Microsoft SQL Server için TLS 1.2 desteği

Şunlar için geçerlidir: SQL Server
Özgün KB numarası: 3135244

Giriş

Bu makale, Microsoft'un Windows, SQL Server 2016, SQL Server 2014, SQL Server 2012, SQL Server 2008 ve SQL Server 2008 R2'de SQL Server 2017 için TLS 1.2 desteğini etkinleştirmek üzere yayımlamış olduğu güncelleştirmeler hakkında bilgi sağlar. Bu makalede desteklenen istemci sağlayıcıları da listelenir. SQL Server 2016, SQL Server 2017 ve SQL Server 2019, güncelleştirmeye gerek kalmadan TLS 1.2'yi destekler.

Güvenli Yuva Katmanı (SSL) ve Aktarım Katmanı Güvenliği'nin (TLS) önceki sürümlerinde çeşitli bilinen güvenlik açıkları bildirilmiştir. Güvenli iletişim için TLS 1.2 sürümüne yükseltmenizi öneririz.

Bu güncelleştirmeye ihtiyacınız olup olmadığını öğrenme

Geçerli SQL Server sürümünüzün TLS 1.2'yi zaten destekleyip desteklemediğini veya TLS 1.2 desteğini etkinleştirmek için bir güncelleştirme indirmeniz gerekip gerekmediğini belirlemek için aşağıdaki tabloyu kullanın. Ortamınıza uygun sunucu güncelleştirmelerini almak için tablodaki indirme bağlantılarını kullanın.

İstemci bileşeni indirmeleri

Ortamınız için geçerli olan istemci bileşenlerini ve sürücü güncelleştirmelerini indirmek için aşağıdaki tabloyu kullanın.

SQL Server TLS 1.2 kullanması için gereken ek düzeltmeler

Veritabanı Postası gibi SQL Server özellikleri ve TLS 1.2'yi kullanmak için Web Hizmeti görevi gibi TLS 1.2 desteği gerektiren .NET uç noktalarını kullanan bazı SSIS bileşenlerini etkinleştirmek için aşağıdaki .NET düzeltme paketlerini yüklemeniz gerekir.

Sık sorulan sorular

• TLS 1.1, SQL Server 2016 ve sonraki sürümlerde destekleniyor mu?

  Evet. SQL Server 2016, Windows'da SQL Server 2017 ve Windows sürümlerinde SQL Server 2019 TLS 1.0 ile TLS 1.2 desteğiyle birlikte gönderilmektedir. İstemci-sunucu iletişimi için yalnızca TLS 1.2 kullanmak istiyorsanız TLS 1.0 ve 1.1'i devre dışı bırakmanız gerekir.

• SQL Server 2019, TLS 1.0 veya 1.1 veya yalnızca 1.2 kullanan bağlantılara izin verir mi?

  SQL Server 2019, SQL Server 2016 ve SQL Server 2017 ile aynı destek düzeyine sahiptir ve SQL Server 2019 TLS'nin eski sürümlerini destekler. SQL Server 2019 RTM TLS 1.2 desteğiyle birlikte gönderilir ve TLS 1.2 desteğini etkinleştirmek için başka bir güncelleştirme veya düzeltme gerekmez.

• TDS bilinen güvenlik açıklarından etkileniyor mu?

  Microsoft TDS uygulaması için bilinen bir güvenlik açığı bildirilmemiştir. Birkaç standart uygulama kuruluşu şifrelenmiş iletişim kanalları için TLS 1.2 kullanımını yönetdiğinden, Microsoft yaygın SQL Server yükleme tabanı için TLS 1.2 desteğini yayınlıyor.

• TLS 1.2 güncelleştirmeleri müşterilere nasıl dağıtılacak?

  Bu makalede, TLS 1.2'yi destekleyen uygun sunucu ve istemci güncelleştirmeleri için indirme bağlantıları sağlanır.

• TLS 1.2, 2005 SQL Server destekliyor mu?

  TLS 1.2 desteği yalnızca SQL Server 2008 ve sonraki sürümler için sunulmaktadır.

• SUNUCUDA SSL 3.0 ve TLS 1.0 devre dışı bırakılırsa SSL/TLS kullanmayan müşteriler etkilenir mi?

