Għaliex SQL Server fuq VPN xorta jaqa' lura għal NTLM?

Il-konnessjoni tiegħek taħdem, id-dħul jiġi aċċettat, u SQL Server qed juża NTLM waqt li kulħadd kien qed jistenna Kerberos. Dan ir-riżultat mhuwiex difett tal-VPN, għax mina tipprovdi biss passaġġ; l-iskema ddeċidewha l-isem li talab il-klijent, il-prinċipal imreġistrat fid-direttorju u t-ticket li l-klijent fil-fatt seta' jikseb. Tliet kundizzjonijiet iridu jkunu minnhom fl-istess ħin, u s-sessjoni nnifisha tgħid liema ċediet. Aqra dan qabel ma xi ħadd jeditja isem prinċipali tas-servizz.

Is-sessjoni ssemmi l-iskema li fil-fatt ħadt

L-iskema tal-awtentikazzjoni tappartjeni għal konnessjoni u mhux għal server jew mina, għalhekk il-verifika trid issir fis-sessjoni li tinteressa lilek. Mexxi l-mistoqsija t'hawn taħt mill-istess klijent, għodda u kont li pproduċew ir-rapport, u noti l-isem tal-mira u t-trasport ħdejn ir-riżultat.

SELECT session_id, auth_scheme, net_transport, client_net_address, login_name
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Ringiela minn tieqa SSMS lokali fuq il-host tad-database tiddeskrivi konnessjoni kompletament oħra, u għalhekk il-mistoqsija trid tinġieb minn naħa tal-klijent. Issejvja l-output b'timbru tal-ħin, għax il-persuna li jmiss li taqraha se tistaqsi meta ttieħdet. Meta diversi applikazzjonijiet jaqsmu punt finali wieħed, ħu kampjun minn kull wieħed, għax differenza fis-sors tad-data bejn żewġ applikazzjonijiet spiss tkun l-istorja kollha.

L-ewwel kundizzjoni: l-isem jaqbel mal-SPN?

Kerberos jawtentika servizz imsemmi, għalhekk il-klijent jitlob mid-direttorju ticket għal prinċipal speċifiku wieħed. Għall-fornitur TCP, il-forma dokumentata hija MSSQLSvc/ segwita mill-isem sħiħ tal-host u, għal istanza default, mill-port. Istanza msejħa tirreġistra MSSQLSvc/db01.corp.example:SQLPROD, fejn is-suffiss huwa l-isem tal-istanza minflok numru. Il-ġbid tal-listener permezz ta' alias, CNAME li jiġi riżolt x'imkien ieħor jew indirizz IP mikxuf ibiddel l-isem mitlub, u talba mingħajr prinċipal li jaqbel m'għandhiex ticket x'terga' lura.

Huwa għalhekk li applikazzjoni taħdem fuq netwerk u taqa' lura fuq ieħor: tweġiba DNS, rekord alias jew entrata hosts biddlu l-isem li uża l-klijent. Qabbel l-isem mitlub ma' dak li għandu d-direttorju qabel ma tmiss ir-reġistrazzjoni.

It-tieni kundizzjoni: l-SPN jinsab fuq il-kont it-tajjeb?

SPN irid jappartjeni għall-kont li jmexxi s-servizz SQL, mhux għall-kont tal-klijent u lanqas, b'aċċident, għal oġġett tal-kompjuter. SQL Server jista' jirreġistra l-SPN tiegħu stess fil-bidu meta l-kont tas-servizz tiegħu jkollu l-permess jiktibhom, li huwa konvenjenti u jispjega wkoll kif tidher duplikazzjoni wara bidla fil-kont tas-servizz.

Staqsi lid-direttorju għall-isem li tistenna, imbagħad elenka dak li l-kont fil-fatt jippossjedi. Liema oġġett iżomm l-entrata huwa aktar importanti milli jekk l-isem jeżistix x'imkien fil-foresta. Nuqqas ta' qbil ifisser li d-dħul qatt ma kien il-problema, u l-gwida SPN ta' Microsoft tiddokumenta l-formati u l-każijiet fejn amministratur tad-dominju jrid joħloq l-entrata.

setspn -Q MSSQLSvc/db01.corp.example:1433
setspn -L CORP\svc-sql01

Żieda ta' entrata oħra mhijiex esperiment sikur. Duplikazzjoni jew reġistrazzjoni konfliġġenti tista' tkisser klijenti li kienu qed jaħdmu, għalhekk spezzjona s-sjieda qabel il-bidla u erġa' vverifika wara.

It-tielet kundizzjoni: il-klijent jista' jikseb ticket?

SPN korrett huwa inutli jekk il-klijent ma jistax jasal għal kontrollur tad-dominju jew m'għandux kuntest ta' kredenzjali li jista' jintuża. L-iskambju jeħtieġ il-KDC u d-DNS permezz tal-VPN, u mina li tgħaddi biss il-port SQL tfalli proprju f'dan il-pass. L-aċċessibilità trid tiġi ttestjata mill-istess magna u mill-istess kont, mhux mill-firewall quddiemhom.

Spezzjona l-cache tat-tickets fuq il-magna u taħt il-kont li jmexxi l-applikazzjoni. Lista tal-magna kollha minn tieqa elevata ma tgħid xejn dwar servizz li jaħdem bħala utent ieħor, u cache vojta għal dak l-utent hija sejba u mhux inkonvenjenza.

klist
klist -li 0x3e7

Imbagħad iddeċiedi x'jista' jagħmel rifluġju. Jekk il-politika tirrikjedi Kerberos, NTLM irid jiġi miċħud b'mod espliċitu, għax rifluġju sieket ibiddel żball ta' konfigurazzjoni f'konnessjoni li taħdem li tikser ir-rekwiżit. Jekk NTLM jibqa' aċċettabbli għal xi applikazzjonijiet, semmihom u waqaf milli tqis kull sessjoni NTLM bħala inċident.

Bidla tal-lanċjar hija varjabbli waħda, mhux tiswija

It-tnedija ta' SSMS taħt kredenzjali oħra tista' tfejjaq identità ħierġa mhux mixtieqa, li hija klassi reali ta' problema. Ma tipprova xejn dwar l-isem tal-mira, ir-reġistrazzjoni jew il-passaġġ tat-ticket, u ma tibdilx dak li aċċetta s-server.

Żomm il-paragun ikkontrollat: l-istess punt finali, l-istess fornitur, kuntest ta' eżekuzzjoni magħruf, imbagħad konnessjoni ġdida li tispezzjona l-iskema tagħha. Ikkonferma d-dħul aċċettat u l-permessi tad-database tiegħu separatament, għax l-aċċess u l-awtentikazzjoni jfallu għal raġunijiet differenti.

Meta Kerberos huwa meħtieġ, innota għaliex l-ewwel passaġġ ċeda, applika tiswija waħda u erġa' mexxi l-mistoqsija mill-istess klijent. Mistoqsija b'suċċess wara bidla tal-lanċjar hija prova ta' aċċess, u għadha mhix prova li r-rekwiżit tal-awtentikazzjoni ġie sodisfatt.