Il-VPN jgħaqqad, imma SQL Server jirrifjuta l-awtentikazzjoni ta’ Windows

It-tunnels jogħlew, is-servers iwieġbu għall-ping, u d-dħul fid-database xorta jonqos b’żball ta’ awtentikazzjoni. Dan il-għaqda huwa komuni fuq konnessjonijiet VPN u rari jfisser li n-netwerk huwa miksura, għax semmiegħ aċċessibbli u dħul aċċettat huma żewġ riżultati differenti. L-identità li sodisfat il-gateway mhijiex neċessarjament l-identità li joffri l-klijent tad-database. Li wieħed isib liema kont wasal huwa x-xogħol kollu.

Is-sintomu: server aċċessibbli, dħul miċħud

Timeout jgħidlek li l-pakkett qatt ma wasal għand semmiegħ. Żball ta’ awtentikazzjoni jgħidlek li s-semmiegħ wieġeb u rrifjuta l-kredenzjali. Dawn iż-żewġ messaġġi jibagħtuk għand timijiet differenti, u li tħallathom iqatta’ jum fuq regoli tal-firewall li qatt ma kienu l-problema.

Meta l-iżball huwa dħul fallut, waqqaf milli tħares lejn il-portijiet. Il-mistoqsija li tibqa’ hija liema identità ta’ Windows ippreżenta l-klijent, jekk is-server aċċettax dik l-identità, u jekk din ġietx riżolta fi utent tad-database li għandu permess.

Żewġ identitajiet, tunnel wieħed

Il-kont tal-VPN jawtentika ruħu mal-gateway u fil-biċċa l-kbira tal-implimentazzjonijiet jieqaf hemm. Il-klijent tad-database jippreżenta separat token ta’ Windows, meħud mill-proċess li jmexxih, jew dħul SQL jekk is-sekwenza tal-konnessjoni titlob wieħed. Utent VPN lokali għall-gateway m’għandu l-ebda relazzjoni mad-dominju li jospita SQL Server, u t-tunnel ma joħloqx waħda.

Li tqabbad magna personali ma’ VPN lanqas iddaħħalha fid-dominju. Li tibdel l-isem ta’ kont lokali u tqabbel il-password tiegħu ma’ utent tad-dominju mhix proċedura ta’ reġistrazzjoni, u tipproduċi token li l-kontrollur tad-dominju mhux se jaċċetta bħala dak l-utent.

Xi klijenti nattivi tal-aċċess mill-bogħod ta’ Windows jistgħu jerġgħu jużaw il-kredenzjali tal-VPN għal riżorsi tan-netwerk meta l-profil tagħhom ikun ikkonfigurat hekk. Dan l-imġiba tappartjeni għal klijent u profil speċifiċi, mhux għall-konnessjonijiet VPN b’mod ġenerali, għalhekk ivverifikaha għall-klijent li qed jintuża minflok ma tassumiha.

Aqra l-mod li talab il-klijent

Is-sekwenza tal-konnessjoni tiddetermina liema triq ta’ awtentikazzjoni tieħu l-klijent. Is-sigurtà integrata tuża t-token ta’ Windows; par ta’ utent u password jagħżel dħul SQL. Dawn huma modi separati fil-konfigurazzjoni tas-server, u wieħed biss minnhom jista’ jkun attivat għal tentattiv ta’ konnessjoni partikolari.

Server=tcp:sql.lab.example,1433;Database=ops;Integrated Security=SSPI;Encrypt=True;TrustServerCertificate=False;

Li taqleb għal dħul SQL għax id-dħul ta’ Windows falla hija soluzzjoni temporanja li taħbi l-mistoqsija tal-identità, u normalment xorta teħtieġ li jinħoloq dħul u password ġodda. Jekk l-implimentazzjoni teħtieġ awtentikazzjoni ta’ Windows, żomm il-mod u sewwi t-triq tal-identità. Id-dħul SQL jeħtieġ ukoll il-permessi tiegħu stess, għalhekk is-soluzzjoni temporanja tixtri tieni kont x’wieħed iżomm.

Ivverifika wkoll liema applikazzjoni qed tikkonnettja. Servizz li jaħdem bħala kont tas-sistema, kompitu skedat u tieqa ta’ mistoqsija interattiva jistgħu jippreżentaw tliet tokens differenti fuq l-istess magna, u l-aħħar wieħed biss jaqbel ma’ dak li jara l-utent meta jħaddem whoami.

Staqsi lis-server x’ra tassew

Is-server jista’ jgħidlek liema dħul irriżolva u kif il-konnessjoni ġiet awtentikata. Mexxi l-mistoqsija ġewwa s-sessjoni li qed tiġi investigata, għax konnessjoni ta’ suċċess separata mill-amministratur ma tipprova xejn dwar il-klijent li qed jonqos.

SELECT ORIGINAL_LOGIN() AS original_login,
       SUSER_SNAME() AS current_context;
SELECT auth_scheme, net_transport
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

L-ewwel ringiela tiddistingwi d-dħul li fetaħ is-sessjoni mill-kuntest tas-sigurtà fis-seħħ bħalissa, u dawn huma differenti taħt impersonazzjoni. It-tieni ssemmi l-iskema tal-awtentikazzjoni, għalhekk KERBEROS, NTLM u SQL isiru fatti viżibbli minflok suppożizzjonijiet. Konnessjoni li tirrapporta NTLM fejn kont qed tistenna Kerberos hija problema ta’ riżoluzzjoni tal-ismijiet jew ta’ SPN, mhux problema ta’ password.

In-numru tal-iżball idawwarha aktar. L-istat 5 normalment ifisser li l-isem tad-dħul ma ġiex riżolt xejn, l-istat 8 normalment ifisser li l-password ma qabblitx, u l-istat 11 ifisser li l-kredenzjali ġew aċċettati imma l-aċċess għas-server falla. Itlob lill-amministratur l-istat minflok il-messaġġ kollu, għax il-messaġġ waħdu huwa vag b’mod intenzjonat.

Meta l-identità tasal u Kerberos xorta jonqos

Jekk is-server jara l-identità ta’ Windows intiża u l-awtentikazzjoni integrata xorta tonqos, il-problema hija l-iskambju stess. Kerberos jeħtieġ l-isem prinċipali tas-servizz irreġistrat għall-kont tas-servizz SQL u klijent li jitlob is-servizz b’isem li jaqbel miegħu. Li tikkonnettja b’indirizz IP ma jistax jaqbel ma’ SPN ibbażat fuq l-isem, u alias jista’ jaqbel biss jekk ikun irreġistrat ukoll. Iċċekkja l-isem li daħħal il-klijent qabel kull ħaġa oħra, għax konnessjoni li taħdem bl-isem tal-host u tonqos bl-IP tiddeskrivi eżatt din il-problema.

Itlob lill-amministratur jirrevedi l-identità rreġistrata u l-kont tas-servizz minflok ma joħloq SPNs doppji bil-prova u l-iżball. Reġistrazzjonijiet doppji jipproduċu fallimenti intermittenti li huma aktar diffiċli biex jiġu dijanjostikati mill-problema oriġinali.

Ladarba l-awtentikazzjoni taħdem, id-dħul xorta jeħtieġ utent tad-database u permessi. Dħul VPN ta’ suċċess, dħul ta’ Windows ta’ suċċess u l-permess li taqra tabella partikolari huma tliet riżultati separati, u kull wieħed jistħoqqlu l-verifika tiegħu qabel ma jingħalaq it-ticket.