TLS 指纹与代理连接不一致怎么办：JA3、客户端库和握手日志检查
TLS 指纹与代理连接不一致时，先确认观测点和握手范围，再对照客户端库、TLS 版本、ALPN、证书链与服务端日志定位中间层。
代理出口、TLS 终止和客户端 JA3 属于不同观测层。先确认指纹来自哪一段连接，再对照 TLS 版本、ALPN、证书链和客户端库。
JA3 是客户端、代理还是服务端的特征
记录客户端库及版本、测试目标、观测工具、时间和请求是否经过代理。客户端发起的 TLS 握手、代理转发和服务端观测可能来自不同连接段；常规转发代理通常不会替换应用 TLS 客户端指纹。
透明代理与 VPN 的边界可参考代理 IP 和 VPN 有什么区别。
出口 IP 变化但 JA3 不变说明什么
比较直连与代理时使用同一目标和观测工具。保持证书校验开启，不通过伪造指纹处理差异；若无法确认观测点，先补齐日志再归因。
下面按观测结果区分客户端、代理和 TLS 终止层。
| 观察结果 | 可能位置 | 先查什么 | 安全边界 |
|---|---|---|---|
| 出口变化、JA3 不变 | 代理未改变客户端握手 | 观测点和请求路径 | 不代表代理未生效 |
| 客户端 JA3 变化 | 客户端库或运行时 | 版本和 TLS 配置 | 不伪造指纹 |
| 证书链变化 | TLS 终止或重建层 | 中间层和证书链 | 不关闭校验 |
| ALPN 异常 | 客户端或目标支持 | 握手日志和协议支持 | 不绕过平台控制 |
结合同一连接的两端日志定位首次变化的位置，不根据单一 JA3 值直接下结论。
直连和代理的握手信息怎么记录
固定目标、客户端库和观测工具，记录测试时间、出口、TLS 版本、JA3、ALPN 提供值、最终协商协议、证书链摘要和观测点。客户端、代理和服务端可能看到不同连接段，先确认字段来自哪一段。
连接和证书错误可结合代理 timeout、connection refused 和 TLS 证书错误怎么排查。
JA3、证书链和 ALPN 异常怎么排查
出口变化但 JA3 不变，通常说明代理没有改变客户端握手特征；JA3 变化时回查客户端库、运行时和 TLS 配置；证书链变化时定位首次变化的 TLS 终止点；ALPN 异常时核对客户端与目标支持。保持证书校验开启，不通过伪造指纹排查。
需要区分接入协议时，可参考HTTP、HTTPS、SOCKS5 代理怎么选。
对照同一连接在两端看到的握手字段
```text
point=client lib=Go1.22 tls=1.3 alpn=h2 ja3=HASH_A cert_chain=HASH_C time=10:21:04
point=server tls=1.3 alpn=h2 ja3=HASH_A cert_chain=HASH_C time=10:21:05
```
两端字段一致时可暂时排除中间层改写；若证书摘要或 ALPN 首次变化，沿观测点回查 TLS 终止位置。保持证书校验开启，不用伪造指纹规避平台控制。
FAQ
证书链变化时先查哪里？
先对照同一请求的观测点，定位证书首次变化的位置，再查客户端或中间层。
出口 IP 变化但 JA3 不变说明什么？
这可能表示代理改变了网络出口，但没有改变客户端 TLS 握手特征。还需确认观测点和请求是否确实经过代理。
JA3 发生变化时先检查什么？
对照客户端库、运行时、TLS 配置、目标和观测工具，确认两次测试条件一致后再定位差异。
可以关闭证书校验或伪造指纹来排查吗？
不建议。保持证书校验开启，先定位证书链首次变化的位置和实际观测连接段。