Maxay SQL Server VPN-ka uga sii noqdaa NTLM?

Xiriirkaagu wuu shaqeeyaa, gelitaanka waa la aqbalay, SQL Server-na wuxuu isticmaalayaa NTLM halka qof walba uu filayay Kerberos. Natiijadaas ma aha cillad VPN, sababtoo ah tunnel-ku wuxuu bixiyaa oo kaliya waddo; nidaamka waxaa go'aamiyay magaca uu macmiilku codsaday, maamulaha diiwaanka lagu diiwaangeliyay iyo tikitka uu macmiilku dhab ahaan heli karay. Saddex shuruudood waa inay isku mar ahaadaan, jiritaankuna wuxuu sheegayaa midka u hoggaansamay. Akhri tan ka hor inta qof uu wax ka beddelo magaca maamulaha adeegga.

Jiritaanku wuxuu magacaabayaa nidaamka aad dhab ahaan heshay

Nidaamka aqoonsiga wuxuu ka tirsan yahay xiriir, ma aha server ama tunnel, sidaas darteed hubinta waa in lagu dhex socodsiiyaa jiritaanka aad danaynayso. Fulinta weydiinta hoose isla macmiilka, qalabka iyo akoonka soo saaray warbixinta, oo ku qor magaca bartilmaameedka iyo gaadiidka natiijada agteeda.

SELECT session_id, auth_scheme, net_transport, client_net_address, login_name
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Sadar ka timid daaqad SSMS maxalli ah oo ku taal martigaadka xogta ayaa qeexaya xiriir gabi ahaan ka duwan, sidaas darteed weydiinta waa in laga fuliyaa dhinaca macmiilka. Kaydi natiijada iyada oo leh shaambad waqti, sababtoo ah qofka xiga ee akhrin doona wuxuu weydiin doonaa goorta la qaaday. Marka barnaamijyo badan ay wadaagaan hal barta dhammaadka, ka qaado muunad mid kasta, sababtoo ah farqiqa isha xogta ee u dhexeeya laba barnaamij ayaa inta badan sheekada oo dhan ah.

Shuruudda koowaad: magacu ma la mid yahay SPN?

Kerberos wuxuu aqoonsadaa adeeg magac leh, sidaas darteed macmiilku wuxuu diiwaanka ka codsadaa tikit hal maamule gaar ah. Bixiyaha TCP qaabka la diiwaangeliyay waa MSSQLSvc/ oo ay ku xigto magaca martigaadka oo buuxa iyo, tusaalaha caadiga ah, dekedda. Tusaale magac leh wuxuu diiwaangeliyaa MSSQLSvc/db01.corp.example:SQLPROD, halkaas oo daba-galku yahay magaca tusaalaha halkii lambar. Gaaritaanka dhagaystaha iyada oo loo marayo magac kale, CNAME meel kale lagu xalliyo ama cinwaan IP qaawan ayaa beddela magaca la codsaday, codsiga aan lahayn maamule u dhiganta ma laha tikit uu celiyo.

Taas ayaa sabab u ah in hal barnaamij uu ka shaqeeyo hal shabakad oo uu ku noqdo mid kale: jawaabta DNS, diiwaanka magaca kale ama gelitaanka hosts ayaa beddelay magaca uu macmiilku isticmaalay. Isbarbar dhig magaca la codsaday iyo waxa diiwaanku hayo ka hor intaadan taaban diiwaangelinta.

Shuruudda labaad: SPN ma ku yaal akoonka saxda ah?

SPN waa inuu lahaadaa akoonka socodsiiya adeegga SQL, ma aha akoonka macmiilka iyo si shil ah ma aha shay kombuyuutar. SQL Server wuxuu diiwaangelin karaa SPN-yadiisa marka la bilaabayo haddii akoonka adeeggiisu uu leeyahay fasax uu ku qoro, taas oo wanaagsan oo sidoo kale sharraxaysa sida nuqul u soo baxo ka dib beddelka akoonka adeegga.

Weydii diiwaanka magaca aad filayso, ka dib liis waxa akoonku dhab ahaan leeyahay. Shay tee ayaa qabta gelitaanka ayaa muhiim ka ah in magacu meel ku jiro kaynta. Is-waafaqi la'aan waxay ka dhigan tahay gelitaanku waligiis ma ahayn dhibaatada, iyo hagaha SPN ee Microsoft wuxuu diiwaangeliyay qaababka iyo kiisaska uu maamulaha domainku ku abuuro gelitaanka.

setspn -Q MSSQLSvc/db01.corp.example:1433
setspn -L CORP\svc-sql01

Ku darista gelitaan kale ma aha tijaabo ammaan ah. Nuqul ama diiwaangelin is khilaafsan ayaa jebin kara macmiillada shaqeynayay, sidaas darteed baadh lahaanshaha ka hor beddelka oo dib u hubi ka dib.

Shuruudda saddexaad: macmiilku ma heli karaa tikit?

SPN sax ah waa waxba ma leh haddii macmiilku uusan gaari karin kontoroolka domain ama uusan lahayn macnaha aqoonsiga la isticmaali karo. Is-dhaafsiga wuxuu u baahan yahay KDC iyo DNS iyada oo loo marayo VPN, tunnel-ka kaliya u mara dekedda SQL wuxuu ku guuldareystaa isla tallaabadan. Gaaritaanku waa in laga tijaabiyaa isla mashiinka iyo isla akoonka, ma aha derbiga dabka ee hortooda.

Baadh kaydka tikitka mashiinka iyo hoosta akoonka socodsiiya barnaamijka. Liiska mashiinka oo dhan oo ka yimid daaqad sare waxba kama sheegto adeeg ku socda isticmaale kale, kayd madhan oo isticmaalahaasna waa natiijo ma aha dhib.

klist
klist -li 0x3e7

Ka dib go'aanso waxa dib u noqosho samayn karto. Haddii siyaasaddu u baahan tahay Kerberos, NTLM waa in si cad loo diido, sababtoo ah dib u noqosho aamusan ayaa khalad qaabeynta u beddela xiriir shaqeeya oo jebiya shuruudda. Haddii NTLM uu qaar ka mid ah barnaamijyada u ahaado mid la aqbali karo, magacaab iyaga oo jooji inaad jiritaan kasta oo NTLM u qaadato dhacdo.

Beddelka bilaabaha waa hal doorsoome, ma aha hagaajin

Bilaabista SSMS iyada oo loo marayo aqoonsi kale waxay daweyn kartaa aqoonsiga baxa ee aan la dooneyn, taas oo ah fasalka dhabta ah ee dhibaatada. Waxba ma caddeyso magaca bartilmaameedka, diiwaangelinta ama wadada tikitka, mana beddesho waxa serverku aqbalay.

Isbarbardhigga ku hay xakameyn: isla barta dhammaadka, isla bixiyaha, macnaha fulinta la yaqaan, ka dib xiriir cusub oo aad baadho nidaamkiisa. Si gooni ah u xaqiiji gelitaanka la aqbalay iyo fasaxyada xogta ee uu leeyahay, sababtoo ah gelitaanka iyo aqoonsiga waxay ku guuldareystaan sababo kala duwan.

Marka Kerberos loo baahan yahay, qor sababta wadada koowaad u noqotay, ku dhaqan hal hagaajin oo dib u fuli weydiinta isla macmiilka. Weydiin guulaysatay ka dib beddelka bilaabaha waa caddayn gelitaan, welina ma aha caddayn in shuruudda aqoonsiga la buuxiyay.