证书错误排查：NET::ERR_CERT、不受信任、日期无效时先别重装客户端（以牛来机场为例）
适用：已经在用机场（以牛来机场为例），浏览器或客户端突然弹出「您的连接不是私密连接」「证书不受信任」「NET::ERR_CERT_*」「证书日期无效」等提示的用户。
门户：https://dash.niulaijichang.top ，客户端下载：https://download.niulaijichang.top ，中文站：牛来机场.com。新用户可试优惠码 niulai7（折扣以结算页为准）。
提醒：别把订阅链接、账号发给别人；速度、延迟、网站能不能用都要自己测，文中一律标【待实测】。套餐价格和设备上限以面板实时显示为准（各档在线设备数：Lite 6／Plus 7／Pro 8／Max 9，以面板为准）。
一、先把「证书报错」从别的故障里拆出来
证书相关报错，表面上像「网站坏了」或「机场挂了」，实际上多数是本机时间、中间人拦截、DNS 污染、系统信任库、或代理链路把 HTTPS 拆坏了。和「节点全红」「订阅更新失败」「DNS 泄漏」可以并存，但排查入口不同。
常见文案对照（不同浏览器／系统措辞略有差异）：
| 你看到的 | 更可能指向 |
|---|---|
NET::ERR_CERT_DATE_INVALID／证书日期无效 |
系统时间错、证书过期、或中间设备改写了证书 |
NET::ERR_CERT_AUTHORITY_INVALID／不受信任的颁发机构 |
公司／校园 HTTPS 解密、本地抓包证书、或假证书 |
NET::ERR_CERT_COMMON_NAME_INVALID／名称不匹配 |
连到了错误主机（DNS 污染、错误 hosts、错误节点落地） |
ERR_SSL_PROTOCOL_ERROR／协议错误 |
TLS 被掐断、拦截、或客户端／节点协议不匹配 |
客户端日志里的 certificate／x509／tls: failed to verify |
同上，多见于订阅拉取或节点握手阶段 |
原则： 先确认「只有某一个网站报错」还是「门户、常用站、客户端更新一起炸」。范围不同，处理完全不一样。
二、30 秒分流：三个问题定路线
按顺序回答，不要跳步。
- https://dash.niulaijichang.top 能不能在浏览器里正常打开并登录？
- 能：机场门户与你当前网络的基础 HTTPS 多半正常，问题更可能在「某个站点／某条节点／某款 App」。
- 不能：先别怪节点。看是证书页、超时、还是被重定向到认证页（校园／公司网常见）。 - 关掉代理／退出客户端后再打开同一网址，证书提示还在吗？
- 关掉就好了：问题在代理链路（规则、节点、TUN、中间证书）。
- 关掉仍在：优先查系统时间、本机信任的根证书、hosts、DNS，而不是先换机场节点。 - 是不是只有公司网／校园网才出现，家里或手机热点正常？
- 是：高度怀疑网络侧 HTTPS 检查／解密或透明代理。对照阅读《校园网／公司网的坑》。
- 否：回到本机时间与客户端设置。
这三问做完，再进下面的对症处理，通常比上来重装 Clash／Shadowrocket 省事。
三、最高频：系统时间不对
TLS 证书带有「生效／过期」时间窗。系统时间快了几个月或慢了几天，就会触发「日期无效」。手机跨时区旅行、Windows 双系统、虚拟机休眠、主板电池没电，都是重灾区。
处理：
- 打开系统日期与时间，打开「自动设置时间／时区」（手机同样）。
- Windows 可再同步一次 Internet 时间；macOS 看「日期与时间」是否锁定。
- 改完后完全退出客户端再打开，并强制刷新一次订阅（只在你自己的客户端里操作，不要把订阅发到群里）。
- 复测：先开门户，再开刚才报错的网站。
若时间正确仍报日期无效，再怀疑「中间人证书」或「真的过期／被劫持」，进入下一节。
四、公司网／校园网／安全软件的「假证书」
不少单位会在出口做 HTTPS 检查：你的设备上被安装（或被推送）了一张「公司根证书」，浏览器因此信任被替换后的站点证书；一旦你换了浏览器配置文件、用了便携版、或客户端走的校验路径不认这张根证书，就会报「颁发机构不受信任」。
家庭场景里，部分杀毒／「上网助手」也会插入证书。
对照法：
- 同一网址，用手机蜂窝网络（不开 WLAN）测一次；
- 电脑换手机热点测一次；
- 临时退出安全软件的「HTTPS 扫描／加密流量检查」再测一次（测完按需恢复）。
若只有单位网络中招：优先用热点办正事，或按单位 IT 文档安装／信任指定根证书——不要随手点「高级 → 继续前往」给陌生证书放行，那等于主动接受中间人。
机场客户端侧：若仅在 TUN／系统代理开启时出现不受信任，而直连正常，把现象记下来（哪一站、哪一节点、哪种模式），再换节点或改规则做【待实测】对照；仍异常再考虑规则是否误把国内证书固定站点走了错误出口。
五、名称不匹配与 DNS 污染
COMMON_NAME_INVALID 常表示：你以为在访问 A.com，TLS 证书却是别的域名的。常见原因：
- DNS 被污染或返回了错误 IP；
- 本机
