Excel hacia un SQL Server de un socio sin confianza de dominio

Un libro de Excel que abre una tabla en el SQL Server de otra organización necesita tres cosas que suelen tratarse como una sola: una identidad que el servidor acepte, un transporte que el cliente valide y una ruta de red que ambas partes permitan. La confianza de dominio es una forma de satisfacer la primera, y la más amplia. TLS satisface la segunda y no dice nada sobre la primera. La ruta satisface la tercera y no protege nada por sí sola.

Separar las tres convierte la hoja de cálculo en una petición pequeña y revisable en lugar de una relación administrativa.

Tres decisiones que la pregunta esconde

La identidad es quién cree la base de datos que usted es: una cuenta de Windows de un dominio de confianza, un inicio de sesión SQL con su propia contraseña o una identidad basada en certificado. El transporte es si la sesión va cifrada y si el cliente comprueba la cadena de certificados del servidor. La ruta es cómo llegan los paquetes al receptor, que puede ser una VPN, un enlace privado o un punto de conexión público con reglas de cortafuegos. Cada una vive en un lugar distinto y cada una puede fallar por su cuenta.

Una confianza de bosque responde ampliamente a la primera y es una relación entre organizaciones, no un ajuste para un solo libro. Además no cifra nada, lo que sorprende a quienes daban por hecho que la confianza era el control de seguridad.

Identidad sin confianza de bosque

Una cuenta aprovisionada a propósito en el entorno de destino puede cubrir un requisito más estrecho sin ninguna confianza, siempre que el flujo de trabajo del cliente pueda usarla. La autenticación SQL es la otra respuesta habitual cuando la política lo permite: el inicio de sesión lleva su propio ciclo de vida de credenciales y no se une a dominios ni produce autenticación integrada de Windows. La identidad basada en certificado o token es una tercera opción en plataformas más recientes. Elija la que elija, conceda solo los permisos de base de datos que el libro necesita de verdad.

Prefiera una cuenta dedicada al inicio de sesión personal de alguien. Una credencial compartida en una hoja de cálculo es un problema de soporte esperando a ocurrir, y una cuenta con nombre hace posible la revocación cuando el proyecto termina.

¿Cifrar sí, pero confiar en el certificado?

Con ODBC Driver 18, Encrypt=Yes;TrustServerCertificate=No pide una sesión cifrada cuyo certificado se comprueba de verdad. La cadena de conexión debe entonces nombrar el servidor que cubre el certificado, y el cliente debe confiar en su cadena. Driver 18 también aplica el cifrado de forma predeterminada, a diferencia de versiones anteriores, así que una cadena de conexión antigua puede ahora negociar TLS sin decirlo. Los ajustes explícitos hacen visible la política prevista en todas las máquinas, lo que importa cuando varias personas mantienen el mismo libro.

TrustServerCertificate=Yes cifra y omite la validación, lo que no es una reparación equivalente para un desajuste de nombre o una cadena no confiable. Elimina la señal que le habría dicho que el cliente llegó al punto de conexión equivocado, así que corrija el certificado o el nombre.

La aplicación en el lado del servidor es un control aparte. Si el cifrado debe aplicarse a todos los clientes, configure y verifique el ajuste de cifrado forzado del servidor, porque una cadena de conexión cooperativa no impone nada.

La ruta de red no es la protección

Un receptor privado al que se llega por una VPN reduce la exposición, y la VPN debe llevar las rutas de destino y de retorno correctas para que eso funcione. Un túnel que funciona no elimina la necesidad de autenticación ni la validación del certificado, y TLS no restringe qué sistemas remotos pueden intentar una conexión. Son tres observaciones separadas: un handshake TLS, un inicio de sesión VPN y una consulta autorizada. Solo la tercera demuestra que el libro leyó los datos que tenía permiso para leer.

Por eso, resista el atajo de responder una pregunta de confianza exponiendo la base de datos a internet. La respuesta estrecha suele ser una cuenta dedicada, cifrado validado y una ruta aprobada, en ese orden.

Verifíquelo con el flujo habitual de Excel: la identidad aceptada, los permisos efectivos y el cifrado negociado, cada uno comprobado mediante la vista de sesión del propio servidor.