是否仍运行、系统代理是否残留；确认不再使用后，按工具文档撤销相关配置。不要批量删除系统证书，也不要擅自移除组织管理的信任项。

区分两种不同的证书验证

浏览器验证目标网站证书，与 mihomo 验证上游 TLS 节点证书，是两个层次。如果客户端日志显示节点握手失败，例如 x509: certificate has expired，而浏览器显示代理连接中断，应联系节点提供方处理证书或服务器名称配置。节点配置中的 skip-cert-verify 不会修复浏览器对目标网站的证书警告，开启它反而会跳过上游身份验证。

第三步：定位 DNS 劫持、错误解析与规则路径

HTTPS 访问包含“找到服务器”和“验证服务器身份”两个环节。DNS 返回错误地址时，浏览器可能连接到另一台服务器；如果那里返回了其他域名的证书，就会触发名称不匹配。名称不匹配也可能来自网站自身的 CDN 配置错误，因此需要用另一条可信网络交叉验证，而不是只更换 DNS 就下结论。

在 Clash Verge 的「连接」页面按出错域名筛选，查看该连接命中的规则、策略组与出口。页面名称可能随版本变化，以当前界面为准。
暂时固定一个可用节点，避免自动策略切换干扰测试。记录使用规则模式还是全局模式，排查结束后恢复原设置。
检查当前生效配置中的 dns、nameserver、fallback 和 hosts。订阅、覆写或脚本都可能改变最终配置，不要只看订阅原文。
检查系统 hosts 文件是否存在该域名的旧映射。Windows 常见路径为 C:\Windows\System32\drivers\etc\hosts，macOS 和 Linux 为 /etc/hosts。

使用 fake-ip 时，应用看到 198.18.0.0/16 范围内的地址可能是正常现象，实际范围取决于配置。内核会维护域名与虚拟地址的映射；看到虚拟地址不等于 DNS 被劫持，也不需要把 fake-ip 地址加入浏览器信任列表。

Windows 可运行以下命令查看系统解析结果并清理系统缓存。但浏览器安全 DNS、内核 DNS 和代理端解析可能走不同路径，nslookup 的结果不能单独证明代理连接实际用了哪个地址。

nslookup example.com
ipconfig /flushdns

若切换手机热点后恢复正常，而原网络持续出现错误，应检查原网络的 DNS、网关和认证状态。公共网络需要认证时，通过系统提供的网络登录入口完成认证，不要在证书异常的 HTTPS 页面提交账号。

第四步：更新根证书与检查服务器证书链

长时间未更新的操作系统可能缺少当前站点使用的受信任根证书。部分浏览器使用独立或混合的信任机制，因此同一设备上“一个浏览器正常、另一个报错”并不罕见。旧版浏览器也可能不支持网站当前采用的证书链或 TLS 能力。

多个网站报未知颁发者：先安装操作系统安全更新和浏览器更新，确认设备没有被策略禁止更新信任库，然后重启浏览器复测。
只有一个网站异常：可能是服务器遗漏中间证书。部分浏览器能使用缓存或补取证书链，另一台新设备却会失败，应由网站维护者修复完整链。
只有某个浏览器异常：检查该浏览器版本、企业策略与证书管理设置，不要直接把所有证书导入所有浏览器。
旧系统无法获得安全更新：优先迁移到受支持的系统版本，而不是从论坛下载根证书包批量导入。

“证书已经过期”可能指叶子证书，也可能涉及中间证书或根证书的链构建问题。仅凭错误页的一句提示难以区分，应查看证书链中具体哪一级失败。正常访问网站通常不需要用户手动导入该网站的叶子证书。

用直连与代理对照缩小故障范围

下面以本机 HTTP 混合端口 7897 为示例，不代表你的安装一定使用该端口。先在客户端设置或生效配置的 mixed-port 字段确认实际值；如果内核未运行，命令会先报连接失败，尚未进入目标网站证书验证阶段。

Windows：保留证书验证进行测试

curl.exe --noproxy "*" -I https://example.com/
curl.exe --noproxy "" --proxy http://127.0.0.1:7897 -I https://example.com/

将 example.com 换成出错域名。第一条绕过 curl 的显式代理设置；第二条清空不代理名单并指定本机 HTTP 代理。macOS、Linux 可将 curl.exe 换成 curl。需要握手详情时添加 -v，不要添加跳过证书验证的 -k。

对照结果	下一步
直连正常，代理证书失败	检查节点出口、代理侧解析、HTTPS 检查与实际命中规则
两条路径都报日期错误	检查本机时间，再核对网站证书有效期
curl 正常，仅浏览器异常	检查浏览器信任机制、安全 DNS、扩展与企业策略
所有测试都无法连接本机端口	先修复内核运行状态或端口配置，不按证书故障处理

curl 与浏览器使用的 TLS 库、信任库可能不同，因此对照结果是定位线索，不是最终安全结论。发布日志前应删除订阅地址、访问令牌、代理认证信息和私人域名；完整订阅链接往往包含可用于访问订阅的凭据。

恢复设置与复测清单

每次只修改一个变量：先校准时间，再对比证书，接着检查解析与出口，最后处理信任库或服务器证书链。一次性更换节点、关闭 DNS、修改模式和安装证书，会让后续无法判断真正起作用的是哪一步。

恢复日常使用的规则模式、策略组、TUN 与系统代理设置，清除排查时添加的临时规则。
重新打开浏览器，访问原出错域名及另外两个无关的 HTTPS 网站，确认不再出现证书警告。
核对原网站证书的 SAN 包含所访问域名，时间有效，证书链受当前浏览器信任。
若仅特定出口异常，向服务提供方提交域名、发生时间、错误码和已脱敏日志；若只有单站点异常，向网站维护者反馈证书链问题。

证书错误的处理目标是恢复正确的服务器身份验证，而不是让警告页面消失。系统时间正确、目标域名匹配、证书链可信、流量路径符合预期，这四项同时成立，才算完成本轮排查。代理模式、订阅与规则字段的进一步说明可参阅配置参考，常见连接问题可查看疑难解答。