hosts被人（或某「加速器」）改过； - 走了错误的代理节点，落到了分享站／停车场页；
- 浏览器扩展劫持了新标签页。
处理顺序：
- 换 DNS 做对照（系统侧临时改用常见公共 DNS，测完可改回；具体怎么选、有没有泄漏风险，见《DNS 泄漏怎么查》）。
- 检查 hosts 是否有异常大段写入。
- 换一个浏览器无痕窗口，禁用扩展再试。
- 代理开启时：换节点、换「规则／全局」模式各测一次【待实测】；门户能开但某站名称不匹配，多半是该站的解析或线路问题，不必整个重装。
顺便说一句：牛来现在走的是 独立中转入口 + VLESS + Reality（细节以面板为准）。网上旧文章要是还拿过期的协议名解释你的报错，以面板和客户端日志为准。
六、客户端里的证书／TLS 报错（订阅更新 vs 节点握手）
把客户端日志里的证书错误分成两类，避免混治：
A. 更新订阅时失败，日志含 certificate／TLS
含义：拉订阅的 HTTPS 过程校验失败。
- 浏览器能开门户吗？能 → 多半是客户端校验路径、本地时间、或订阅域名在当前网络被干扰。
- 在面板重新复制订阅，覆盖客户端里的旧地址（只留给自己的客户端）。
- 换热点再更新。
- 仍失败：看完整报错关键字，对照《订阅更新失败怎么办》。
B. 节点可更新，但连某站时握手报证书错误
含义：业务流量路径上的 TLS 出问题。
- 换同区其他节点试【待实测】；
- 确认没有同时开多个 VPN／加速器抢路由；
- 系统代理与 TUN 各测一次（见《系统代理 vs TUN》）；
- 规则模式是否误伤：个别站点需要直连或相反，证书固定（pinning）App 对中间代理更敏感，可能直接失败——此时应改分流，而不是关闭系统里所有证书校验。
明确不要做的事： 在客户端或系统里长期关闭证书校验、乱导入来路不明的根证书、把「继续访问」当日常操作。短期对照可以，长期等于关掉安全带。
七、按端快速清单（菜单名因版本而异）
客户端统一可从 https://download.niulaijichang.top 获取；导入与面板说明见 https://dash.niulaijichang.top 。
Windows（Clash Verge 等）
先对时 → 退出其他加速器 → TUN／系统代理对照 → 更新订阅 → 换节点。检查是否安装过公司／杀毒根证书。
macOS（ClashX Meta 等）
对时与时区 → 看「钥匙串」里是否有奇怪的自定义根证书被始终信任 → 增强模式对照。
Android
对时 → 确认 VPN 通知还在 → 私人 DNS 开关对照 → 避免「省电杀后台」导致半开状态的奇怪 TLS。
iOS
同一时间只留一个 VPN 配置连接；描述文件里若有未知的证书载荷，先搞清楚来源再决定是否删除。
八、什么时候才怀疑「机场／节点本身」
同时满足再往「换套餐／找客服」想：
- 多网络（家宽 + 热点）都复现；
- 系统时间正确、无公司证书、hosts 干净；
- 官方门户正常，但大量境外站点在同一批节点上集体证书异常，换节点后【待实测】仍一片红；
- 客户端与浏览器报错高度一致。
即便如此，也优先：更新订阅 → 换节点 → 换客户端模式，而不是先重装系统。需要人工协助时，用面板提供的工单／客服渠道，描述里带上：操作系统、客户端名与版本、完整报错原文、是否仅某网络出现、门户是否正常——不要粘贴完整订阅 URL。
九、牛来的几个基本信息（别被旧文章带偏）
- 门户与下载以 dash／download 域名为准；中文永久域：牛来机场.com。
- 优惠码可试 niulai7；是否可叠加、是否限新，以结算页为准。
- 价格和在线设备上限以面板为准。
- 线路：独立中转入口 + VLESS + Reality；别拿过期的 AnyTLS 说法解释你的证书报错。
- 速度、网站能不能用、晚高峰表现，都要自己测【待实测】。
十、FAQ
Q：点「继续前往」能上网，是不是就修好了？
A：没有。那只是让浏览器这次忽略校验。修好应对时、证书信任链或错误出口本身。
Q：只有银行／政务 App 报错，浏览器正常？
A：很多 App 做证书固定，对代理解析更严。优先给这些 App 直连／绕过代理，而不是关全局校验。
Q：和 IPv6、DNS 泄漏有关吗？
A：可能叠加。DNS 脏了会落到错误主机从而名称不匹配；IPv6 双栈泄漏有时会让「有的检测页正常、有的站点证书怪」。可以对照《DNS 泄漏怎么查》和《IPv6 双栈泄漏》，但证书报错仍先从时间与中间人查起。
Q：要不要重装客户端？
A：对时、换网络、更新订阅、换节点都试过仍固定复现时，再考虑重装或换客户端；重装不是第一步。
十一、小结
证书错误不是「神秘玄学」，而是一条很短的决策树：对时 → 分清是否代理相关 → 排除公司／校园假证书 → 查 DNS／hosts／名称匹配 → 再动订阅与节点。全程不用公开订阅链接，也不需要先格式化电脑。把报错原文留下，比凭感觉重装有用得多。
相关阅读：《订阅更新失败怎么办》、《DNS 泄漏自查》、《IPv6 双栈泄漏》、《校园网／公司网的坑》、《系统代理 vs TUN》、《故障排查清单》。