从Oracle Linux 8连接SQL Server 2016时JDBC TLS连接失败求助

问题概况 #

• Python脚本通过jaydebeapi连接SQL Server失败，报错：驱动无法通过安全套接字层（SSL）加密与SQL Server建立安全连接，即使配置encrypt=true;trustServerCertificate=true仍无效
• 当前脚本代码：

  jdbc_url = "jdbc:sqlserver://mysqlserver:1433;databaseName=mysqldb;encrypt=false"
  cnn=jaydebeapi.connect(jdbc_driver, jdbc_url, [db_user, db_pass], jdbc_jar_path)
  

• Linux节点执行openssl s_client -connect mysqlserver:1433 -debug，输出：no peer certificate available、No client certificate CA names sent
• SQL Server事件日志关键错误：收到来自远程客户端应用的TLS 1.2连接请求，但客户端支持的密码套件均不被服务器支持，SSL连接请求失败
• 已确认：Windows Server 2012启用TLS 1.2，默认密码套件包含AES256-SHA256、AES128-SHA256，Linux端这两个套件已激活；Windows工作站通过SSMS连接正常，SQL Server使用自签名证书

下一步排查步骤 #

1. 确认JDBC驱动版本兼容性 #

检查使用的JDBC驱动（如mssql-jdbc）版本是否适配目标SQL Server及Windows Server 2012版本。旧版驱动可能缺失对部分TLS 1.2密码套件的支持，建议更新到对应SQL Server版本的最新兼容驱动。

2. 强制指定JDBC连接的密码套件 #

在JDBC URL中添加sslCipherSuite参数，明确指定Windows Server 2012支持的密码套件，例如：

jdbc_url = "jdbc:sqlserver://mysqlserver:1433;databaseName=mysqldb;encrypt=true;trustServerCertificate=true;sslCipherSuite=TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256"

可在Windows服务器上执行Get-TlsCipherSuite命令获取完整的支持套件列表，挑选Linux端已激活的条目填入。

3. 检查Linux端JVM的安全配置 #

jaydebeapi依赖JVM运行，需确认Linux上JDK的java.security配置未禁用所需密码套件：

• 找到JDK安装目录下的conf/security/java.security（或jre/lib/security/java.security）文件
• 查找jdk.tls.disabledAlgorithms配置项，确保其中没有包含AES256-SHA256、AES128-SHA256相关的套件名称
• 若有禁用，移除对应条目后重启Python进程重试

4. 开启SSL调试日志捕获握手细节 #

在Python脚本中添加JVM参数启用SSL调试，获取详细的握手过程日志，定位协商失败的具体环节：

import jpype
import jaydebeapi

# 启动JVM时开启SSL调试
jpype.startJVM(jpype.getDefaultJVMPath(), "-Djavax.net.debug=ssl:handshake:verbose")

# 执行连接代码
jdbc_url = "jdbc:sqlserver://mysqlserver:1433;databaseName=mysqldb;encrypt=true;trustServerCertificate=true"
cnn=jaydebeapi.connect(jdbc_driver, jdbc_url, [db_user, db_pass], jdbc_jar_path)

从日志中可查看客户端发送的密码套件列表、服务器的响应，对比找出不匹配的套件。

5. 验证SQL Server证书配置 #

确认SQL Server的自签名证书是否正确绑定并配置：

• 打开SQL Server配置管理器，进入SQL Server网络配置 > MSSQLSERVER的协议
• 右键点击证书选项卡，确认已选中目标自签名证书，且证书的密钥用法包含「服务器身份验证」
• 检查SQL Server服务是否已重启，确保证书配置生效

6. 绕过Python直接测试JDBC连接 #

在Linux节点上用Java命令直接调用JDBC驱动测试，排除jaydebeapi的影响：

java -cp /path/to/mssql-jdbc.jar com.microsoft.sqlserver.jdbc.SQLServerConnection "jdbc:sqlserver://mysqlserver:1433;databaseName=mysqldb;encrypt=true;trustServerCertificate=true;user=db_user;password=db_pass"

若直接JDBC连接成功，说明问题出在jaydebeapi的JVM参数传递或配置上；若失败，聚焦JDBC驱动与服务器的SSL协商逻辑。

内容的提问来源于stack exchange，提问作者Seaport