  Evet. SQL Server, güvenli bir iletişim kanalı kullanılmasa bile oturum açma sırasında kullanıcı adını ve parolayı şifreler. Bu güncelleştirme, güvenli iletişim kullanmayan ve sunucuda TLS 1.2 dışında diğer tüm protokolleri devre dışı bırakılmış tüm SQL Server örnekleri için gereklidir.

• Windows Server'ın hangi sürümleri TLS 1.2'i destekler?

  Windows Server 2008 R2 ve sonraki sürümleri TLS 1.2'yi destekler.

• SQL Server iletişim için TLS 1.2'yi etkinleştirmek için doğru kayıt defteri ayarı nedir?

  Doğru kayıt defteri ayarları aşağıdaki gibidir:

  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

  Bu ayarlar hem sunucu hem de istemci bilgisayarlar için gereklidir. ve Enabled ayarlarının DisabledByDefault Windows 7 istemcilerinde ve Windows Server 2008 R2 sunucularında oluşturulması gerekir. İstemci işletim sistemlerinin veya Windows Server 2012 sunucusunun Windows 8 ve sonraki sürümlerinde ve sunucu işletim sistemlerinin sonraki sürümlerinde TLS 1.2 zaten etkinleştirilmelidir. Windows Kayıt Defteri için işletim sistemi sürümünden bağımsız olması gereken bir dağıtım ilkesi uyguluyorsanız, söz konusu kayıt defteri anahtarlarını ilkeye eklemenizi öneririz. Ayrıca, SQL Server Veritabanı Postası kullanıyorsanız, aşağıdaki .NET kayıt defteri anahtarlarını da ayarlamanız gerekir:

  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Bilinen sorunlar

• Sorun 1

  SQL Server Management Studio (SSMS), Rapor Sunucusu ve Rapor Yöneticisi, SQL Server 2008, 2008 R2, 2012 veya 2014 düzeltmesini uyguladıktan sonra veritabanı altyapısına bağlanmaz. Rapor Sunucusu ve Rapor Yöneticisi başarısız olur ve aşağıdaki hata iletisini döndürür:

  Rapor sunucusu, rapor sunucusu veritabanına bağlantı açamıyor. Tüm istekler ve işleme için veritabanı bağlantısı gereklidir. (rsReportServerDatabaseUnavailable)

  SSMS, Rapor Yöneticisi ve Reporting Services Configuration Manager ADO.NET kullandığından ve TLS 1.2 için ADO.NET desteği yalnızca .NET Framework 4.6'da kullanılabildiğinden bu sorun oluşur. .NET Framework önceki sürümlerinde, ADO.NET istemci için TLS 1.2 iletişimini destekleyebilecek bir Windows güncelleştirmesi uygulamanız gerekir. .NET framework'ün önceki sürümlerinde TLS 1.2 desteğini etkinleştiren Windows güncelleştirmeleri , Bu güncelleştirmeye ihtiyacınız olup olmadığını öğrenme bölümündeki tabloda listelenmiştir.

• Sorun 2

  Reporting Services Configuration Manager, istemci sağlayıcıları TLS 1.2'yi destekleyen bir sürüme güncelleştirildikten sonra bile aşağıdaki hata iletisini bildirir:

  Sunucuya bağlanılamadı: Sunucuyla bağlantı başarıyla kuruldu, ancak oturum açma öncesi el sıkışması sırasında bir hata oluştu.

  

  Bu sorunu çözmek için Reporting Services Configuration Manager barındıran sistemde aşağıdaki kayıt defteri anahtarını el ile oluşturun:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

• Sorun 3

  SQL Server'da Kullanılabilirlik Grupları, Veritabanı Yansıtma veya Hizmet Aracısı için şifrelenmiş iletişimler kullandığınızda TLS 1.2 kullanan şifrelenmiş uç nokta iletişimi başarısız olur. SQL hata günlüğüne aşağıdakine benzer bir hata iletisi kaydedilir:

  Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.
  

  Bu sorun hakkında daha fazla bilgi için bkz. DÜZELTME: SQL Server kullandığınızda TLS 1.2 ile şifrelenmiş uç nokta iletişimi başarısız oluyor.

• Sorun 4

  TLS 1.2 etkinleştirilmiş bir sunucuya SQL Server 2012 veya SQL Server 2014 yüklemeye çalıştığınızda çeşitli hatalar oluşur.

