Me yasa SQL Server ta VPN har yanzu ke komawa NTLM?

Haɗin ku yana aiki, ana karɓar shiga, kuma SQL Server yana amfani da NTLM yayin da kowa ya yi tsammanin Kerberos. Wannan sakamakon ba lahani ba ne na VPN, domin rami yana bayar da hanya kawai; sunan da abokin ciniki ya nemi, principal ɗin da aka yi rajista a cikin directory da tikitin da abokin ciniki ya samu da gaske ne suka ƙayyade tsarin. Doole uku dole su tabbata a lokaci ɗaya, kuma session ɗin da kanta ta faɗi wacece ta sassauta. Karanta wannan kafin wani ya gyara sunan babban sabis.

Session ɗin yana ambaton tsarin da ka samu da gaske

Tsarin tabbatarwa na haɗi ne ba na uwar garke ko rami ba, don haka dole a gudanar da binciken cikin session ɗin da ya shafe ka. Gudanar da tambayar da ke ƙasa daga wannan abokin ciniki, kayan aiki da asusu waɗanda suka samar da rahoton, ka rubuta sunan manufa da jigilar kaya gefen sakamakon.

SELECT session_id, auth_scheme, net_transport, client_net_address, login_name
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Layi daga taga SSMS na gida a kan uwar garken bayanai yana bayyana haɗi daban kwata-kwata, shi ya sa dole a gudanar da tambayar daga bangaren abokin ciniki. Ajiye fitarwar tare da tambarin lokaci, domin mutumin da zai karanta ta na gaba zai tambaya yaushe aka ɗauke ta. Inda aikace-aikace da yawa ke raba ƙarshen wuri ɗaya, ɗauki samfurin kowanne, domin bambancin tushen bayanai tsakanin aikace-aikace biyu shi ne dukan labarin sau da yawa.

Sharadi na ɗaya: shin sunan ya dace da SPN?

Kerberos yana tabbatar da sabis mai suna, don haka abokin ciniki yana tambayar directory tikit don principal guda ɗaya takamaimai. Ga mai bayar da TCP, siffar da aka rubuta ita ce MSSQLSvc/ sannan cikakken sunan uwar garke kuma, ga misali na asali, tashar. Misali mai suna yana yin rijistar MSSQLSvc/db01.corp.example:SQLPROD, inda ƙari shine sunan misalin maimakon lamba. Isar da mai sauraro ta hanyar laƙabi, CNAME da ke warwarewa wani wuri ko adireshin IP tsirara yana canza sunan da aka nema, kuma buƙatar da ba ta da principal mai dacewa ba ta da tikit da za ta mayar.

Shi ya sa aikace-aikace ɗaya ke aiki a wata cibiyar sadarwa kuma yana komawa a wata: amsar DNS, rikodin laƙabi ko shigarwar hosts sun canza sunan da abokin ciniki ya yi amfani da shi. Kwatanta sunan da aka nema da abin da directory ke da shi kafin ka taɓa rijistar.

Sharadi na biyu: shin SPN yana kan asusun da ya dace?

SPN dole ya kasance na asusun da ke gudanar da sabis ɗin SQL, ba asusun abokin ciniki ba kuma ba bisa ga kuskure na abin kwamfuta ba. SQL Server na iya yin rijistar SPN ɗinsa lokacin farawa idan asusun sabis ɗinsa yana da izinin rubuta su, abin da ke da sauƙi kuma yana bayanin yadda kwafi ke bayyana bayan canjin asusun sabis.

Tambayi directory game da sunan da kake tsammani, sannan ka lissafa abin da asusun ke da shi da gaske. Wane abu ne ke riƙe da shigarwar ya fi muhimmanci fiye da ko sunan yana wani wuri a cikin dajin. Rashin daidaituwa yana nufin shiga ba ta taɓa zama matsalar ba, kuma jagorar SPN ta Microsoft tana rubuta siffofi da lokuta inda dole mai kula da yanki ya ƙirƙiri shigarwar.

setspn -Q MSSQLSvc/db01.corp.example:1433
setspn -L CORP\svc-sql01

Ƙara wata shigarwa ba gwaji mai aminci ba ne. Kwafi ko rijista mai cin karo na iya karya abokan cinikin da suke aiki, don haka duba mallaka kafin canjin sannan ka sake dubawa bayansa.

Sharadi na uku: shin abokin ciniki zai iya samun tikit kwata-kwata?

Daidaitaccen SPN ba shi da amfani idan abokin ciniki ba zai iya isa mai kula da yanki ba ko kuma ba shi da mahallin shaidar da za a iya amfani da ita. Musayar tana buƙatar KDC da DNS ta hanyar VPN, kuma ramin da ke tafiyar da tashar SQL kawai yana gazawa a daidai wannan matakin. Dole a gwada isarshi daga wannan na’ura da wannan asusu, ba daga katangar wuta da ke gabansu ba.

Bincika ajiyar tikit a kan na’urar da kuma ƙarƙashin asusun da ke gudanar da aikace-aikacen. Jerin na dukan na’urar daga taga mai girma ba ya faɗi komai game da sabis da ke gudana a matsayin wani mai amfani, kuma ajiyar fanko ga wannan mai amfani abin ganowa ne ba wahala ba.

klist
klist -li 0x3e7

Sannan yanke shawara abin da komawa zai iya yi. Idan manufa tana buƙatar Kerberos, dole a ƙi NTLM a fili, domin komawar shiru tana juya kuskuren tsari zuwa haɗin da ke aiki wanda ya saba wa buƙatar. Idan NTLM ya kasance abin karɓa ga wasu aikace-aikace, ambaci su kuma daina ɗaukar kowane session na NTLM a matsayin abin da ya faru.

Canza mai ƙaddamarwa canji ɗaya ne, ba gyara ba

Ƙaddamar da SSMS ƙarƙashin wani shaidar na iya warkar da asalin fita da ba a yi niyya ba, wanda shine ainihin nau’in matsala. Ba ya tabbatar da komai game da sunan manufa, rijista ko hanyar tikit, kuma ba ya canza abin da uwar garke ta karɓa.

Riƙe kwatancen a sarrafawa: wannan ƙarshen wuri, wannan mai bayarwa, sanannen mahallin aiwatarwa, sannan sabon haɗi wanda kake duba tsarinsa. Tabbatar da shigar da aka karɓa da izininsa na bayanai daban, domin samun dama da tabbatarwa suna gazawa saboda dalilai daban-daban.

Lokacin da ake buƙatar Kerberos, rubuta dalilin da ya sa hanyar farko ta koma, yi gyara ɗaya kuma sake gudanar da tambayar daga wannan abokin ciniki. Nasara tambaya bayan canjin mai ƙaddamarwa shaida ce ta samun dama, kuma har yanzu ba shaida ba ce cewa an cika buƙatar tabbatarwa.