v2rayN Fragment TLS Hello 与 REALITY 连接失败：先关分片排查
简答：v2rayN 中 Fragment 的 tlshello 分片和 REALITY 不是必须同时开启；如果开启 Fragment 后节点连接失败，最快的处理是先关闭 Fragment，确认 REALITY 基线连接，再单独测试 Fragment。若关闭后仍失败，继续核对 fingerprint、serverName、publicKey、shortId、flow、系统时间、端口连通性和实际使用的 Xray Core 版本。本站是第三方使用指南，非 v2rayN 或相关服务的官方页面。
定义：Fragment 是对 TLS ClientHello 或 TCP 写入进行分片的传输处理方式，REALITY 则是 Xray 中独立的 TLS 安全配置，两者可以分别使用，也可能因具体内核、传输方式或网络环境而出现兼容性问题。
先做 3 分钟基线测试：关闭 Fragment，再看 REALITY 是否能连
如果 v2rayN 的 REALITY 节点在开启 Fragment 后显示 Error、延迟为 -1 或没有流量，不要先改 DNS、TUN 和路由。先保存当前配置与日志，然后只关闭 Fragment，使用同一个节点、同一个网络和同一种接管方式重新测试。v2rayN 当前公开 issue 中有可复现反馈：VLESS + REALITY 在 Fragment Packets 为 tlshello 时无法连接，关闭 Fragment 后恢复；将 Packets 改为 1-3 后也能连接，但该 issue 仍是开放状态，不能据此断言所有环境都适用。可查看 v2rayN 的 Fragment 与 REALITY 问题记录。
| 测试结果 | 更可能的故障层级 | 下一步 |
|---|---|---|
| 关闭 Fragment 后恢复连接 | Fragment 参数、传输方式或当前网络兼容性 | 保持关闭；必须使用时再单独测试 1-3 等配置 |
| 关闭 Fragment 后仍显示 Error | REALITY 字段、Core 启动、端口或服务端配置 | 继续检查日志和节点字段，不要先改分片参数 |
| Core 能启动但网页打不开 | 系统代理、TUN、DNS、路由或本地端口 | 先用系统代理做最小访问测试 |
每次只改一项并记录结果。这样可以避免同时调整 Fragment、DNS、TUN 和节点字段后，无法判断到底是哪项设置产生影响。
Fragment、TLS Hello 与 REALITY 分别负责什么
Fragment 是 Xray 出站侧的分片设置，可指定只处理 TLS Hello，也可以按照 TCP 写入序号处理。Xray 社区文档示例中，packets: "tlshello" 表示只处理握手包，length 是分片长度范围，interval 是分片间隔。具体字段和默认值会随客户端界面及 Core 版本变化，不能把某一组示例值当作所有节点的必填值。参考 Xray-core 关于 ClientHello 分片字段的说明。
TLS Hello 通常指 TLS ClientHello 握手阶段。v2rayN issue #10407 的反馈显示，当前实现中，REALITY 与 tlshello 组合可能出现特定传输方式下的连接失败；该反馈还记录了 1-3 在同一复现环境中可以工作，但这属于 issue 中的复现结果，不是普遍兼容性保证。
REALITY 是 Xray 的独立安全配置。客户端需要服务端提供的 serverName、fingerprint、publicKey 和 shortId 等字段。Xray 官方文档明确说明，客户端的 serverName 应属于服务端允许的 serverNames，shortId 也应属于服务端允许的值；fingerprint 是客户端侧必需字段。可对照 Xray REALITY 配置文档。
按日志关键词区分：Core 启动失败、端口不通还是握手失败
在 v2rayN 中先打开当前节点的运行日志或 Core 日志，复制完整错误行。不要只看列表里的“Error”，因为它不能区分配置生成失败与网络连接失败。
| 日志或现象 | 先检查什么 | 处理方法 |
|---|---|---|
empty fingerprint、Failed to build REALITY config | Fingerprint 是否为空或字段未被导入 | 打开节点编辑页，确认 Fingerprint 有服务端提供的值；若订阅导入后为空，重新获取完整配置 |
reality verification failed | publicKey、shortId、serverName、系统时间 | 逐项与服务端最新配置对照，不要自行猜测 SNI 或替换公钥 |
