VPN қосылады, бірақ SQL Server Windows аутентификациясын қабылдамайды

Туннельдер көтеріледі, серверлер ping-ге жауап береді, ал дерекқорға кіру әлі де аутентификация қатесімен сәтсіз аяқталады. Бұл үйлесім VPN байланыстарында жиі кездеседі және сирек жағдайда ғана желінің бұзылғанын білдіреді, өйткені қолжетімді тыңдаушы мен қабылданған кіру екі түрлі нәтиже. Шлюзді қанағаттандырған сәйкестік міндетті түрде дерекқор клиенті ұсынатын сәйкестік емес. Қай тіркелгі келгенін анықтау — бүкіл жұмыс.

Симптом: қолжетімді сервер, қабылданбаған кіру

Тайм-аут пакеттің ешбір тыңдаушыға жетпегенін айтады. Аутентификация қатесі тыңдаушының жауап беріп, тіркелгі деректерін қабылдамағанын айтады. Бұл екі хабарлама сізді әртүрлі командаларға жібереді, ал оларды шатастыру ешқашан мәселе болмаған брандмауэр ережелеріне бір күнді жоғалтады.

Қате кіру сәтсіздігі болса, порттарға қарауды тоқтатыңыз. Қалған сұрақ: клиент қай Windows сәйкестігін ұсынды, сервер сол сәйкестікті қабылдады ма, және ол рұқсаты бар дерекқор пайдаланушысына айналды ма.

Екі сәйкестік, бір туннель

VPN тіркелгісі шлюзде аутентификациядан өтеді және көптеген орналастыруларда сол жерде аяқталады. Дерекқор клиенті бөлек Windows токенін ұсынады, ол оны іске қосатын процестен алынады, немесе қосылым жолы талап етсе SQL кіруін ұсынады. Шлюздегі жергілікті VPN пайдаланушысының SQL Server орналасқан доменмен ешқандай қатысы жоқ, және туннель мұндай қатынас жасамайды.

Жеке машинаны VPN-ге қосу оны доменге де қоспайды. Жергілікті тіркелгінің атын өзгертіп, құпия сөзін домен пайдаланушысына сәйкестендіру тіркеу рәсімі емес, және ол домен контроллері сол пайдаланушы ретінде қабылдамайтын токен жасайды.

Кейбір жергілікті Windows қашықтан қатынау клиенттері профилі солай конфигурацияланған болса, желілік ресурстар үшін VPN тіркелгі деректерін қайта пайдалана алады. Бұл мінез-құлық нақты клиент пен профильге тән, жалпы VPN байланыстарына емес, сондықтан болжаудың орнына пайдаланылып жатқан клиент үшін тексеріңіз.

Клиент сұраған режимді оқыңыз

Қосылым жолы клиенттің қай аутентификация жолын таңдайтынын анықтайды. Кіріктірілген қауіпсіздік Windows токенін пайдаланады; пайдаланушы мен құпия сөз жұбы SQL кіруін таңдайды. Бұлар сервер конфигурациясындағы бөлек режимдер, және берілген қосылу әрекеті үшін олардың тек біреуі ғана қосулы болуы мүмкін.

Server=tcp:sql.lab.example,1433;Database=ops;Integrated Security=SSPI;Encrypt=True;TrustServerCertificate=False;

Windows кіруі сәтсіз болғандықтан SQL кіруіне көшу — сәйкестік сұрағын жасыратын уақытша шешім, және ол әдетте жаңа кіру мен құпия сөзді жасауды бәрібір талап етеді. Егер орналастыру Windows аутентификациясын талап етсе, режимді сақтап, сәйкестік жолын түзетіңіз. SQL кіруіне де өз рұқсаттары қажет, сондықтан уақытша шешім күтімге екінші тіркелгі сатып алады.

Қай қолданбаның қосылып жатқанын да растаңыз. Жүйелік тіркелгі ретінде жұмыс істейтін қызмет, жоспарланған тапсырма және интерактивті сұраныс терезесі бір машинада үш түрлі токен ұсына алады, және соңғысы ғана пайдаланушы whoami іске қосқанда көретін нәрсемен сәйкеседі.

Серверден шын мәнінде нені көргенін сұраңыз

Сервер қай кіруді шешкенін және қосылымның қалай аутентификацияланғанын айта алады. Сұранысты тергеліп жатқан сессияның ішінде орындаңыз, өйткені әкімшінің бөлек сәтті қосылымы сәтсіз клиент туралы ештеңе дәлелдемейді.

SELECT ORIGINAL_LOGIN() AS original_login,
       SUSER_SNAME() AS current_context;
SELECT auth_scheme, net_transport
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Бірінші жол сессияны ашқан кіруді қазір күшіндегі қауіпсіздік контекстінен ажыратады, ал олар бейнелену кезінде өзгеше болады. Екіншісі аутентификация схемасын атайды, сондықтан KERBEROS, NTLM және SQL болжамның орнына көрінетін фактілерге айналады. Kerberos күткен жерде NTLM хабарлайтын қосылым құпия сөз мәселесі емес, атауды шешу немесе SPN мәселесі.

Қате нөмірі оны одан әрі тарылтады. 5 күйі әдетте кіру атауы мүлде шешілмегенін, 8 күйі әдетте құпия сөз сәйкес келмегенін, ал 11 күйі тіркелгі деректері қабылданғанын, бірақ серверге қатынау сәтсіз болғанын білдіреді. Әкімшіден бүкіл хабарламаны емес, күйді сұраңыз, өйткені хабарламаның өзі әдейі бұлыңғыр.

Сәйкестік келгенде және Kerberos әлі де сәтсіз болғанда

Егер сервер көзделген Windows сәйкестігін көріп, кіріктірілген аутентификация әлі де сәтсіз болса, мәселе алмасудан тұрады. Kerberos-қа SQL қызмет тіркелгісі үшін тіркелген қызметтің негізгі атауы (SPN) және қызметті соған сәйкес атаумен сұрайтын клиент қажет. IP мекенжайы арқылы қосылу атауға негізделген SPN-ге сәйкесе алмайды, ал бүркеншік ат ол да тіркелген жағдайда ғана сәйкесе алады. Бәрінен бұрын клиент терген атауды тексеріңіз, өйткені хост атауымен жұмыс істеп, IP-мен сәтсіз аяқталатын қосылым дәл осы мәселені сипаттайды.

Әкімшіден сынау мен қателесу арқылы қайталанған SPN жасаудың орнына тіркелген сәйкестік пен қызмет тіркелгісін қарауды сұраңыз. Қайталанған тіркеулер бастапқы мәселеге қарағанда диагностикалау қиынырақ үзілісті ақаулар туғызады.

Аутентификация жұмыс істегеннен кейін кіруге әлі де дерекқор пайдаланушысы мен рұқсаттар қажет. Сәтті VPN кіруі, сәтті Windows кіруі және белгілі бір кестені оқу рұқсаты — үш бөлек нәтиже, және әрқайсысы билет жабылмас бұрын өз тексерісіне лайық.