поддержка TLS 1.2 для Microsoft SQL Server.

Применяется к: SQL Server
Исходный номер базы знаний: 3135244

Сводка

В этой статье описывается поддержка TLS 1.2 для Microsoft SQL Server. В нем перечислены сборки SQL Server, которые поддерживают TLS 1.2 на стороне сервера, клиентские драйверы и провайдеры, поддерживающие TLS 1.2, обновления .NET Framework, от которых зависят компоненты SQL Server, а также наиболее распространенные ошибки, которые могут возникать, когда требуется TLS 1.2, но компоненты не обновлены. SQL Server 2016, SQL Server 2017, SQL Server 2019 и SQL Server 2022 поддерживают TLS 1.2 в собственном коде и не нуждаются в отдельном обновлении. Версии, вышедшие из периода основной поддержки (SQL Server 2008, 2008 R2, 2012 и 2014), требуют обновлений, перечисленных в таблицах ниже.

Известные уязвимости существуют для протокола SSL и более ранних версий TLS. Используйте TLS 1.2 (или TLS 1.3, где поддерживается) для безопасного взаимодействия. В текущих выпусках Windows Client и Windows Server протоколы TLS 1.0 и TLS 1.1 по умолчанию отключены, поэтому клиентские и серверные компоненты должны поддерживать TLS 1.2 или более поздние версии для подключения.

Проверьте, требуется ли это обновление

Используйте следующую таблицу, чтобы проверить, поддерживает ли текущая версия SQL Server tls 1.2 или необходимо ли установить обновление, чтобы включить поддержку TLS 1.2. Используйте ссылки на скачивание в таблице, чтобы получить обновления сервера, которые применяются к вашей среде.

Скачивание компонентов клиента

Используйте следующую таблицу, чтобы скачать клиентские компоненты и обновления драйверов, применимые к вашей среде.

Поддержка драйвера клиента и поставщика для TLS 1.2

В следующей таблице приведены сведения о поддержке TLS 1.2 в SQL Server драйверах и поставщиках:

Дополнительные исправления, необходимые SQL Server для использования TLS 1.2

Установите следующие накопительные пакеты исправлений .NET, чтобы позволить SQL Server функциям, основанным на конечных точках .NET, использовать TLS 1.2. Примеры включают Database Mail и компоненты служб SSIS, такие как задача веб-службы.

Часто задаваемые вопросы

Поддерживает ли SQL Server 2016 и более поздних версий TLS 1.1?

SQL Server 2016, SQL Server 2017 в Windows, SQL Server 2019 в Windows и SQL Server 2022 поддерживает TLS 1.0 по TLS 1.2. Версии TLS, используемые клиентами, зависят от того, что включает базовая Windows операционная система. В текущих выпусках Windows протокол TLS 1.0 и TLS 1.1 по умолчанию отключены. Если вы хотите разрешить только TLS 1.2 (или более поздней версии), отключите старые протоколы в Schannel.

Разрешает ли SQL Server 2019 подключения, использующие TLS 1.0 или 1.1 или только 1.2?

SQL Server 2019 имеет тот же уровень поддержки TLS, что и SQL Server 2016 и SQL Server 2017. SQL Server 2019 RTM поставляется с поддержкой TLS 1.2, и для ее включения не требуется никаких других обновлений или исправлений. Настройки Schannel в операционной системе определяют, какие версии TLS клиенты могут фактически использовать.

Подвержен ли TDS известным уязвимостям?

Для реализации Microsoft TDS отсутствуют известные уязвимости. Поскольку в нескольких организациях по обеспечению соблюдения стандартов требуется использование TLS 1.2 для зашифрованных каналов связи, Microsoft освобождает поддержку TLS 1.2 для широко распространенной базы установки SQL Server.

Как Microsoft распространять обновления TLS 1.2 клиентам?

В этой статье содержатся ссылки на скачивание для соответствующих обновлений сервера и клиента, поддерживающих TLS 1.2.

Поддерживает ли TLS 1.2 SQL Server 2005?

Поддержка TLS 1.2 доступна только для SQL Server 2008 и более поздних версий.

Затронуты ли клиенты, которые не используют протокол SSL/TLS, если на сервере отключены протоколы SSL 3.0 и TLS 1.0?

Да. SQL Server шифрует имя пользователя и пароль во время проверки подлинности, даже если безопасный канал связи не используется. Обновление TLS 1.2 необходимо для любого экземпляра SQL Server, где единственным включенным протоколом на сервере является TLS 1.2.

Какие версии Windows Server поддерживают TLS 1.2?

Windows Server 2008 R2 и более поздних версий поддерживают TLS 1.2.

Какой правильный параметр реестра позволяет включить протокол TLS 1.2 для SQL Server связи?

Правильные параметры реестра приведены следующим образом:

• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

Эти параметры необходимы как для серверов, так и для клиентских компьютеров. Параметры DisabledByDefault и Enabled необходимо создать на клиентах Windows 7 и серверах Windows Server 2008 R2. В Windows 8 и более поздних версиях клиентских операционных систем или сервера Windows Server 2012 и более поздних версиях операционных систем сервера протокол TLS 1.2 уже должен быть включен. Если вы реализуете политику развертывания для реестра Windows, которая должна быть независимой от выпуска ОС, добавьте указанные разделы реестра в политику.