bad certificate 或证书校验相关错误 | serverName 是否在服务端允许列表中，系统时间是否正确 | 校准日期、时间和时区；使用服务端提供的最新 serverName |
connection reset | 端口、网络切换、服务端目标和中间设备 | 先做 TCP 端口测试，再换 Wi-Fi 或手机热点复测 |
context deadline exceeded、握手超时 | TCP 端口是否可达、DNS 是否被错误接管 | 关闭 TUN 和自定义 DNS，用系统代理做对照 |
运行 Core 失败 | 配置生成是否成功、Core 日志是否有 REALITY 字段错误 | 先修复配置字段；不要把“Core 启动失败”当成节点端口不通 |
v2rayN 早期 issue 曾记录 empty fingerprint 会导致 REALITY 配置构建失败；这说明该类报错首先属于本地配置生成问题，而不是单纯的网络延迟问题。可查看 v2rayN 关于 empty fingerprint 的历史问题记录。
在 v2rayN 节点编辑页核对 REALITY 字段
选中节点后打开“编辑服务器”或同等名称的节点编辑入口。不同 v2rayN 版本的菜单名称可能略有变化，以下字段名以导入配置和生成的 Core 配置为准。
- 服务器地址和端口：地址应是实际连接的服务器地址，端口应来自节点配置；不要把伪装目标网站的域名误填到服务器地址。
- 用户 ID：VLESS 的 UUID 必须与服务端配置一致，不能使用其他节点的 UUID。
- 传输方式：确认 Network、Transport 或网络字段与节点提供的方式一致，例如 TCP、XHTTP、WebSocket 等，不要凭经验改成另一种传输。
- 安全类型：确认选择的是 REALITY，而不是普通 TLS 或 none。
- Server Name 或 SNI：只能填写服务端允许的
serverNames中的值。服务端目标发生变化时，应获取最新配置，不要随意替换成热门网站。 - Fingerprint：不能为空。Xray 官方文档将其列为客户端侧必需字段；如果日志出现
empty fingerprint，优先修复这一项。 - Public Key：应使用服务端提供的公钥，不能把服务端私钥、其他节点公钥或普通 TLS 证书内容填入。
- Short ID：应是服务端允许的十六进制值，长度和字符格式必须符合当前 Core 的要求。
- Flow：只有服务端启用对应流控时才填写相应值。服务端未提供时，不要自行添加或改写。
如果配置来自订阅，优先重新获取完整节点，而不是复制某个字段到另一个节点。REALITY 的关键字段是成套生成的，单独替换 SNI、公钥或 Short ID 可能造成新的不匹配。
确认 v2rayN 实际使用的 Xray Core 版本
v2rayN 的界面版本与实际运行的 Xray Core 是两个需要分别确认的对象。公开的 v2rayN 发布说明显示，发行包可能包含 Xray、sing-box 或 mihomo 等 Core，其他 Core 也可能需要单独放入 bin 目录；因此不要只看 v2rayN 的版本号。可参考 v2rayN 发布文件说明。
- 在 v2rayN 的 Core 信息、内核管理或日志入口查看实际启动的 Core 类型和版本。
- 确认运行日志开头显示的 Core 是 Xray，而不是另一个内核。
- 从 v2rayN 的更新入口或其发布页核对当前可用版本；版本号以发布页为准。
- 更新前备份节点、订阅和自定义配置；更新后重新打开同一个节点，确认日志中的实际 Core 版本已经变化。
- 如果问题只发生在更新后，先用同一节点、关闭 Fragment、关闭 TUN 的方式做回归测试，再逐项恢复功能。
截至 2026-10-19，v2rayN GitHub issue #10407 中记录的复现环境包含 v2rayN 7.25.6、Xray Core 26.10.17，并报告在 Xray Core 26.10.10 中也出现同类现象；这只是一个公开复现案例，不能替代你本机日志和服务端配置核验。
最小复现流程：从系统代理恢复到逐项开启
当你无法判断是 Fragment、REALITY、TUN 还是 DNS 导致失败时，可按下面顺序重置测试：
- 备份：导出当前节点或配置文件，并保存完整 Core 日志。
- 关闭 Fragment：将 Fragment 开关关闭；如果界面有 Packets、Length、Interval、MaxSplit 等字段，先不要改动它们。
- 关闭 TUN：暂时关闭 TUN 或虚拟网卡接管，避免路由和 DNS 同时改变。
