对 Microsoft SQL Server 的 TLS 1.2 支持

适用于： SQL Server
原始 KB 编号： 3135244

简介

本文提供有关 Microsoft 发布用于在 Windows、SQL Server 2016、SQL Server SQL Server 2014、SQL Server 2012、SQL Server 2008 和 SQL Server 2008 R2 上启用 TLS 1.2 支持的更新的信息。 本文还列出了支持的客户端提供程序。 SQL Server 2016、SQL Server 2017 和 SQL Server 2019 支持 TLS 1.2，无需更新。

已针对安全套接字层 (SSL) 和早期版本的传输层安全性 (TLS) 报告了多个已知漏洞。 建议升级到 TLS 1.2 以确保安全通信。

如何知道是否需要此更新

使用下表确定当前版本的 SQL Server 是否已支持 TLS 1.2，或者是否必须下载更新才能启用 TLS 1.2 支持。 使用表中的下载链接获取适用于你的环境的服务器更新。

客户端组件下载

使用下表下载适用于环境的客户端组件和驱动程序更新。

SQL Server使用 TLS 1.2 所需的其他修补程序

必须安装以下 .NET 修补程序汇总才能启用SQL Server功能，例如数据库邮件和某些 SSIS 组件，这些组件使用需要 TLS 1.2 支持的 .NET 终结点，例如 Web 服务任务才能使用 TLS 1.2。

常见问题解答

• SQL Server 2016 及更高版本是否支持 TLS 1.1？

  是。 SQL Server 2016、Windows 上的 SQL Server 2017 和 Windows 版本 SQL Server 2019 附带 TLS 1.0 到 TLS 1.2 支持。 如果只想使用 TLS 1.2 进行客户端-服务器通信，则必须禁用 TLS 1.0 和 1.1。

• SQL Server 2019 是允许使用 TLS 1.0 或 1.1 的连接，还是仅允许使用 1.2？

  SQL Server 2019 与 SQL Server 2016 和 SQL Server 2017 的支持级别相同，SQL Server 2019 支持旧版 TLS。 SQL Server 2019 RTM 附带 TLS 1.2 支持，无需其他更新或修补程序即可启用 TLS 1.2 支持。

• TDS 是否受已知漏洞影响？

  尚未报告 Microsoft TDS 实现的已知漏洞。 由于多个标准强制组织要求将 TLS 1.2 用于加密的信道，因此 Microsoft 正在发布对 TLS 1.2 的支持，以用于广泛的SQL Server安装基础。

• 如何将 TLS 1.2 更新分发给客户？

  本文提供了支持 TLS 1.2 的相应服务器和客户端更新的下载链接。

• TLS 1.2 是否支持 SQL Server 2005？

  TLS 1.2 支持仅适用于 SQL Server 2008 及更高版本。

• 如果在服务器上禁用了 SSL 3.0 和 TLS 1.0，则不使用 SSL/TLS 的客户是否会受到影响？

  是。 即使未使用安全信道，SQL Server也会在登录期间加密用户名和密码。 对于不使用安全通信并在服务器上禁用了除 TLS 1.2 之外所有其他协议的所有SQL Server实例，都需要此更新。

• 哪些 Windows Server 版本支持 TLS 1.2？

  Windows Server 2008 R2 及更高版本支持 TLS 1.2。

• 为SQL Server通信启用 TLS 1.2 的正确注册表设置是什么？

  正确的注册表设置如下：

  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

  服务器和客户端计算机都需要这些设置。 DisabledByDefault和 Enabled 设置需要在 Windows 7 客户端和 Windows Server 2008 R2 服务器上创建。 在Windows 8及更高版本的客户端操作系统或Windows Server 2012服务器及更高版本的服务器操作系统上，TLS 1.2 应已启用。 如果要为需要独立于 OS 版本的 Windows 注册表实现部署策略，则建议将提到的注册表项添加到策略中。 此外，如果在SQL Server上使用 数据库邮件，还需要设置以下 .NET 注册表项：

  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

已知问题

• 问题 1

  SQL Server Management Studio (SSMS) 、报表服务器和报表管理器在为 SQL Server 2008、2008 R2、2012 或 2014 应用修补程序后不会连接到数据库引擎。 报表服务器和报表管理器失败并返回以下错误消息：

  报表服务器无法打开与报表服务器数据库的连接。 所有请求和处理都需要连接到数据库。 (rsReportServerDatabaseUnavailable)

