Mae VPN yn cysylltu ond mae SQL Server yn gwrthod dilysu Windows

Mae twneli’n codi, mae gweinyddwyr yn ateb ping, ac mae mewngofnodi i’r gronfa ddata’n dal i fethu â gwall dilysu. Mae’r cyfuniad hwnnw’n gyffredin ar gysylltiadau VPN ac anaml y mae’n golygu bod y rhwydwaith wedi torri, oherwydd mae gwrandawr cyraeddadwy a mewngofnodi a dderbyniwyd yn ddau ganlyniad gwahanol. Nid yw’r hunaniaeth a fodlonodd y porth yn anghenraid yr hunaniaeth y mae cleient y gronfa ddata’n ei chynnig. Canfod pa gyfrif a gyrhaeddodd yw’r dasg gyfan.

Y symptom: gweinydd cyraeddadwy, mewngofnodi wedi’i wrthod

Mae goramser yn dweud wrthych na chyrhaeddodd y pecyn unrhyw wrandawr. Mae gwall dilysu yn dweud bod y gwrandawr wedi ateb ac wedi gwrthod yr enw dilysu. Mae’r ddau neges hyn yn eich anfon at wahanol dimau, ac mae eu cymysgu’n gwastraffu diwrnod ar reolau wal dân nad oeddent byth yn broblem.

Pan fo’r gwall yn fethiant mewngofnodi, stopiwch edrych ar borthladdoedd. Y cwestiwn sy’n weddill yw pa hunaniaeth Windows a gyflwynodd y cleient, a dderbyniodd y gweinydd y hunaniaeth honno, ac a ddatryswyd hi i ddefnyddiwr cronfa ddata sydd â chaniatâd.

Dwy hunaniaeth, un twnnel

Mae’r cyfrif VPN yn dilysu yn y porth ac, yn y rhan fwyaf o ddefnyddiadau, yn gorffen yno. Mae cleient y gronfa ddata’n cyflwyno tocyn Windows ar wahân, wedi’i gymryd o’r broses sy’n ei redeg, neu fewngofnodi SQL os yw’r llinyn cysylltu’n gofyn am un. Nid oes gan ddefnyddiwr VPN lleol i’r porth unrhyw berthynas â’r parth sy’n cynnal SQL Server, ac nid yw’r twnnel yn creu un.

Nid yw cysylltu peiriant personol â VPN yn ei ymuno â’r parth chwaith. Nid yw ailenwi cyfrif lleol a chyfateb ei gyfrinair i ddefnyddiwr parth yn weithdrefn gofrestru, ac mae’n cynhyrchu tocyn na fydd y rheolydd parth yn ei dderbyn fel y defnyddiwr hwnnw.

Gall rhai cleientiaid mynediad o bell brodorol Windows ailddefnyddio enw dilysu VPN ar gyfer adnoddau rhwydwaith pan fo eu proffil wedi’i ffurfweddu felly. Mae’r ymddygiad hwnnw’n perthyn i gleient a phroffil penodol, nid i gysylltiadau VPN yn gyffredinol, felly gwiriwch ef ar gyfer y cleient sy’n cael ei ddefnyddio yn lle ei dybio.

Darllenwch y modd y gofynnodd y cleient amdano

Mae’r llinyn cysylltu’n penderfynu pa lwybr dilysu y mae’r cleient yn ei ddilyn. Mae diogelwch integredig yn defnyddio tocyn Windows; mae pâr defnyddiwr a chyfrinair yn dewis mewngofnodi SQL. Mae’r rhain yn ddau fodd ar wahân yng nghyfluniad y gweinydd, a dim ond un ohonynt all fod wedi’i alluogi ar gyfer ymgais gysylltu benodol.

Server=tcp:sql.lab.example,1433;Database=ops;Integrated Security=SSPI;Encrypt=True;TrustServerCertificate=False;

Mae newid i fewngofnodi SQL oherwydd bod mewngofnodi Windows wedi methu yn waith o gwmpas sy’n cuddio’r cwestiwn hunaniaeth, ac mae fel arfer angen creu mewngofnodi a chyfrinair newydd beth bynnag. Os yw’r defnyddiad angen dilysu Windows, cadwch y modd a thrwsiwch lwybr yr hunaniaeth. Mae angen ei ganiatâd ei hun ar fewngofnodi SQL hefyd, felly mae’r gwaith o gwmpas yn prynu ail gyfrif i’w gynnal.

