SQL Server 2017启用TLS 1.2后能否兼容非加密客户端连接？

先说最关键的：服务器端把FORCE ENCRYPTION设为True后，原有客户端能不能正常连接，全看它们支不支持TLS 1.2和自动加密协商，普通连接端口不会被禁用，但未加密的连接请求会直接被拒绝。

下面给你拆解细节：

• FORCE ENCRYPTION不是关闭普通端口，而是要求所有传入的连接必须使用加密通信。SQL Server依然监听原来的端口（比如默认1433），但只要客户端发起未加密请求，就会直接被服务器拒绝。
• 关于JDBC客户端：
  • 如果使用的是SQL Server JDBC Driver 6.0及以上版本，这类驱动默认支持TLS 1.2，当服务器强制加密时，会自动发起加密连接，不需要修改连接字符串（不用手动添加encrypt=true这类参数）。
  • 但如果是5.1及以下的老旧JDBC驱动，要么不支持TLS 1.2，要么需要手动在连接字符串中添加encrypt=true；如果使用自签名证书，还得额外加trustServerCertificate=true，否则会连接失败。
• 其他普通客户端（比如ODBC客户端、SSMS等）：只要客户端系统（Windows/Linux）启用了TLS 1.2，且客户端驱动支持TLS 1.2，就能自动适配加密连接，无需修改配置。但那种老旧到不支持TLS 1.2的客户端，必然会连接失败。

最后给你提个核心注意事项：
绝对不要直接在生产环境修改配置，一定要先在测试环境复刻生产环境的客户端版本、驱动版本，验证所有客户端都能正常连接后，再推广到生产环境。
如果确实存在不支持TLS 1.2的老客户端，有两种折中方案：

1. 升级客户端驱动或系统，使其支持TLS 1.2；
2. 暂时不设置FORCE ENCRYPTION = True，服务器端仅启用TLS 1.2但不强制加密，给需要加密的特定客户端修改连接字符串添加encrypt=true参数，这样原有未加密的客户端仍能正常连接，同时满足特定需求。

内容的提问来源于stack exchange，提问作者Vikash Jain