- 使用系统代理：打开 v2rayN 的系统代理开关，选择一个节点进行连接测试，再用浏览器访问普通 HTTPS 页面。
- 测试端口：如果 Core 能启动但一直超时，用 Windows PowerShell 执行
Test-NetConnection 服务器地址 -Port 端口。TcpTestSucceeded 为 False 时，先处理地址、端口、网络或服务端问题；端口可达也不代表 REALITY 握手一定成功。 - 恢复 REALITY：确认系统时间、地址、端口、UUID、serverName、publicKey、shortId、fingerprint 和 flow 后重新测试。
- 单独测试 Fragment：只有基线连接正常后，才重新开启 Fragment。先使用服务端或客户端推荐设置；若
tlshello失败，可记录结果并关闭它，不要把1-3视为所有版本的通用修复。 - 最后测试 TUN：系统代理已能正常访问后，再开启 TUN。TUN 开启后若网页打不开，检查虚拟网卡、路由、DNS 和本地端口，而不是重新修改 REALITY 密钥。
最终验收应至少包括：Core 能启动、日志不再出现配置构建错误、节点测试不再固定为 -1、系统代理下浏览器可以访问、重新开启 TUN 后路由没有冲突，并且在另一种网络环境下能复测。没有达到这些条件时，不要把问题结论写成“节点一定失效”或“伪装目标一定被封”。
常见误区与处理边界
- 把 Fragment 当成 REALITY 必填项：不是。先关闭 Fragment 做基线，能减少变量。
- 看到 Error 就换 DNS：如果日志是
empty fingerprint或Failed to build REALITY config，应先修复本地配置生成问题。 - 随意更换 SNI 或伪装目标：REALITY 客户端字段必须与服务端配置对应，不能因为某个网站看起来证书正常就自行替换。
- 只更新 v2rayN 不检查 Core：界面和 Core 可能是不同版本，必须以启动日志中的实际 Core 为准。
- 同时开启 TUN、Fragment、fake-IP 和自定义 DNS：这种操作会增加变量。先用系统代理完成最小验证，再一次只恢复一个功能。
本文依据公开的 v2rayN 与 Xray 资料整理；具体菜单名称、字段名称和可用组合可能随版本变化，遇到未公开或无法复现的现象，应以当前客户端日志、Core 配置和服务端最新参数为准。
常见问题
v2rayN 开启 Fragment 后 REALITY 连不上，应该先改哪个参数？
先不要改 REALITY 密钥和 SNI，第一步是关闭 Fragment，使用同一个节点和网络做基线测试。关闭后能连，说明需要重点检查 Fragment 与当前传输方式的兼容性；关闭后仍不能连，再核对 REALITY 字段、Core 日志和端口。
Fragment 的 Packets 改成 1-3 就一定能解决吗？
不能保证。公开 issue 中记录了某个复现环境下 <code>tlshello</code> 失败而 <code>1-3</code> 可用，但该结果只代表该案例。更稳妥的做法是先关闭 Fragment，确认基线连接正常后再单独测试其他设置。
日志显示 empty fingerprint，代表节点失效了吗？
不代表。<code>empty fingerprint</code> 首先说明客户端生成 REALITY 配置时缺少 fingerprint，属于本地配置或导入字段问题。打开节点编辑页，确认 Fingerprint 已填写服务端提供的值；如果重新导入后仍为空，再检查订阅内容或服务端配置。
REALITY 的 serverName 可以自己换成另一个网站吗？
不建议。Xray 官方文档要求客户端 serverName 与服务端允许的 serverNames 对应。伪装目标或证书发生变化时，应获取服务端最新配置，不要根据网上案例自行猜测和替换。
为什么 Core 能启动，节点却一直超时？
Core 启动成功只代表本地配置可以生成，不代表远端端口和 REALITY 握手成功。先用 <code>Test-NetConnection 服务器地址 -Port 端口</code> 或 Tcping 检查 TCP 端口，再根据日志检查 serverName、publicKey、shortId、fingerprint、系统时间和网络环境。
v2rayN 更新后需要同时更新 Xray Core 吗？
需要分别确认。v2rayN 界面版本与实际运行的 Xray Core 可能不同，更新后应查看 Core 信息或启动日志，确认真正使用的内核类型和版本。版本号和更新方式以 v2rayN 发布页及当前客户端提示为准。