部分客户端强制加密SQL Server连接致失败的排查求助

1. ODBC驱动配置（最常见诱因） #

• 打开系统ODBC管理器：运行odbcad32.exe（适配32位程序）或odbcad64.exe（适配64位程序），找到对应SQL Server驱动的配置界面，查看「加密」选项是否被设为「强制加密」。
• 无DSN连接场景，检查连接字符串中是否隐含Encrypt=yes或Encryption=strict参数。
• 驱动默认设置：查看注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSQLServer\Client\SNI11.0（32位系统需添加Wow6432Node前缀）下的ForceEncryption键值，值为1即代表强制加密。

2. .NET全局配置 #

• .NET Framework：定位到C:\Windows\Microsoft.NET\Framework\v4.0.30319\Config\machine.config（对应实际使用的.NET版本路径），检查是否存在如下强制加密的配置节点：

  <system.data>
    <sqlClient>
      <connectionStrings>
        <add name="DefaultConnectionSettings" encrypt="true" trustServerCertificate="false" />
      </connectionStrings>
    </sqlClient>
  </system.data>
  

• .NET Core/5+：检查环境变量DOTNET_SYSTEM_DATA_SQLCLIENT_FORCE_ENCRYPT是否被设为true，或全局配置文件global.json中是否存在强制加密的相关设置。

3. SQL Server客户端配置管理器 #

• 打开「SQL Server配置管理器」，展开「SQL Server Native Client配置」→「客户端协议」，查看「强制加密」属性是否设为「是」——该配置会全局强制所有客户端连接启用加密。

4. 组策略/本地安全策略 #

• 组策略路径：计算机配置\管理模板\SQL Server客户端\SQL Server网络客户端\强制加密连接，若该策略被启用，会直接覆盖本地所有客户端加密配置。
• 检查本地安全策略是否推送了加密要求模板，强制修改客户端加密参数。

5. 应用程序硬编码/框架配置 #

• 针对出问题的应用，检查代码或配置文件中的连接字符串，是否硬设置了Encrypt=True但未指定TrustServerCertificate=True，示例：

  string connString = "Server=myServer;Database=myDb;User Id=myUser;Password=myPass;Encrypt=True;";
  

• 排查EF等ORM框架的全局配置，确认是否开启了强制加密规则。

6. 驱动静默更新 #

• 虽然未发现明显补丁更新，但SQL Server客户端驱动（如MSODBCSQL、SNI）可能通过Windows Update静默升级，部分新版本会默认启用加密。可前往「程序和功能」查看近期安装的SQL驱动版本，与正常客户端的驱动版本做对比。

补充：若排查后无法修改客户端配置，临时替代方案可在SQL Server端配置CA签名证书，或在服务器端开启全局「信任服务器证书」（生产环境不推荐此操作）。

内容的提问来源于stack exchange，提问作者Mike Fleming