本文解决“WS TLS 节点怎么配置、导入后为什么连不上”的问题。以支持 VLESS 或 VMess 的客户端为例，说明 WebSocket、TLS、Host 和 SNI 的填写方法，并区分节点参数、IP、DNS 与浏览器环境的影响。无需修改服务端，先准备提供方给出的完整链接、订阅或参数。
一、先看懂 WS TLS 的关键字段
WS 是 WebSocket 传输，TLS 用于加密连接；它们不是独立的节点协议，通常与 VLESS、VMess 配合使用。配置前确认客户端支持对应协议及传输方式，尽量从项目官方渠道安装稳定版本。
- 地址与端口：填写提供方给出的服务器域名或 IP、端口，不要自行猜测。
- 身份信息：VLESS 常用 UUID；VMess 还可能包含额外参数，按原始资料填写。
- 传输方式：选择 WebSocket，路径填写原始 path，保留开头斜杠、大小写及查询参数。
- Host：WebSocket 请求使用的主机名，不一定等于连接地址。
- TLS 与 SNI：开启 TLS，SNI 按提供方说明填写，通常是证书对应的域名。
地址、Host、SNI 可能不同，不能为了“统一”而全部改成同一个值。也不要为了绕过报错随意开启“跳过证书验证”，否则可能失去服务身份校验。
二、优先导入，再核对参数
- 更新客户端并打开节点或配置页面。若拿到 vless://、vmess:// 链接，复制后选择“从剪贴板导入”；若拿到订阅地址，进入订阅管理添加并更新。
- 打开节点编辑页，核对协议、地址、端口和 UUID，再确认传输为 WS、路径完整、TLS 已启用。链接可能包含身份信息，不要贴到公开网页求解析。
- 检查 Host 与 SNI。不同客户端可能将 SNI 标为“服务器名称”或“serverName”，以字段含义为准。没有这些参数时，向提供方确认，不要随意补填。
- 保存并选中节点，开启系统代理；手机通常还需允许创建 VPN 连接。先使用规则模式，访问普通网页，再测试目标网站。
- 若使用免费订阅，更新后重新选择节点。订阅更新可能替换原配置，手动改动前先备份。
导入成功只说明客户端识别了配置，不代表节点当前可用。延迟测试也不能代替实际网页访问。
三、连不上时，按 IP、DNS、浏览器分层检查
先查看客户端日志：连接超时优先核对地址、端口、网络与节点状态；证书错误检查系统时间、SNI 和证书域名；出现 WebSocket 握手错误时，重点检查路径与 Host。不要一次修改多个字段，否则难以定位原因。
连接地址是 IP，不代表 Host 和 SNI 也应填写 IP。随意将域名替换为 IP，可能破坏证书校验或请求路由。连接域名无法解析时，再检查客户端 DNS 设置与本地网络，避免同时更换节点、DNS 和代理模式。
如果客户端能连接，但只有浏览器打不开，检查系统代理是否生效，暂时停用其他代理扩展，并用无痕窗口对照测试。浏览器安全 DNS 与客户端 DNS 的解析路径可能不同，需结合代理模式判断，不必一律关闭。只有个别网站异常，也可能与出口 IP、登录状态或网站风控有关。
排查顺序建议固定为：参数、连接日志、代理接管、DNS、浏览器环境。仍无法连接时，换一个可信来源的有效节点对照测试，比反复修改同一份参数更有效。