  Daha fazla bilgi için bkz. DÜZELTME: TLS 1.2 etkinleştirilmiş bir sunucuya SQL Server 2012 veya SQL Server 2014 yüklediğinizde hata.

• Sorun 5

  TLS 1.2 dışındaki tüm protokolleri devre dışı bırakdıktan sonra sertifika kullandığınızda Veritabanı Yansıtma veya Kullanılabilirlik Grupları ile şifrelenmiş bir bağlantı çalışmaz. Aşağıdakine benzer bir hata iletisi SQL Server hata günlüğüne kaydedilir:

  TLS 1.2 dışındaki tüm protokolleri devre dışı bırakdıktan sonra sertifika kullandığınızda Veritabanı Yansıtma veya Kullanılabilirlik Grupları ile şifrelenmiş bir bağlantı çalışmaz. Aşağıdaki belirtilerden birini fark edebilirsiniz:

  • Belirti 1:

    Aşağıdakine benzer bir hata iletisi SQL Server hata günlüğüne kaydedilir:

    Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'
    

  • Belirti 2:

    Windows olay günlüğüne aşağıdakine benzer bir hata iletisi kaydedilir:

    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36888
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      ------------
    Description:
    A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.
    
    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36874
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      -----------
    Description:
    An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.
    

    Kullanılabilirlik Grupları ve Veritabanı Yansıtma, MD5 gibi sabit uzunlukta karma algoritmaları kullanmayan bir sertifika gerektirdiği için bu sorun oluşur. SABIT uzunluk karma algoritmaları TLS 1.2'de desteklenmez.

  Daha fazla bilgi için bkz. DÜZELTME: SQL Server TLS 1.2 kullanıyorsa MD5 karma algoritması kullanılarak iletişim başarısız oluyor.

• Sorun 6

  Aşağıdaki SQL Server veritabanı altyapısı sürümleri, 3146034 Bilgi Bankası makalesinde bildirilen aralıklı hizmet sonlandırma sorunundan etkilenir. Müşterilerin kendilerini hizmet sonlandırma sorunundan korumaları için, SQL Server sürümleri aşağıdaki tabloda listeleniyorsa, bu makalede bahsedilen SQL Server için TLS 1.2 güncelleştirmelerini yüklemelerini öneririz:

  SQL Server sürümü	Etkilenen sürüm
  SQL Server 2008 R2 SP3 (x86 ve x64)	10.50.6537.0
  SQL Server 2008 R2 SP2 GDR (yalnızca IA-64)	10.50.4046.0
  SQL Server 2008 R2 SP2 (yalnızca IA-64)	10.50.4343.0
  SQL Server 2008 SP4 (x86 ve x64)	10.0.6543.0
  SQL Server 2008 SP3 GDR (yalnızca IA-64)	10.0.5544.0
  SQL Server 2008 SP3 (yalnızca IA-64)	10.0.5894.0

• Sorun 7

  Veritabanı Postası TLS 1.2 ile çalışmaz. Veritabanı Postası aşağıdaki hatayla başarısız oluyor:

  Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: Posta yapılandırma bilgileri veritabanından okunamadı. Posta oturumu başlatılamıyor.

  Daha fazla bilgi için bkz. SQL Server TLS 1 kullanması için gereken ek düzeltmeler.

İstemcide veya sunucuda TLS 1.2 güncelleştirmeleri eksik olduğunda karşılaşabileceğiniz yaygın hatalar

Sorun 1

SQL Server TLS 1.2 protokolü etkinleştirildikten sonra System Center Configuration Manager (SCCM) SQL Server bağlanamıyor. Bu durumda, aşağıdaki hata iletisini alırsınız.

TCP Sağlayıcısı: Var olan bir bağlantı uzak konak tarafından zorla kapatıldı

Bu sorun, SCCM düzeltmesi olmayan bir SQL Server Native Client sürücüsü kullandığında oluşabilir. Bu sorunu çözmek için İstemci bileşeni indirmeleri bölümünde listelenen istemci düzeltmesini indirin ve yükleyin. Örneğin, Microsoft® SQL Server ® 2012 Native Client - QFE.

Aşağıdaki örnekte gösterildiği gibi SCCM günlüğünü görüntüleyerek SQL Server bağlanmak için hangi sürücü SCCM kullandığını öğrenebilirsiniz:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>