DNS异常、TLS握手失败、超时与连接重置怎么区分？
先读完整错误，再改设置。DNS失败通常发生在获得目标地址的阶段，TLS失败涉及安全握手，超时可能发生在多种等待阶段，连接重置则表示连接被中止；这些都不是同一种故障。
内容与来源核对： · 机场巡查博客编辑整理
把请求拆成可观察的阶段
一次典型HTTPS请求可能经过DNS、传输连接、TLS协商与HTTP响应；缓存、连接复用或代理远程解析会让本机看到的步骤不同。因此，没有本地DNS记录不证明从未解析，日志也可能只显示上层包装错误。
| 错误线索 | 所处问题范围 | 不能直接推出 |
|---|---|---|
| name resolution / NXDOMAIN | 域名查询或名称不存在等 | IP一定被封 |
| connection refused | 端口拒绝、未监听或策略拒绝 | 必然是密码错误 |
| timeout | 等待超过工具上限 | 一定是GFW |
| certificate / handshake | 证书、参数、协商或中途故障 | 直接跳过验证即可 |
| connection reset | 连接被中止或观察到复位 | 已确定是哪台设备发起 |
DNS：先比较解析结果与实际使用位置
DNS负责名称和记录查询，不负责证明服务端口可用。NXDOMAIN、SERVFAIL、等待超时以及返回不预期地址含义不同。先确认查询的完整域名、当前解析器和时间，远端代理解析与本地解析也需要区分。
Windows、macOS或Linux若有nslookup工具，可对自己实际使用的域名进行只读查询。不要在公开报告中保留含账号信息的完整主机名。对两个解析器结果不同的情况，还需考虑CDN调度、缓存与分流，不能一律称为污染。
nslookup example.com超时、拒绝与重置：先确定等待的阶段
TCP连接超时与读取HTTP响应超时，可能在界面里都被简化成timeout。端口拒绝提示与监听或访问策略相关；重置可能来自对端、途中设备或本地代理，不能仅凭错误文字定位来源。
在Windows PowerShell上，拥有目标授权且知道服务使用TCP时，可用Test-NetConnection检查指定端口。它不是UDP或QUIC测试，也不能验证TLS、节点认证和目标网页。
Test-NetConnection example.com -Port 443TLS握手：核对时间、名称、信任与参数
先检查系统时间、配置中的服务器名称、证书有效期与信任链，以及所需协议参数和客户端版本。经过认证网关或其他网络软件时，也可能在预期服务前得到不同响应。不要把真实域名换成裸IP后忽略名称校验，认为这样证明证书无关。
证书不匹配、过期或未知签发者，应通过可信官方渠道确认。不要默认关闭验证、安装陌生根证书或随意更改SNI来消除报错；安全握手失败正是需要保留的诊断信息。
给每类错误保留一个验证结果
不要只记录最终“修好了”。解析问题应保留域名、解析位置、错误与恢复后的查询结果；连接问题记录目标端口和等待阶段；TLS问题记录证书或握手类别，并确认恢复后身份验证仍开启。这样才能避免把安全检查被关闭误认为真正修复。
若只能看到客户端包装后的统一错误，下一步是查对应项目日志，而不是替日志补出不存在的具体机制。服务端由第三方管理时，可请官方核对监听、认证与证书；自己管理服务器时，再进入VPS排查与控制台检查。
- 把“已观察到”“可能原因”“还需验证”分别写下。
- 选择一项与现象直接相关的可回退动作，不批量重置网络。
- 用原任务复验，确认错误消失或已进入新的阶段；失败则恢复并继续收集证据。
按证据选择解决动作，再复验
解析域名写错就修正地址；授权配置过旧就从官方更新；服务器未监听由有权管理的人检查服务；证书问题由服务端修复或按项目正确配置；路径相关问题则保留同条件跨网络对照。每次修改后重做同一请求，记录错误是否推进到下一阶段。
本文命令仅用于自己的域名或获授权目标，示例域名需要替换。不要对第三方地址批量探测，也不要把浏览器连通工具的结果当作客户端所有协议的验证。
只读检查的范围：每个工具只能证明自己的那一层
示例域名需要换成你有权检查的目标。nslookup只观察某次解析，TCP端口检查只观察相应连接，不能代替UDP/QUIC、TLS身份或节点认证。已有缓存、代理远程解析与应用自己的解析方式，也会让结果不同。
- 记下原始错误、时间与客户端版本，先判断日志给出的阶段是否明确。
- 核对系统时间和域名，用已有只读工具观察解析结果，记录使用位置。
- 只有在知道服务使用TCP并有目标授权时，再检查对应端口。
- TLS报错按名称、信任、有效期与参数核对，保留校验开启状态。
- 执行一个对应真实任务复验；若无法定位，提交未知项而不是补写“被封”。
假设脱敏案例：端口可连接，TLS仍失败
假设TCP端口检查成功，客户端却报证书名称不匹配。这两项并不矛盾：前者未验证TLS身份。应核对配置名称、设备时间、认证网关与官方证书状态，而不是认为端口通就必须关掉校验。
若经官方确认是证书配置异常，由有权限的服务端维护者修正，再验证身份检查正常通过。若仅有客户端统一报错而无证书细节，就将机制标记为未确认，并继续索取脱敏日志。
常见问题
DNS换成某个公共地址一定会好吗？
不一定。解析器可达性、配置位置与服务调度不同，需要按当前路径验证，不能只换地址就认定解决。
连接重置等于IP封锁吗？
不等于。应结合发生阶段、重复样本和网络对照；错误文本不足以确定机制或责任方。
TLS报错能用关闭校验临时顶一下吗？
不建议把关闭身份校验作为通用修复。应先确认时间、名称、证书与官方参数，保留错误并核对来源。
技术资料与验证边界
依据公开项目文档、规范或原始研究整理。操作与排查建议是编辑分析，不是节点实测或服务器封锁鉴定；版本、平台分发和实际服务状态仍需复核。未采集订阅或账号，不提供未知安装包。