Reparer SQL Server-krypteringsfeil - ett klikk-løsning

Les feilen - det er et tillitsproblem, ikke et nettverksproblem

Nettverket ditt er bra og serveren kjører. Forbindelsen nådde SQL Server, serveren tilbød en kryptert kanal for påloggingen, og PC-en din nektet det fordi sertifikatet som beviser serverens identitet er signert av ingen PC-en din stoler på. Den fullstendige feilen SSMS viser er:

Som standard beskytter SQL Server påloggingen med et selvsignert sertifikat den oppretter selv. Et selvsignert sertifikat krypterer trafikken, men det kan ikke bevise at serveren virkelig er din server, så klienter som krever bekreftet kryptering avviser det. Hver ærlig løsning er én av to ting: få klienten til å akseptere denne bestemte serveren med viten (trinn 2 og 3), eller gi serveren et sertifikat klienten stoler på på egen hånd (trinn 4).

Quick Client Fix i SSMS - Trust Server Certificate

Dette er den raske ruten som vises i videoen. Det endrer ingenting på serveren; den forteller denne ene tilkoblingen å godta serverens sertifikat uten å sjekke hvem som signerte det. I SSMS-vinduet Koble til server klikker du Alternativer for å åpne de ekstra fanene, går til kategorien Tilkoblingsegenskaper, setter kryptering til Obligatorisk (eller la det stå som tilbudt), merker av for Tillat serversertifikat og klikker Koble til Innloggingen går igjennom umiddelbart.

Den samme løsningen i en app-tilkoblingsstreng

Hvis en applikasjon mislykkes i stedet for SSMS, lever den samme bryteren i tilkoblingsstrengen. Legg til de to innstillingene eksplisitt - Encrypt=True slår på den beskyttede kanalen, og TrustServerCertificate=True er tilkoblingsstrengstavingen til SSMS-avmerkingsboksen:

Server=SQL01;Database=AppDB;User Id=appuser;Password=YourPassword;Encrypt=True;TrustServerCertificate=True;

Bruk ditt eget servernavn, database og pålogging i stedet for eksempelverdiene. Avveiningen er nøyaktig den samme som avkrysningsboksen i trinn 2, med én ekstra fare: bakt inn i konfigurasjonen til et sendt program, gjelder den hoppet over alle brukere, usynlig og permanent. Hold det i utviklings- og oppsettingskonfigurasjoner, og i produksjon behandle det som lånt tid til serversertifikatet i trinn 4 er på plass.

Den riktige løsningen - Gi serveren et ekte sertifikat

Den permanente reparasjonen skjer én gang, på serveren, og etterpå kobler hver klient seg strengt til uten avmerkingsboks og ingen advarsel. Få først et sertifikat for serverens fulle DNS-navn (for eksempel sql01.company.local) fra din interne sertifiseringsinstans eller en offentlig CA, med Server Authentication-bruk. Importer den, med dens private nøkkel, til Local Computer-sertifikatlageret på SQL Server-maskinen. Høyreklikk deretter sertifikatet, velg Alle oppgaver → Administrer private nøkler, og gi SQL Server-tjenestekontoen Lese-tillatelse på den private nøkkelen. Åpne SQL Server Configuration Manager, utvid SQL Server Network Configuration, høyreklikk Protocols for MSSQLSERVER, velg Properties, og velg sertifikatet på Certificate-fanen. På Flagg-fanen kan du også sette ForceEncryption til Ja slik at hver klient må kryptere. Start SQL Server-tjenesten på nytt - endringen gjør ingenting før du gjør det.

Bekreft Fix the Strict Way

En pålogging som lykkes i det stille beviser mindre enn folk tror, fordi noen innstillingskombinasjoner kobles sammen uten reell beskyttelse. Bevis begge halvdelene. Først kobler du til på nytt fra en klient på den strenge måten: koble til ved å bruke serverens DNS-navn - navnet inne i sertifikatet - sett kryptering til Obligatorisk og la Tillat serversertifikat være umerket. Påloggingen skal lykkes uten forvarsel. Deretter, i den samme økten, spør du serveren om tilkoblingen faktisk er kryptert ved å kjøre denne spørringen i SSMS:

SELECT session_id, encrypt_option, auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@SPID;

encrypt_option som viser TRUE er beståttkarakteren. FALSE med en fungerende pålogging betyr at tilkoblingen lyktes ved å miste beskyttelsen, og jobben er ikke gjort. Den bestått testen er den virkelige målstreken: enhver riktig konfigurert klient, inkludert fremtidige SSMS-versjoner, kobles nå til med full validering og ingen spesielle innstillinger.