在 Windows 中連接 SQL Server 時，應用程式遇到強制關閉的 TLS 連線錯誤

發行項
12/14/2024

本文可協助修正應用程式嘗試開啟 SQL Server 連線時所發生的問題。

適用於： Windows Server 2019、Windows Server 2016
原始 KB 編號： 4557473

徵兆

當應用程式嘗試開啟 SQL Server 的連線時，會顯示下列其中一個錯誤訊息：

已順利建立與伺服器的連接，但隨後在登入過程中發生錯誤。（提供者：SSL 提供者，錯誤：0 - 遠端主機強行關閉現有的連線。

與伺服器的連接已成功建立，但在登入前的信號交換時發生錯誤。（提供者：TCP 提供者，錯誤：0 - 遠端主機強行關閉現有的連線。

如果您在伺服器上啟用 SChannel 記錄功能，當問題發生時，您會收到事件識別碼 36888 （產生嚴重警示）。

注意

視您使用的提供者或驅動程式而定，錯誤訊息可能會稍有不同。
當在 Windows Server 2012 R2 上執行的應用程式嘗試連線到在 Windows Server 2019 上執行的 SQL Server 時，也會發生此問題。
其他用戶端應用程式可能會遇到類似的問題。

原因

Windows 10 版本 1511 和更新版本的 Windows，包括 Windows Server 2016 或 Windows 10 版本 1607，其已安裝 2 月 25 日更新版本更新，包含前置零更新。同時，之前發行的所有 Windows 版本都不包含前置零更新。

TLS 用戶端和伺服器必須以完全相同的方式計算密鑰，否則它們會取得不同的結果。如果 TLS 用戶端和 TLS 伺服器以不同的方式計算前置零，TLS 聯機會隨機失敗。

當 Diffie-Hellman 金鑰交換群組領先零時，未修補的計算機可能會因為不考慮填補的零而錯誤地計算 mac。與非 Windows 型密碼編譯實作互動時，通常會看到此問題，而且可能會導致間歇涉失敗。

當用戶端與伺服器之間使用TLS_DHE加密套件交涉安全 TLS 交握時，會傳回錯誤訊息。您可以在「Server Hello」封包中識別其中一個受影響的加密套件。如需詳細資訊，請參閱一節中的網路代碼段。

解決方法

若要修正此問題，請確定連線所涉及的用戶端和伺服器都在執行已安裝TLS_DHE前置零修正的 Windows。建議安裝更新，因為它們會增強TLS_DHE規格的一致性。

下列會根據安裝的更新列出操作系統版本。

包含TLS_DHE前置零修正的 Windows 版本

Windows Server 2016 版本 1607
- KB 4537806：2020 年 2 月 25 日-KB4537806 （OS 組建 14393.3542）
- KB 4540670：2020 年 3 月 10 日-KB4540670 （OS 組建 14393.3564）
- 取代個別操作系統版本的KB4537806和KB4540670的更新
Windows Server 2019 RTM 和更新版本。
Windows 10 版本 1511 和更新版本的 Windows 10（請參閱版本歷程記錄）

不包含TLS_DHE前置零修正的 Windows 版本

未套用修補程式 KB 4537806和 KB 4540670的 Windows Server 2016 版本 1607 伺服器。
Windows 10 (版本 1507)
Windows 8.1
Windows 7
Windows Server 2012 R2 和舊版 Windows Server

因應措施

如果您無法更新 Windows，作為因應措施，您可以使用這兩種方法之一來停用TLS_DHE加密。

使用群組原則

您可以使用組策略來停用TLS_DHE_* 加密。請參閱將安全通道加密套件優先順序設定為「SSL 加密套件順序」組策略。

原則 URL：計算機設定 -> 系統管理範本 - 網路 ->> SSL 組態設定
原則設定：SSL 加密套件順序設定。

使用 PowerShell 指令碼

foreach ($CipherSuite in $(Get-TlsCipherSuite).Name)
{
    if ( $CipherSuite.substring(0,7) -eq "TLS_DHE" )
    {
       "Disabling cipher suite: " + $CipherSuite
       Disable-TlsCipherSuite -Name $CipherSuite
    }
    else
    {
        "Existing enabled cipher suite will remain enabled: " + $CipherSuite
    }
}