Кроме того, если вы используете Database Mail на вашем SQL Server, вам также необходимо задать следующие ключи реестра .NET:

• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Известные проблемы

SSMS, сервер отчетов и диспетчер отчетов не могут подключиться после применения исправления TLS 1.2

SQL Server Management Studio (SSMS), сервер отчетов и диспетчер отчетов не подключаются к ядру СУБД после применения исправления для SQL Server 2008, 2008 R2, 2012 или 2014. Сбой сервера отчетов и диспетчера отчетов и возврат следующего сообщения об ошибке:

Серверу отчетов не удается установить соединение с базой данных сервера отчетов. Для выполнения запросов и обработки данных требуется соединение с базой данных». (rsReportServerDatabaseUnavailable)

Эта проблема возникает из-за того, что SSMS, Диспетчер отчетов и диспетчер конфигурации служб Reporting Services используют ADO.NET, а поддержка TLS 1.2 в ADO.NET доступна только в .NET Framework 4.6. Для более ранних версий платформы .NET Framework необходимо применить обновление Windows, чтобы ADO.NET могли поддерживать обмен данными TLS 1.2 для клиента. Обновления Windows, которые поддерживают поддержку TLS 1.2 в более ранних версиях платформы .NET, перечислены в таблице в разделе Check, требуется ли это обновление.

Сбой предварительного подтверждения соединения перед входом в Reporting Services Configuration Manager

Reporting Services Configuration Manager сообщает следующее сообщение об ошибке даже после обновления поставщиков клиентов до версии, поддерживающей TLS 1.2:

Не удалось подключиться к серверу: подключение было успешно установлено к серверу, но произошла ошибка во время подтверждения входа.

Чтобы устранить эту проблему, вручную создайте следующий раздел реестра на компьютере, на котором установлен Reporting Services Configuration Manager:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

Сбой связи с зашифрованной конечной точкой для групп доступности, зеркального отображения базы данных или компонента Service Broker

Обмен данными с зашифрованной конечной точкой, использующим TLS 1.2, завершается сбоем при использовании зашифрованных подключений для групп доступности, зеркального отображения базы данных или компонента Service Broker в SQL Server. Сообщение об ошибке, похожее на следующее, регистрируется в журнале ошибок SQL:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.

Дополнительные сведения об этой проблеме см. в статье FIX: обмен данными с зашифрованной конечной точкой с TLS 1.2 завершается сбоем при использовании SQL Server.

Ошибки при установке SQL Server 2012 или 2014 с включенным TLS 1.2

При попытке установить SQL Server 2012 или SQL Server 2014 на сервере с включенным протоколом TLS 1.2 возникают различные ошибки.

Дополнительные сведения см. в статье FIX: Ошибка при установке SQL Server 2012 или SQL Server 2014 на сервере с включенным протоколом TLS 1.2.

Зашифрованное подключение для зеркального отображения базы данных или групп доступности не работает при использовании сертификата MD5

Зашифрованное соединение с зеркальным отображением базы данных или группами доступности не работает при использовании сертификата после отключения всех остальных протоколов, отличных от TLS 1.2. Может появиться одно или оба из следующих сообщений об ошибках.

Сообщение об ошибке, похожее на следующее, регистрируется в журнале ошибок SQL Server:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'

Сообщение об ошибке, похожее на следующее, регистрируется в журнале событий Windows:

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36888
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      ------------
Description:
A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36874
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      -----------
Description:
An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.

Эта проблема возникает из-за того, что группы доступности и зеркальное отображение базы данных требуют сертификата, который не использует алгоритмы хэша фиксированной длины, например MD5. Алгоритмы хэширования фиксированной длины не поддерживаются в TLS 1.2.

Дополнительные сведения см. в разделе FIX: обмен данными с помощью хэш-алгоритма MD5 завершается сбоем, если SQL Server использует TLS 1.2.

Периодическое завершение работы службы SQL Server в SQL Server 2008 и 2008 R2

Следующие версии ядра базы данных SQL Server подвержены проблеме периодического завершения работы службы, о которой сообщается в статье базы знаний 3146034. Чтобы защитить себя от проблемы с завершением службы, установите обновления TLS 1.2 для SQL Server, упомянутых в этой статье, если версия SQL Server указана в следующей таблице:

Database Mail не работает с TLS 1.2

Сбой Database Mail сопровождается следующей ошибкой:

Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: сведения о конфигурации почты не удалось считывать из базы данных. Не удается запустить сеанс почты.

Дополнительные сведения см. в разделе Другие исправления, необходимые для использования TLS 1.2 в SQL Server.

SCCM не удается подключиться к SQL Server после включения TLS 1.2

System Center Configuration Manager (SCCM) не может подключиться к SQL Server после включения протокола TLS 1.2 в SQL Server. В этом случае вы получите следующее сообщение об ошибке:

Поставщик TCP: "Существующее соединение было принудительно завершено удаленным узлом"

Эта проблема может возникать, если SCCM использует драйвер собственного клиента SQL Server, который не имеет исправления. Чтобы устранить эту проблему, скачайте и установите исправление клиента, указанное в разделе загрузки компонентов клиента . Например, Microsoft SQL Server 2012 Native Client — QFE.

Чтобы узнать, какой драйвер SCCM используется для подключения к SQL Server, просмотрите журнал SCCM, как показано в следующем примере:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>