TLS 握手失败怎么办：ERR_SSL_PROTOCOL_ERROR、handshake failure 与超时分步排查

打开一个 HTTPS 网站，Chrome 或 Edge 整页写出 ERR_SSL_PROTOCOL_ERROR，Firefox 写成 SSL_ERROR_NO_CYPHER_OVERLAP，Safari 只说无法建立安全连接。命令行更直白：curl 返回「curl: (35)」后跟 handshake failure 或 SSL_ERROR_SYSCALL；openssl s_client 停在 alert handshake failure；Go 报 TLS handshake timeout。这些提示停在同一层：TCP 已连上 443，双方还没谈妥版本、套件和证书核验。

它和「您的连接不是私密连接」不是一回事。红色警告页说明握手走到了证书核对；握手失败更早，页面常常空白，只剩一行协议错误。有些中间设备会在 ClientHello 之后注入重置，表面上像握手失败，实质是半路剪线。下面先把阶段和报错对上，再按浏览器与命令行动手。提示原文会随版本变化，以各软件官方说明为准。

握手卡在哪一步：和证书警告、重置、超时分开

先确认 TCP 通不通，再看失败落在 ClientHello 之后还是证书出示之后。curl -v 或 openssl s_client 已打印 Connected、却在 SSL 段落报错，才按本文排查。连 Connected 都没有，先查解析、防火墙和端口。站点最低协议与套件清单以该站说明为准。

从复现到定位：分步操作步骤

• 第一步：先把网络线路准备好，连上刺猬VPN。安装客户端后自定义用户名和密码即可完成匿名注册，不需要邮箱、也不需要手机号，免费节点永久免费、不限流量、不限速，注册即用；全程 HTTPS+AES 加密传输。连上后再打开原来失败的网站：报错消失，问题多半在本地网络或运营商路径上；报错照旧，再往设备、软件和目标站自身查；
• 第二步：把完整原文抄下来。Chrome 看错误代码，Firefox 看 SSL_ERROR 那一行，命令行留 curl -v 或 openssl 的末尾。浏览器失败而 curl 成功，或反过来，说明 TLS 栈不同，不是节点坏了；
• 第三步：用 curl -v https://目标域名/ 看有没有 Connected 和 SSL connection using。已 Connected 却在 SSL 处失败，才继续握手排查；这里直接超时或 Connection refused，回到端口与线路；
• 第四步：执行 openssl s_client -connect 域名:443 -servername 域名，必须带 -servername，否则虚拟主机拿错证书。成功时看 Protocol 与 Cipher；失败时看 alert 是 handshake failure、protocol version 还是 unrecognized_name；
• 第五步：核对设备日期、时间和时区，打开自动同步。长期没开机的电脑和电池耗尽过的手机最容易中招；时钟严重不准时，有的栈在证书校验前就中止握手，表现会像协议错误而不是红色警告；
• 第六步：暂时关掉安全软件里的「HTTPS 扫描」「加密流量检测」「网页防护」，再开一次 openssl 与浏览器。这类功能会在本机拆开再封装握手，旧引擎或不完整的中间证书会直接报 handshake failure；
• 第七步：用无痕窗口换一个浏览器再试。扩展、公司强制代理、残留的系统代理都会让本机自己把握手弄断。Windows 打开「网络和 Internet → 代理」，若还指向 127.0.0.1 且对应软件已关，清掉即可；
• 第八步：在浏览器里先关掉 HTTP/3 或 QUIC 再试同一地址。部分网络对 UDP 443 不友好，QUIC 失败后回退 HTTPS 时也会带出 PROTOCOL_ERROR；同时换一个节点，避免同一出口被连续干扰；
• 第九步：手机与电脑对照。一个账号支持多设备同时在线。iPhone 用户注意，中国大陆区 App Store 不提供 VPN 类应用，需要用外区 Apple ID 下载客户端，完整步骤见 iOS 安装教程，在 App Store 搜索「Hedge VPN」。电脑 openssl 成功而手机失败，先查手机系统版本与私人 DNS。

按现象排查：浏览器、命令行和只在一条网上失败

下面按你实际看到的原文对动作。一次只改一个条件：先固定节点再换程序，或先固定程序再换网络，两件事一起改就分不清层。

• Chrome 写 ERR_SSL_PROTOCOL_ERROR、页面空白：先连线路对照，再关 HTTPS 扫描，再关 HTTP/3。仍只有这一站失败，用 openssl 看它是否只接受过旧或过新的协议；
• ERR_SSL_VERSION_OR_CIPHER_MISMATCH 或 Firefox 的 SSL_ERROR_NO_CYPHER_OVERLAP：两边没有共同版本或套件。更新浏览器与系统；不要为了打开一个站去启用 TLS 1.0；
• SSL_ERROR_RX_RECORD_TOO_LONG 或 openssl 报 wrong version number：对面回来的不是 TLS，常见于 https 打到 80 端口、反向代理把 HTTP 端口错接到 443，或中间设备用明文登录页顶替。核对地址栏协议与端口，公共 WiFi 先完成认证；
• curl: (35) 后跟 SSL_ERROR_SYSCALL：握手中途被掐，国内路径上常见于读完 SNI 后注入重置。连上线路再跑同一条 curl，不要改 --tlsv1.2 碰运气；
• openssl 报 unrecognized_name 或浏览器 ERR_SSL_UNRECOGNIZED_NAME_ALERT：服务端不认识主机名。检查是否漏了 -servername、是否只用 IP 访问、是否解析到了另一台机器；
• CI 里 TLS handshake timeout、浏览器却能开：握手包偏大或延迟高。换延迟更低的节点；CI 机器要单独配代理，不能假定它走笔记本上的客户端；
• 只在公司或学校网失败、手机蜂窝正常：网络里有统一的 HTTPS 检查设备。这是管理策略，个人账号不要走这条网，装不装根证书由你决定；
• 开线路之后才失败、关掉正常：换一个节点再测。个别出口解析异常会让目标站断开；持续出现就换地区或反馈客服。