Cadarnhewch hefyd pa raglen sy’n cysylltu. Gall gwasanaeth sy’n rhedeg fel cyfrif system, tasg a drefnwyd a ffenestr ymholi ryngweithiol gyflwyno tri thocyn gwahanol ar yr un peiriant, a dim ond yr olaf sy’n cyfateb i’r hyn y mae’r defnyddiwr yn ei weld pan fydd yn rhedeg whoami.

Gofynnwch i’r gweinydd beth a welodd mewn gwirionedd

Gall y gweinydd ddweud wrthych pa fewngofnodi a ddatryswyd ganddo a sut y dilyswyd y cysylltiad. Rhedwch yr ymholiad y tu mewn i’r sesiwn sy’n cael ei hymchwilio, oherwydd nid yw cysylltiad llwyddiannus ar wahân gan weinyddwr yn profi dim am y cleient sy’n methu.

SELECT ORIGINAL_LOGIN() AS original_login,
       SUSER_SNAME() AS current_context;
SELECT auth_scheme, net_transport
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Mae’r rhes gyntaf yn gwahaniaethu’r mewngofnodi a agorodd y sesiwn oddi wrth y cyd-destun diogelwch sydd mewn grym nawr, ac maent yn wahanol o dan bersonoli. Mae’r ail yn enwi’r cynllun dilysu, felly mae KERBEROS, NTLM a SQL yn dod yn ffeithiau gweladwy yn lle dyfalu. Mae cysylltiad sy’n adrodd NTLM lle’r oeddech yn disgwyl Kerberos yn broblem datrys enwau neu SPN, nid yn broblem cyfrinair.

Mae rhif y gwall yn culhau’r peth ymhellach. Mae cyflwr 5 fel arfer yn golygu na ddatryswyd yr enw mewngofnodi o gwbl, mae cyflwr 8 fel arfer yn golygu na chyfatebodd y cyfrinair, ac mae cyflwr 11 yn golygu bod yr enw dilysu wedi’i dderbyn ond bod mynediad i’r gweinydd wedi methu. Gofynnwch i’r gweinyddwr am y cyflwr yn hytrach na’r neges gyfan, oherwydd mae’r neges ar ei phen ei hun yn fwriadol amwys.

Pan fydd yr hunaniaeth yn cyrraedd ac mae Kerberos yn dal i fethu

Os yw’r gweinydd yn gweld yr hunaniaeth Windows a fwriadwyd ac mae dilysu integredig yn dal i fethu, y cyfnewid ei hun yw’r broblem. Mae Kerberos angen yr enw prif wasanaeth wedi’i gofrestru ar gyfer cyfrif gwasanaeth SQL a chleient sy’n gofyn am y gwasanaeth wrth enw sy’n cyfateb iddo. Ni all cysylltu drwy gyfeiriad IP gyfateb i SPN sy’n seiliedig ar enw, a dim ond os yw hefyd wedi’i gofrestru y gall alias gyfateb. Gwiriwch yr enw a deipiodd y cleient cyn unrhyw beth arall, oherwydd mae cysylltiad sy’n gweithio drwy enw gwesteiwr ac yn methu drwy IP yn disgrifio’r union broblem hon.

Gofynnwch i’r gweinyddwr adolygu’r hunaniaeth gofrestredig a’r cyfrif gwasanaeth yn hytrach na chreu SPN dyblyg drwy brofi a methu. Mae cofrestriadau dyblyg yn cynhyrchu methiannau ysbeidiol sy’n anoddach eu diagnosio na’r broblem wreiddiol.

Ar ôl i ddilysu weithio, mae angen defnyddiwr cronfa ddata a chaniatâd ar y mewngofnodi o hyd. Mae mewngofnodi VPN llwyddiannus, mewngofnodi Windows llwyddiannus a chaniatâd i ddarllen tabl penodol yn dri chanlyniad ar wahân, ac mae pob un yn haeddu ei wiriad ei hun cyn cau’r tocyn.