Ceanglaíonn an VPN, ach diúltaíonn SQL Server d’fhíordheimhniú Windows

Tagann tolláin aníos, freagraíonn freastalaithe do ping, agus teipeann ar logáil isteach an bhunachair shonraí fós le hearráid fhíordheimhnithe. Tá an meascán sin coitianta ar naisc VPN agus is annamh a chiallaíonn sé go bhfuil an líonra briste, mar is dhá thoradh éagsúla iad éisteoir inrochtana agus logáil isteach glactha. Ní gá gurb é an t-aitheantas a shásaigh an tairseach an t-aitheantas a thairgeann cliant an bhunachair shonraí. Is é an tasc ar fad a dhéanamh amach cén cuntas a tháinig.

An tsiomptóm: freastalaí inrochtana, logáil isteach diúltaithe

Deir am istigh leat nár shroich an paicéad éisteoir ar bith. Deir earráid fhíordheimhnithe gur fhreagair an t-éisteoir agus gur dhiúltaigh sé don dintiúr. Seolann an dá theachtaireacht sin chuig foirne éagsúla thú, agus caitheann meascadh eatarthu lá ar rialacha balla dóiteáin nárbh fhadhb riamh iad.

Nuair is teip logála isteach an earráid, stop ag breathnú ar phoirt. Is é an cheist atá fágtha cén t-aitheantas Windows a chuir an cliant i láthair, ar ghlac an freastalaí leis an aitheantas sin, agus ar réitigh sé go húsáideoir bunachair shonraí a bhfuil cead aige.

Dhá aitheantas, aon tollán amháin

Fíordheimhnítear cuntas VPN ag an tairseach agus, i bhformhór na n-imscarthaí, críochnaíonn sé ansin. Cuireann cliant an bhunachair shonraí comhartha Windows i láthair ar leithligh, tógtha ón bpróiseas a ritheann é, nó logáil isteach SQL má iarrann an teaghrán ceangail a leithéid. Níl aon ghaol ag úsáideoir VPN áitiúil don tairseach leis an bhfearann a óstálann SQL Server, agus ní chruthaíonn an tollán a leithéid.

Ní chuireann ceangal meaisín pearsanta le VPN leis an bhfearann é ach an oiread. Ní nós imeachta clárúcháin é cuntas áitiúil a athainmniú agus a phasfhocal a mheaitseáil le húsáideoir fearainn, agus cruthaíonn sé comhartha nach nglacfaidh an rialtóir fearainn leis mar an t-úsáideoir sin.

Is féidir le roinnt cliant dúchasach rochtana cianda Windows an dintiúr VPN a athúsáid le haghaidh acmhainní líonra nuair a bhíonn a bpróifíl cumraithe mar sin. Baineann an t-iompar sin le cliant agus próifíl ar leith, ní le naisc VPN go ginearálta, mar sin fíoraigh é don chliant atá in úsáid seachas glacadh leis.

Léigh an mód a d’iarr an cliant

Cinneann an teaghrán ceangail cén cosán fíordheimhnithe a thógann an cliant. Úsáideann slándáil chomhtháite comhartha Windows; roghnaíonn péire úsáideora agus pasfhocail logáil isteach SQL. Is modhanna ar leith iad sin i gcumraíocht an fhreastalaí, agus ní féidir ach ceann amháin acu a bheith cumasaithe d’iarracht cheangail ar leith.

Server=tcp:sql.lab.example,1433;Database=ops;Integrated Security=SSPI;Encrypt=True;TrustServerCertificate=False;

Is seachbhóthar é aistriú go logáil isteach SQL toisc gur theip ar logáil isteach Windows a cheileann ceist an aitheantais, agus is gnách go dteastaíonn logáil isteach agus pasfhocal nua a chruthú ar aon nós. Má éilíonn an imscaradh fíordheimhniú Windows, coinnigh an mód agus deisigh cosán an aitheantais. Teastaíonn a cheadanna féin ó logáil isteach SQL freisin, mar sin ceannaíonn an seachbhóthar dara cuntas le cothabháil.

