VPN tengist, en SQL Server hafnar Windows-auðkenningu

Göngin koma upp, þjónarnir svara pingi og innskráningin í gagnagrunninn mistekst samt með auðkenningarvillu. Þessi samsetning er algeng á VPN-tengingum og þýðir sjaldan að netið sé bilað, því aðgengilegur hlustandi og samþykkt innskráning eru tvær mismunandi niðurstöður. Auðkennið sem gerði hliðinu til hæfis er ekki endilega sama auðkenni og biðlari gagnagrunnsins býður. Að komast að því hvaða reikningur kom er allt verkefnið.

Einkennið: aðgengilegur þjónn, hafnaðri innskráning

Tímamörk segja þér að pakkinn hafi aldrei náð hlustanda. Auðkenningarvilla segir að hlustandinn hafi svarað og hafnað skírteininu. Þessi tvö skilaboð senda þig til mismunandi teyma, og að rugla þeim eyðir degi í eldveggjarreglum sem voru aldrei vandamálið.

Þegar villan er misheppnuð innskráning skaltu hætta að skoða gáttir. Spurningin sem eftir er: hvaða Windows-auðkenni lagði biðlarinn fram, tók þjónninn við því auðkenni og varð það að gagnagrunnsnotanda með leyfi.

Tvö auðkenni, ein göng

VPN-reikningurinn auðkennir sig við hliðið og í flestum uppsetningum endar þar. Biðlari gagnagrunnsins leggur sérstaklega fram Windows-tóken, tekið úr ferlinu sem keyrir hann, eða SQL-innskráningu ef tengistrengurinn biður um slíka. Staðbundinn VPN-notandi á hliðinu hefur engin tengsl við lénið sem hýsir SQL Server, og göngin búa ekki til slík tengsl.

Að tengja einkatölvu við VPN skráir hana heldur ekki í lénið. Að endurnefna staðbundinn reikning og samræma lykilorð hans við lénsnotanda er ekki skráningaraðferð, og það framleiðir tóken sem lénsstjórnandinn mun ekki samþykkja sem þann notanda.

Sumir innbyggðir Windows-biðlarar fyrir fjartengingu geta endurnýtt VPN-skírteinið fyrir netauðlindir þegar snið þeirra er stillt þannig. Sú hegðun tilheyrir tilteknum biðlara og sniði, ekki VPN-tengingum almennt, svo staðfestu hana fyrir biðlarann sem er í notkun í stað þess að gera ráð fyrir henni.

Lestu stillinguna sem biðlarinn bað um

Tengistrengurinn ræður því hvaða auðkenningarleið biðlarinn fer. Samþætt öryggi notar Windows-tókenið; par notanda og lykilorðs velur SQL-innskráningu. Þetta eru aðskildar stillingar í uppsetningu þjónsins, og aðeins ein þeirra getur verið virk fyrir tiltekna tengingartilraun.

Server=tcp:sql.lab.example,1433;Database=ops;Integrated Security=SSPI;Encrypt=True;TrustServerCertificate=False;

Að skipta yfir í SQL-innskráningu af því að Windows-innskráningin mistókst er hjáleið sem felur auðkennisspurninguna, og hún krefst venjulega samt nýrrar innskráningar og lykilorðs. Ef uppsetningin krefst Windows-auðkenningar skaltu halda stillingunni og laga auðkennaleiðina. SQL-innskráning þarf líka eigin heimildir, svo hjáleiðin kaupir annan reikning til að viðhalda.

Staðfestu líka hvaða forrit tengist. Þjónusta sem keyrir sem kerfisreikningur, áætluð verkefni og gagnvirk fyrirspurnargluggi geta lagt fram þrjú mismunandi tóken á sömu vél, og aðeins hið síðasta passar við það sem notandinn sér þegar hann keyrir whoami.

Spyrðu þjóninn hvað hann sá í raun

Þjónninn getur sagt þér hvaða innskráningu hann leysti og hvernig tengingin auðkenndist. Keyrðu fyrirspurnina innan þeirrar lotu sem er til rannsóknar, því að sérstök farsæl tenging stjórnandans sannar ekkert um biðlarann sem mistekst.

SELECT ORIGINAL_LOGIN() AS original_login,
       SUSER_SNAME() AS current_context;
SELECT auth_scheme, net_transport
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Fyrsta röðin greinir innskráninguna sem opnaði lotuna frá öryggissamhenginu sem gildir núna, og þau eru frábrugðin undir persónuleit. Önnur nefnir auðkenningarkerfið, svo KERBEROS, NTLM og SQL verða sýnileg staðreyndir í stað ágiskana. Tenging sem greinir frá NTLM þar sem þú bjóst við Kerberos er vandamál í nafnaleysingu eða SPN, ekki lykilorðsvandamál.

Villunúmerið þrengir það frekar. Staða 5 þýðir venjulega að innskráningarnafnið hafi alls ekki verið leyst, staða 8 þýðir venjulega að lykilorðið hafi ekki passað, og staða 11 þýðir að skírteinið var samþykkt en aðgangur að þjóninum mistókst. Biddu stjórnandann um stöðuna frekar en öll skilaboðin, því skilaboðin ein og sér eru viljandi óskýr.

Þegar auðkennið berst og Kerberos mistekst enn

Ef þjónninn sér fyrirhugaða Windows-auðkennið og samþætt auðkenning mistekst enn, er skiptin sjálf vandamálið. Kerberos þarf skráða þjónustuaðalnafn (SPN) fyrir SQL-þjónustureikninginn og biðlara sem biður um þjónustuna með nafni sem passar við það. Að tengjast með IP-tölu getur ekki passað við nafnbyggt SPN, og samheiti getur aðeins passað ef það er líka skráð. Athugaðu nafnið sem biðlarinn skrifaði fyrst af öllu, því tenging sem virkar með hýsilnafni og mistekst með IP lýsir einmitt þessu vandamáli.

Biddu stjórnandann að fara yfir skráða auðkennið og þjónustureikninginn í stað þess að búa til tvítek SPN með tilraunum. Tvítekar skráningar valda slitróttum bilunum sem er erfiðara að greina en upprunalega vandamálið.

Þegar auðkenningin virkar þarf innskráningin samt gagnagrunnsnotanda og heimildir. Farsæl VPN-innskráning, farsæl Windows-innskráning og leyfi til að lesa tiltekna töflu eru þrjár aðskildar niðurstöður, og hver þeirra á skilið sitt eigið eftirlit áður en miðinn er lokaður.