Cén fáth a dtéann SQL Server thar VPN siar ar NTLM fós?

Tá do nasc ag obair, glactar leis an logáil isteach agus tá SQL Server ag úsáid NTLM agus gach duine ag súil le Kerberos. Ní locht VPN é an toradh sin, mar ní sholáthraíonn tollán ach cosán; chinn an t-ainm a d’iarr an cliant, an príomhpháirtí atá cláraithe sa chomhadlann agus an ticéad a raibh an cliant in ann é a fháil i ndáiríre an scéim. Caithfidh trí choinníoll a bheith fíor ag an am céanna, agus deir an seisiún féin cé acu a ghéill. Léigh é sin sula ndéanfaidh duine ar bith eagarthóireacht ar ainm príomhsheirbhíse.

Ainmníonn an seisiún an scéim a fuair tú i ndáiríre

Baineann an scéim fhíordheimhniúcháin le nasc seachas le freastalaí nó le tollán, mar sin caithfear an tseiceáil a rith laistigh den seisiún a bhfuil tú ag iarraidh. Rith an cheist thíos ón gcliant, ón uirlis agus ón gcuntas céanna a tháirg an tuarascáil, agus taifead ainm na sprice agus an t-iompar in aice leis an toradh.

SELECT session_id, auth_scheme, net_transport, client_net_address, login_name
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Déanann ró ó fhuinneog SSMS áitiúil ar óstach an bhunachair shonraí cur síos ar nasc iomlán difriúil, agus is ar an gcúis sin nach mór an cheist a rith ó thaobh an chliaint. Sábháil an t-aschur le stampa ama, mar go bhfiafróidh an chéad duine eile a léifidh é cathain a tógadh é. Nuair a roinneann roinnt feidhmchlár aon chríochphointe amháin, tóg sampla ó gach ceann acu, mar is minic gurb é difríocht foinse sonraí idir dhá fheidhmchlár an scéal iomlán.

Céad choinníoll: an bhfuil an t-ainm ag teacht leis an SPN?

Déanann Kerberos fíordheimhniú ar sheirbhís ainmnithe, mar sin iarrann an cliant ar an gcomhadlann ticéad do phríomhpháirtí amháin ar leith. Maidir le soláthraí TCP is é an fhoirm dhoiciméadaithe MSSQLSvc/ agus an t-ainm óstach láncháilithe ina dhiaidh, agus an port do ghnáthchás. Cláraíonn cás ainmnithe MSSQLSvc/db01.corp.example:SQLPROD, áit arb é an iarmhír ainm an cháis in ionad uimhreach. Athraíonn teacht ar an éisteoir trí ailias, trí CNAME a réitítear in áit eile nó trí sheoladh IP lom an t-ainm a iarrtar, agus níl aon ticéad le filleadh ag iarraidh nach bhfuil príomhpháirtí comhoiriúnach aici.

Sin an fáth a n-oibríonn feidhmchlár amháin ar líonra amháin agus a dtéann sé siar ar líonra eile: d’athraigh freagra DNS, taifead ailias nó iontráil hosts an t-ainm a d’úsáid an cliant. Déan comparáid idir an t-ainm a iarradh agus an méid atá sa chomhadlann sula dtagann tú ar an gclárú.

Dara coinníoll: an bhfuil an SPN ar an gcuntas ceart?

Caithfidh SPN a bheith ag an gcuntas a ritheann an tseirbhís SQL, ní ag cuntas an chliaint agus ní ag réad ríomhaire de thaisme. Is féidir le SQL Server a chuid SPN féin a chlárú ag am tosaithe nuair a bhíonn cead ag a chuntas seirbhíse iad a scríobh, rud atá áisiúil agus a mhíníonn freisin conas a thagann dúblach chun cinn tar éis athrú cuntais seirbhíse.

Iarr ar an gcomhadlann an t-ainm a bhfuil tú ag súil leis, ansin liostaigh an méid atá ag an gcuntas i ndáiríre. Tá sé níos tábhachtaí cén réad a choinníonn an iontráil ná an bhfuil an t-ainm ann áit éigin sa bhforaois. Ciallaíonn neamhréir nach raibh an logáil isteach riamh mar fhadhb, agus déanann treoir SPN Microsoft na formáidí agus na cásanna a dhoiciméadú ina gcaithfidh riarthóir fearainn an iontráil a chruthú.

setspn -Q MSSQLSvc/db01.corp.example:1433
setspn -L CORP\svc-sql01

Ní turgnamh sábháilte é iontráil eile a chur leis. Is féidir le dúblach nó le clárú contrártha cliaint a bhí ag obair a bhriseadh, mar sin scrúdaigh an úinéireacht roimh an athrú agus seiceáil arís ina dhiaidh.

Tríú coinníoll: an féidir leis an gcliant ticéad a fháil ar chor ar bith?

Ní fiú SPN ceart mura féidir leis an gcliant teacht ar rialaitheoir fearainn nó mura bhfuil comhthéacs dintiúir inúsáidte aige. Teastaíonn an KDC agus DNS ón malartú tríd an VPN, agus teipeann tollán nach ndéanann ach port SQL a ródú go díreach ag an gcéim seo. Caithfear inrochtaineacht a thástáil ón meaisín céanna agus ón gcuntas céanna, ní ón mballa dóiteáin atá os a gcomhair.

Scrúdaigh an taisce ticéad ar an meaisín agus faoin gcuntas a ritheann an feidhmchlár. Ní deir liosta meaisínleathan ó fhuinneog ardaíochta aon rud faoi sheirbhís atá ag rith mar úsáideoir eile, agus is fionnachtain í taisce folamh don úsáideoir sin seachas míchaoithiúlacht.

klist
klist -li 0x3e7

Ansin socraigh cad is féidir le cúlú a dhéanamh. Má éilíonn beartas Kerberos, caithfear NTLM a dhiúltú go sainráite, mar go ndéanann cúlú ciúin earráid chumraíochta a iompú ina nasc oibre a sháraíonn an ceanglas. Má fhanann NTLM inghlactha do roinnt feidhmchlár, ainmnigh iad agus stad de bheith ag caitheamh le gach seisiún NTLM mar eachtra.

Is athróg amháin é an lainseálaí a athrú, ní réiteach

Is féidir le SSMS a thosú faoi dhintiúr eile féiniúlacht amach neamhbheartaithe a leigheas, rud atá ina aicme fíor fhadhb. Ní chruthaíonn sé aon rud faoin ainm sprice, faoin gclárú nó faoi chonair an ticéid, agus ní athraíonn sé an méid a ghlac an freastalaí.

Coinnigh an chomparáid faoi smacht: an críochphointe céanna, an soláthraí céanna, comhthéacs forghníomhaithe aithnidiúil, ansin nasc nua a scrúdaíonn tú a scéim. Deimhnigh an logáil isteach glactha agus a chuid ceadanna bunachair ar leithligh, mar go dteipeann ar rochtain agus ar fhíordheimhniú ar chúiseanna difriúla.

Nuair a éilítear Kerberos, taifead cén fáth ar ghéill an chéad chosán, cuir ceartú amháin i bhfeidhm agus rith an cheist arís ón gcliant céanna. Is fianaise ar rochtain é ceist rathúil tar éis athrú lainseálaí, agus níl sí fós ina fianaise gur comhlíonadh an ceanglas fíordheimhniúcháin.