其他相關資訊

您可以在連線建立期間確認您遇到此問題。發生問題時，您可以在伺服器上的網路追蹤中看到下列順序。

1103479 <DateTime> 382.4104867 <Application IP> <Server IP> TCP:Flags=CE....S., SrcPort=62702, DstPort=1433, PayloadLen=0, Seq=829174047, Ack=0, Win=8192 ( Negotiating scale factor 0x8 ) = 8192  
1103486 <DateTime> 382.4105589 <Server IP> <Application IP> TCP: [Bad CheckSum]Flags=...A..S., SrcPort=1433, DstPort=62702, PayloadLen=0, Seq=267349053, Ack=829174048, Win=65535 ( Negotiated scale factor 0x8 ) = 16776960  
1103493 <DateTime> 382.4113628 <Application IP> <Server IP> TCP:Flags=...A...., SrcPort=62702, DstPort=1433, PayloadLen=0, Seq=829174048, Ack=267349054, Win=513 (scale factor 0x8) = 131328  
1103515 <DateTime> 382.4117349 <Application IP> <Server IP> TDS:Prelogin, Version = 7.300000(No version information available, using the default version), SPID = 0, PacketID = 1, Flags=...AP..., SrcPort=62702, DstPort=1433, PayloadLen=88, Seq=829174048 - 829174136, Ack=267349054, Win=131328  
1103525 <DateTime> 382.4118186 <Server IP> <Application IP> TDS:Response, Version = 7.300000(No version information available, using the default version), SPID = 0, PacketID = 1, Flags=...AP..., SrcPort=1433, DstPort=62702, PayloadLen=48, Seq=267349054 - 267349102, Ack=829174136, Win=2102272  
1103547 <DateTime> 382.4128101 <Application IP> <Server IP> TLS:TLS Rec Layer-1 HandShake: Client Hello.  
1103584 <DateTime> 382.4151314 <Server IP> <Application IP> TLS:TLS Rec Layer-1 HandShake: Server Hello. Certificate. Server Key Exchange. Server Hello Done.  
1103595 <DateTime> 382.4161185 <Application IP> <Server IP> TCP:Flags=...A...., SrcPort=62702, DstPort=1433, PayloadLen=0, Seq=829174322, Ack=267351024, Win=513 (scale factor 0x8) = 131328  
1103676 <DateTime> 382.4782629 <Application IP> <Server IP> TLS:TLS Rec Layer-1 HandShake: Client Key Exchange.; TLS Rec Layer-2 Cipher Change Spec; TLS Rec Layer-3 HandShake: Encrypted Handshake Message.  
1103692 <DateTime> 382.4901904 <Server IP> <Application IP> TCP:[Segment Lost] [Bad CheckSum]Flags=...A...F, SrcPort=1433, DstPort=62702, PayloadLen=0, Seq=267351024, Ack=829174648, Win=8210 (scale factor 0x8) = 2101760  
1103696 <DateTime> 382.4918048 <Application IP> <Server IP> TCP:Flags=...A...., SrcPort=62702, DstPort=1433, PayloadLen=0, Seq=829174648, Ack=267351025, Win=513 (scale factor 0x8) = 131328  
1103718 <DateTime> 382.4931068 <Application IP> <Server IP> TCP:Flags=...A...F, SrcPort=62702, DstPort=1433, PayloadLen=0, Seq=829174648, Ack=267351025, Win=513 (scale factor 0x8) = 131328  
1103723 <DateTime> 382.4931475 <Server IP> <Application IP> TCP: [Bad CheckSum]Flags=...A...., SrcPort=1433, DstPort=62702, PayloadLen=0, Seq=267351025, Ack=829174649, Win=8210 (scale factor 0x8) = 2101760

檢查 Server Hello 封包以檢視所使用的加密套件：

Frame: Number = 1103584, Captured Frame Length = 2093, MediaType = NetEvent  
+NetEvent:  
+MicrosoftWindowsNDISPacketCapture: Packet Fragment (1976 (0x7B8) bytes)  
+Ethernet: Etype = Internet IP (IPv4),DestinationAddress:[00-00-0C-9F-F4-5C],SourceAddress:[00-1D-D8-B8-3A-7B]  
+Ipv4: Src = <Server IP>, Dest = <Application IP>, Next Protocol = TCP, Packet ID = 16076, Total IP Length = 0  
+Tcp: [Bad CheckSum]Flags=...AP..., SrcPort=1433, DstPort=62702, PayloadLen=1938, Seq=267349102 - 267351040, Ack=829174322, Win=8211 (scale factor 0x8) = 2102016  
+Tds: Prelogin, Version = 7.300000(No version information available, using the default version), SPID = 0, PacketID = 0, Flags=...AP..., SrcPort=1433, DstPort=62702, PayloadLen=1938, Seq=267349102 - 267351040, Ack=829174322, Win=2102016  
TLSSSLData: Transport Layer Security (TLS) Payload Data  
-TLS: TLS Rec Layer-1 HandShake: Server Hello. Certificate. Server Key Exchange. Server Hello Done.  
-TlsRecordLayer: TLS Rec Layer-1 HandShake:  
ContentType: HandShake:  
+Version: TLS 1.2  
Length: 1909 (0x775)  
-SSLHandshake: SSL HandShake Server Hello Done(0x0E)  
HandShakeType: ServerHello(0x02)  
Length: 81 (0x51)  
-ServerHello: 0x1  
+Version: TLS 1.2  
+RandomBytes:  
SessionIDLength: 32 (0x20)  
SessionID: Binary Large Object (32 Bytes)  
TLSCipherSuite: TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 { 0x00, 0x9F }  
CompressionMethods: 0 (0x0)  
ExtensionsLength: 9 (0x9)  
+ServerHelloExtension: Unknown Extension Type  
+ServerHelloExtension: Renegotiation Info(0xFF01)  
HandShakeType: Certificate(0x0B)  
Length: 778 (0x30A)  
+Cert: 0x1  
HandShakeType: Server Key Exchange(0x0C)  
Length: 1034 (0x40A)  
ServerKeyExchange: Binary Large Object (1034 Bytes)  
HandShakeType: Server Hello Done(0x0E)  
Length: 0 (0x0)  
+Tds: Prelogin, Version = 7.300000(No version information available, using the default version), Reassembled Packet

參考

如需詳細資訊，請參閱下列文章：

共用方式為