Deimhnigh freisin cén feidhmchlár atá ag ceangal. Is féidir le seirbhís a ritheann mar chuntas córais, tasc sceidealaithe agus fuinneog iarratais idirghníomhaí trí chomhartha éagsúla a chur i láthair ar an meaisín céanna, agus ní mheaitseálann ach an ceann deireanach leis an méid a fheiceann an t-úsáideoir nuair a ritheann sé whoami.

Fiafraigh den fhreastalaí cad a chonaic sé i ndáiríre

Is féidir leis an bhfreastalaí a rá leat cén logáil isteach a réitigh sé agus conas a fíordheimhníodh an ceangal. Rith an t-iarratas taobh istigh den seisiún atá á fhiosrú, mar ní chruthaíonn ceangal rathúil ar leith ó riarthóir aon rud faoin gcliant atá ag teip.

SELECT ORIGINAL_LOGIN() AS original_login,
       SUSER_SNAME() AS current_context;
SELECT auth_scheme, net_transport
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Déanann an chéad ró idirdhealú idir an logáil isteach a d’oscail an seisiún agus an comhthéacs slándála atá i bhfeidhm anois, agus bíonn siad sin éagsúil faoi phearsantú. Ainmníonn an dara ceann an scéim fhíordheimhnithe, mar sin déantar fíorais infheicthe de KERBEROS, NTLM agus SQL in ionad buille faoi thuairim. Is fadhb réitigh ainmneacha nó SPN é ceangal a thuairiscíonn NTLM san áit a raibh Kerberos agat, ní fadhb phasfhocail.

Cúngaíonn uimhir na hearráide é tuilleadh. Ciallaíonn staid 5 de ghnáth nár réitíodh an t-ainm logála isteach ar chor ar bith, ciallaíonn staid 8 de ghnáth nár mheaitseáil an pasfhocal, agus ciallaíonn staid 11 gur glacadh leis an dintiúr ach gur theip ar rochtain ar an bhfreastalaí. Iarr an staid ar an riarthóir seachas an teachtaireacht iomlán, mar tá an teachtaireacht ann féin doiléir d’aon ghnó.

Nuair a shroicheann an t-aitheantas agus go dteipeann ar Kerberos fós

Má fheiceann an freastalaí an t-aitheantas Windows beartaithe agus má theipeann ar fhíordheimhniú comhtháite fós, is é an mhalartú féin an fhadhb. Teastaíonn an príomhainm seirbhíse cláraithe do chuntas seirbhíse SQL ó Kerberos agus cliant a iarrann an tseirbhís le hainm a mheaitseálann é. Ní féidir le ceangal trí sheoladh IP teacht le SPN atá bunaithe ar ainm, agus ní féidir le halias teacht leis ach amháin má tá sé cláraithe freisin. Seiceáil an t-ainm a chlóscríobh an cliant sula ndéanfaidh tú aon rud eile, mar cuireann ceangal a oibríonn trí ainm óstaigh agus a theipeann trí IP síos go díreach ar an bhfadhb seo.

Iarr ar an riarthóir an t-aitheantas cláraithe agus an cuntas seirbhíse a athbhreithniú seachas SPNanna dúblacha a chruthú trí thriail agus earráid. Cruthaíonn clárúcháin dúblacha teipeanna eatramhacha atá níos deacra a dhiagnóisiú ná an bhunfhadhb.

Nuair a oibríonn fíordheimhniú, teastaíonn úsáideoir bunachair shonraí agus ceadanna ón logáil isteach fós. Is trí thoradh ar leith iad logáil isteach VPN rathúil, logáil isteach Windows rathúil agus cead chun tábla áirithe a léamh, agus tá a sheiceáil féin tuillte ag gach ceann sula ndúnfar an ticéad.