  出现此问题的原因是 SSMS、报表管理器和Reporting Services Configuration Manager使用 ADO.NET，ADO.NET TLS 1.2 支持仅在 .NET Framework 4.6 中可用。 对于早期版本的.NET Framework，必须应用 Windows 更新，以便 ADO.NET 可以支持客户端的 TLS 1.2 通信。 在早期版本的 .NET Framework 中启用 TLS 1.2 支持的 Windows 更新列在 如何确定是否需要此更新 部分的表中。

• 问题 2

  即使客户端提供程序已更新到支持 TLS 1.2 的版本，Reporting Services Configuration Manager也会报告以下错误消息：

  无法连接到服务器：已成功与服务器建立连接，但在登录前握手期间出错。

  

  若要解决此问题，请在承载Reporting Services Configuration Manager的系统上手动创建以下注册表项：

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

• 问题 3

  在 SQL Server 中使用可用性组、数据库镜像或 Service Broker 的加密通信时，使用 TLS 1.2 的加密终结点通信失败。 SQL 错误日志中记录了类似于以下内容的错误消息：

  Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.
  

  有关此问题的详细信息，请参阅修复：使用 SQL Server 时，使用 TLS 1.2 的加密终结点通信失败。

• 问题 4

  尝试在启用了 TLS 1.2 的服务器上安装 SQL Server 2012 或 SQL Server 2014 时，会出现各种错误。

  有关详细信息，请参阅修复：在启用了 TLS 1.2 的服务器上安装 SQL Server 2012 或 SQL Server 2014 时出错。

• 问题 5

  禁用除 TLS 1.2 以外的所有其他协议后，使用证书时，与数据库镜像或可用性组的加密连接不起作用。 类似于以下内容的错误消息记录在SQL Server错误日志中：

  禁用除 TLS 1.2 以外的所有其他协议后，使用证书时，与数据库镜像或可用性组的加密连接不起作用。 你可能会注意到以下症状之一：

  • 症状 1：

    类似于以下内容的错误消息记录在SQL Server错误日志中：

    Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'
    

  • 症状 2：

    Windows 事件日志中记录了类似于以下内容的错误消息：

    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36888
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      ------------
    Description:
    A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.
    
    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36874
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      -----------
    Description:
    An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.
    

    出现此问题的原因是可用性组和数据库镜像需要不使用固定长度哈希算法的证书，例如 MD5。 TLS 1.2 不支持固定长度哈希算法。

  有关详细信息，请参阅修复：如果SQL Server使用 TLS 1.2，则使用 MD5 哈希算法的通信失败。

• 问题 6

  以下SQL Server数据库引擎版本受知识库文章3146034中报告的间歇性服务终止问题的影响。 为了保护客户免受服务终止问题，我们建议他们安装本文中提到的SQL Server的 TLS 1.2 更新（如果下表中列出了其SQL Server版本）：

  SQL Server版本	受影响的版本
  SQL Server 2008 R2 SP3 (x86 和 x64)	10.50.6537.0
  仅 SQL Server 2008 R2 SP2 GDR (IA-64)	10.50.4046.0
  仅 SQL Server 2008 R2 SP2 (IA-64)	10.50.4343.0
  SQL Server 2008 SP4 (x86 和 x64)	10.0.6543.0
  仅 SQL Server 2008 SP3 GDR (IA-64)	10.0.5544.0
  SQL Server 2008 SP3 仅 (IA-64)	10.0.5894.0

• 问题 7

  数据库邮件不适用于 TLS 1.2。 数据库邮件失败并出现以下错误：

  Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException：无法从数据库读取邮件配置信息。 无法启动邮件会话。

  有关详细信息，请参阅SQL Server使用 TLS 1 所需的其他修补程序。

客户端或服务器上缺少 TLS 1.2 更新时可能会遇到的常见错误

问题 1

在 SQL Server 上启用 TLS 1.2 协议后，System Center Configuration Manager (SCCM) 无法连接到SQL Server。 在这种情况下，你会收到以下错误消息：

TCP 提供程序：远程主机强行关闭了现有连接

当SCCM使用未修复的SQL Server Native Client驱动程序时，可能会出现此问题。 若要解决此问题，请下载并安装客户端 组件下载 部分中列出的客户端修补程序。 例如，Microsoft® SQL Server ® 2012 Native Client - QFE。

可以通过查看SCCM日志来找出SCCM正在使用哪个驱动程序连接到SQL Server，如以下示例所示：

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>