Perbaiki Kesalahan Enkripsi SQL Server - Solusi Satu Klik

Baca Kesalahannya - Ini Masalah Kepercayaan, Bukan Masalah Jaringan

Jaringan Anda baik-baik saja dan server berjalan. Koneksi mencapai SQL Server, server menawarkan saluran terenkripsi untuk login, dan PC Anda menolaknya karena sertifikat yang membuktikan identitas server tidak ditandatangani oleh siapa pun yang dipercaya oleh PC Anda. Kesalahan lengkap yang ditampilkan SSMS adalah:

Secara default, SQL Server melindungi login dengan sertifikat yang ditandatangani sendiri yang dibuatnya sendiri. Sertifikat yang ditandatangani sendiri memang mengenkripsi lalu lintas, namun tidak dapat membuktikan bahwa server tersebut benar-benar server Anda, sehingga klien yang meminta enkripsi terverifikasi menolaknya. Setiap perbaikan yang jujur ​​adalah salah satu dari dua hal: membuat klien menerima server khusus ini secara sadar (Langkah 2 dan 3), atau memberikan server sertifikat yang dipercaya oleh klien mereka sendiri (Langkah 4).

Perbaikan Klien Cepat di SSMS - Sertifikat Server Percaya

Ini adalah rute cepat yang ditunjukkan dalam video. Itu tidak mengubah apa pun di server; ia memberitahukan koneksi ini untuk menerima sertifikat server tanpa memeriksa siapa yang menandatanganinya. Di jendela Hubungkan ke Server SSMS, klik Opsi untuk membuka tab tambahan, buka tab Properti Koneksi, setel enkripsi ke Wajib (atau biarkan seperti yang ditawarkan), centang Percayai sertifikat server, dan klik Hubungkan. Login langsung dilakukan.

Perbaikan yang Sama di Dalam String Koneksi Aplikasi

Jika aplikasi gagal, bukan SSMS, saklar yang sama akan berada di string koneksinya. Tambahkan dua pengaturan secara eksplisit - Encrypt=True mengaktifkan saluran yang dilindungi, dan TrustServerCertificate=True adalah ejaan string koneksi dari kotak centang SSMS:

Server=SQL01;Database=AppDB;User Id=appuser;Password=YourPassword;Encrypt=True;TrustServerCertificate=True;

Gunakan nama server, database, dan login Anda sendiri sebagai pengganti nilai contoh. Pengorbanannya sama persis dengan kotak centang di Langkah 2, dengan satu bahaya tambahan: dimasukkan ke dalam konfigurasi aplikasi yang dikirimkan, pemeriksaan yang dilewati berlaku untuk setiap pengguna, tanpa terlihat dan secara permanen. Simpan dalam konfigurasi pengembangan dan pementasan, dan dalam produksi perlakukan ini sebagai waktu pinjaman hingga sertifikat server pada Langkah 4 tersedia.

Perbaikan yang Tepat - Berikan Sertifikat Asli kepada Server

Perbaikan permanen terjadi satu kali, di server, dan setelah itu setiap klien terhubung secara ketat tanpa kotak centang dan tanpa peringatan. Pertama, dapatkan sertifikat untuk nama DNS lengkap server (misalnya sql01.company.local) dari otoritas sertifikat internal Anda atau CA publik, dengan penggunaan Otentikasi Server. Impor, dengan kunci pribadinya, ke penyimpanan sertifikat Komputer Lokal di mesin SQL Server. Kemudian klik kanan sertifikat, pilih Semua Tugas → Kelola Kunci Pribadi, dan berikan izin Baca akun layanan SQL Server pada kunci pribadi. Buka SQL Server Configuration Manager, luaskan SQL Server Network Configuration, klik kanan Protocols for MSSQLSERVER, pilih Properties, dan pilih sertifikat pada tab Certificate. Pada tab Flags Anda juga dapat menyetel ForceEncryption ke Yes sehingga setiap klien diharuskan mengenkripsi. Mulai ulang layanan SQL Server - perubahan tidak akan menghasilkan apa-apa sampai Anda melakukannya.

Verifikasi Perbaikan dengan Cara Ketat

Login yang berhasil secara diam-diam terbukti kurang dari yang diperkirakan orang, karena beberapa kombinasi pengaturan terhubung tanpa perlindungan nyata. Buktikan kedua bagiannya. Pertama, sambungkan kembali dari klien dengan cara yang ketat: sambungkan menggunakan nama DNS server - nama di dalam sertifikat - setel enkripsi ke Wajib dan biarkan Percayai sertifikat server. Login akan berhasil tanpa peringatan. Kemudian, di sesi yang sama, tanyakan pada server apakah koneksi benar-benar dienkripsi dengan menjalankan kueri ini di SSMS:

SELECT session_id, encrypt_option, auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@SPID;

encrypt_option yang menunjukkan TRUE adalah nilai kelulusan. FALSE dengan login yang berfungsi berarti koneksi berhasil dengan menjatuhkan proteksi, dan pekerjaan belum selesai. Uji kelulusan tersebut adalah garis akhir yang sebenarnya: setiap klien yang dikonfigurasi dengan benar, termasuk versi SSMS masa depan, kini terhubung dengan validasi penuh dan tanpa pengaturan khusus.