Windows Server更新后DataService连接Server2登录失败问题排查咨询

核心问题背景 #

Windows Server更新后，部署在DataServiceServer上的服务使用机器账户Domain\DataServiceServer$可正常连接Server1的SQL Server数据库，但连接Server2时触发Login failed for user 'Domain\DataServiceServer$'错误，且SQL Profiler未捕获到Server2的相关请求，已确认两台SQL Server上该账户的数据库权限一致且已授权。

具体排查步骤 #

• 检查Server2的网络连通性与防火墙规则
  由于SQL Profiler未收到请求，优先排查网络层阻断：

  • 在DataServiceServer上执行PowerShell命令验证端口连通性：Test-NetConnection server2 -Port 1433（若SQL Server使用非默认端口，替换为对应端口）
  • 检查Server2的Windows防火墙入站规则，确认是否允许DataServiceServer的IP/域访问SQL Server服务端口；同时检查是否有新更新添加的安全规则限制了入站连接

• 验证Server2的SQL Server身份验证模式
  确认SQL Server实例未因更新重置身份验证配置：

  • 打开SQL Server配置管理器，找到Server2的目标实例，右键选择「属性」→「安全性」，确认已启用Windows身份验证模式

• 检查域账户信任与解析
  验证机器账户在域内的有效性：

  • 在Server2上执行命令net user "Domain\DataServiceServer$" /domain，确认账户能被正常解析，无账户锁定、过期等提示
  • 若为跨域环境，检查DataServiceServer所在域与Server2所在域的双向信任是否正常，可通过nltest /domain_trusts命令查看信任关系

• 分析系统与SQL Server日志
  从日志中提取登录失败的具体原因：

  • 查看Server2的Windows安全日志（事件ID 4625），该事件会详细记录登录失败的子状态（如0xC000006A表示密码错误、0xC000006D表示账户权限不足等）
  • 查看SQL Server错误日志（SSMS→管理→SQL Server日志），查找与Domain\DataServiceServer$相关的登录失败记录，确认是否有前置验证失败的信息

• 检查SPN配置（Kerberos认证相关）
  集成安全依赖SPN，更新可能导致SPN丢失或配置错误：

  • 在DataServiceServer上执行setspn -L DataServiceServer，查看机器账户注册的SPN列表，确认包含DataService服务的相关SPN
  • 在Server2上执行setspn -L Server2，确认SQL Server服务的SPN已正确注册（格式通常为MSSQLSvc/Server2:1433）
  • 若Kerberos认证失败，可临时在连接字符串中添加Integrated Security=SSPI;Persist Security Info=False;TrustServerCertificate=True测试是否能回退到NTLM验证，以此缩小问题范围

• 直接测试机器账户的SQL连接权限
  排除应用代码层面的干扰：

  • 在DataServiceServer上执行runas /user:Domain\DataServiceServer$ "sqlcmd -S server2 -d DB2 -E"，模拟服务的机器账户直接连接Server2的SQL Server，查看是否能成功执行查询

• 排查Windows更新带来的安全策略变更
  部分安全更新会修改本地或域安全策略：

  • 打开secpol.msc（本地安全策略），检查「本地策略→安全选项」中的以下设置：
    • 「网络安全: LAN管理器身份验证级别」是否被修改为过严的级别（如仅使用NTLMv2）
    • 「网络安全: 限制NTLM: 入站NTLM流量」是否设置为「拒绝所有」或「拒绝域账户」
  • 查看域组策略，确认是否有新推送的安全策略限制了机器账户的身份验证行为

内容的提问来源于stack exchange，提问作者nnmmss