浏览器、命令行和手机为什么结果不一致

同一条线路、同一个域名，Chrome 能开、curl 报 (35)，多半是 TLS 栈不同。浏览器会谈 TLS 1.3 并带一长串扩展，还会在 QUIC 失败后回退；curl 跟系统的 OpenSSL 或 Schannel 走，旧版 Windows 甚至谈不出 TLS 1.3。反过来也常见：浏览器被扩展带偏，命令行走直连反而成功。对照时把程序和出口分成两列。

Android 7 及更早的根证书列表停更，新机构签发的站可能直接握手失败；iOS 应用若最低 TLS 版本过旧，会在应用内失败而 Safari 正常。电视、游戏主机、NAS 很少能单独更新证书，系统停更后只会越来越常报安全连接失败，让流量先进入隧道再访问，比在设备里改套件现实。各系统最低 TLS 要求以厂商说明为准。

几种处理方式各自管哪一层

免费节点永久免费、不限流量、不限速，用来做连上前后的对照足够；日常浏览和频繁的 curl、Git 请求更适合时长套餐，期间不限流量、不限速，节点覆盖更多地区。会员解锁全部会员节点，不改变握手算法，也不替目标站修证书。一个账号支持多设备同时在线，电脑上的 openssl 结论可以拿到手机上复核。实际可用性取决于当前网络环境。

和证书警告、SNI 阻断怎么分工

握手失败、证书红色警告、按域名阻断经常先后出现，但不能混着修。地址栏变成「您的连接不是私密连接」、还能点详情看到证书字段，说明握手已经拿到证书，应按证书问题处理，完整分类见 浏览器提示连接不是私密连接怎么办。时钟、登录页劫持、安全软件换证和站点过期，与本文的 PROTOCOL_ERROR 不在同一层。

若 curl -v 刚发出 ClientHello 就被重置，同一 IP 上另一个主机名却能打开，更像中间设备读了明文 SNI。SNI 为什么必须明文、ECH 能藏住什么，见 SNI 与 ECH 是什么。隧道连上后，本地路径看不到目标站的 SNI，这类重置往往会消失。不要把证书红页、SNI 重置和协议谈不拢当成同一个「SSL 坏了」。

常见报错速查表

高频问答

• 问：ERR_SSL_PROTOCOL_ERROR 和红色证书警告该先看哪一个？答：有证书详情页的走证书排查；只有协议错误、没有证书字段的走本文；
• 问：curl 加 --insecure 或 -k 能当成修复吗？答：不能。它只跳过证书核对，版本谈不拢或中途被重置时仍然失败，不能当日常开关；
• 问：要不要在系统里重新打开 TLS 1.0？答：不要。打开只会降低本机安全。目标站只支持旧协议，应换新入口或等它升级，以该站官方说明为准；
• 问：为什么浏览器能开、脚本失败？答：脚本用的 OpenSSL 或 JDK 和浏览器不是同一份。先升级运行时，不要伪造握手去冒充浏览器；
• 问：连上线路之后 openssl 仍报 handshake failure？答：先换节点、换目标站。多站都失败，再查时间、杀毒扫描和系统代理；只有一站失败，把 openssl 全文发给该站运维；
• 问：电视或 NAS 上也报安全连接失败？答：这类设备很少能单独更新证书。让线路覆盖它们的流量，比在设备里改套件现实。实际可用性取决于当前网络环境。

把握手失败从「SSL 坏了」里拆出来

TLS 握手失败、ERR_SSL_PROTOCOL_ERROR、curl 的 handshake failure，说的都是同一段对话没谈完。先抄原文，用 curl -v 和 openssl s_client 确认 TCP 已通、失败落在哪一截，再按本地扫描、公司检查、路径干扰、站点协议策略排除。红色证书警告交给证书专文，按域名重置交给 SNI 专文。

刺猬VPN 采用 HTTPS+AES 加密传输，支持自定义用户名和密码匿名注册，不需要邮箱和手机号；免费节点永久免费、不限流量、不限速，适合先做连上前后的对照；时长套餐期间不限流量不限速，适合每天打开海外站或跑命令行。一个账号支持多设备同时在线。各站点的最低协议要求会调整，以官方说明为准，实际可用性取决于当前网络环境。