先连接哪里，再谈用什么名称
服务器地址决定客户端向哪个目标发起连接，可能是域名或IP地址；端口决定目标上的服务入口。地址为域名时，通常还需要先完成解析。协议与传输方式必须匹配服务端，不能依据字段外观猜测。
TLS的SNI是ClientHello中的服务器名称指示，用于帮助服务器选择相应站点或证书。SNI与证书身份验证有关联，但不是“填了SNI就验证通过”：客户端仍需按预期服务器身份检查证书名称、信任链等条件。完整顺序见服务器连接核对表。
WebSocket Host与Path属于请求层
在经典HTTP/1.1 WebSocket握手中，Host请求头标识HTTP目标主机，请求路径Path帮助服务端或反向代理匹配路由，随后通过Upgrade机制协商WebSocket。若先建立TLS，则这些HTTP字段位于TLS连接之内，与握手阶段的SNI不是同一个字段。
地址、SNI和Host在某些部署中相同，在另一些部署中不同；服务端可能要求它们满足特定对应关系。地址承担连接定位，名称参与证书与虚拟主机选择，路径参与应用路由。具体客户端是否提供这些字段，以当前版本和服务端实际支持的传输为准。
按失败阶段核对，避免盲改全部字段
- 无法解析地址：先核对域名拼写及当前网络解析，参考私人DNS与解析路径，不要先改SNI。
- 目标连接超时：核对地址、端口、基础网络及服务是否可达；超时不必然等于TLS问题。
- TLS握手或证书错误：核对服务端提供的名称、证书有效性、设备时间与可信链，保留非敏感错误信息。
- 握手后请求失败：再核对所选传输、Host、Path及服务端路由，确认远端确实支持该组合。
参数来自服务端资料，不能现场编造
修改前备份已有有效配置，按资料逐字段比对。客户端不同版本的名称与入口可能变化，不把本文术语当作某个版本的固定菜单文字。本文不提供实际节点、账号、UUID、密码或订阅令牌，也不建议公开完整配置截图。
不要为消除证书错误关闭验证，不伪造服务端域名或证书。联系服务提供方时，可以描述错误阶段和时间，并遮盖敏感值。若同时存在多个系统VPN配置，还应按活动连接的判断方法确认修改作用于预期配置。
只有基础网络、服务器参数、系统状态和实际访问互相对应，才能缩小原因；并非所有连接失败都由SNI造成。
修改后如何判断是否有改进
保留原始配置作为可恢复版本，每轮仅调整一个与证据相关的字段。记录修改后错误是否从解析阶段推进到连接阶段，或者从TLS阶段推进到应用请求阶段；错误变化只说明走到了不同环节，不等于整个服务已经可用。最后仍需用实际需要的目标验证。若服务端资料前后不一致，先向提供方核实，不自行猜测名称组合。成功连接以后保留已验证的配置说明与适用设备，清理不再需要的脱敏诊断副本，避免误把实验参数当作正式设置。
