Xubuntu22.04下.NET6连接SQL Server2008R2报预登录握手错误35

• Xubuntu 22.04默认搭载OpenSSL 3.0，默认安全策略直接禁用TLS 1.0及以下老旧协议，默认安全级别为2，会拒绝所有老旧弱密码套件的握手请求
• 你用的SQL Server 2008 R2 RTM版本（10.50.1600.1）没有内置TLS 1.2支持，最高仅支持TLS 1.0，且预登录阶段无论连接字符串里Encrypt参数设为true还是false，.NET的SqlClient都会强制发起TLS握手完成预登录校验，不存在完全跳过TLS的可能
• 你之前在服务端修改注册表开启TLS 1.0/1.1/1.2不生效，核心原因是RTM版本的SQL Server 2008 R2代码层面根本没有TLS 1.2的实现逻辑，光改注册表没用
• 同一台机器上DataGrip用jTDS能正常连接，是因为jTDS自己实现了TDS协议的加密逻辑，不依赖系统OpenSSL的TLS栈，完全不受系统TLS策略限制

方案1：服务端打补丁（最稳定，无额外安全风险） #

直接给SQL Server 2008 R2实例安装SP3补丁包，再安装官方发布的TLS 1.2支持更新，安装完成后重启数据库服务即可原生支持TLS 1.2。这种情况不需要修改客户端任何OpenSSL配置，现有连接字符串直接就能正常连接。

注意：打补丁前务必做好数据库全量备份，避免补丁升级异常导致数据丢失。

方案2：客户端自定义OpenSSL配置（无法改动服务端时使用） #

不要修改全局/etc/ssl/openssl.cnf，会影响系统所有依赖OpenSSL的程序（SSH、浏览器、包管理器等）的安全性，单独给当前.NET程序指定专属OpenSSL配置即可：

1. 在项目目录下新建专属配置文件dotnet-openssl.cnf，写入以下内容：

openssl_conf = openssl_init

[openssl_init]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = DEFAULT@SECLEVEL=0
Options = UnsafeLegacyRenegotiation

2. 启动程序时通过环境变量指定加载这个专属配置，不要直接修改全局配置：

OPENSSL_CONF=./dotnet-openssl.cnf dotnet run

关键配置说明：必须添加Options = UnsafeLegacyRenegotiation参数，SQL Server 2008 R2的TLS实现使用了老旧的不安全重协商逻辑，OpenSSL 3.0默认直接拒绝这类握手请求，这也是你之前调整MinProtocol和安全级别后依然连接失败的核心原因。

方案3：替换数据库驱动 #

卸载项目中引用的System.Data.SqlClient/Microsoft.Data.SqlClient，换用不依赖系统OpenSSL、独立实现TDS协议的第三方驱动，连接逻辑和jTDS一致，不需要调整系统TLS配置即可连接。但这类驱动普遍更新频率低，功能和兼容性不如官方驱动，仅作为临时备选方案。

• 不要用注释全局openssl_conf的方案，会直接关闭OpenSSL的所有安全校验逻辑，导致系统上所有网络程序的TLS验证失效，安全风险极高
• 不要指望靠连接字符串的Encrypt=false参数跳过TLS握手，这个参数仅控制连接建立后的数据传输阶段是否加密，预登录阶段的TLS握手是SqlClient强制触发的，绕不开
• 不要把OpenSSL安全级别设为0作为全局配置，会导致系统接受大量已知不安全的弱密码套件，大幅增加被中间人攻击的风险

内容的提问来源于stack exchange，提问作者Alexander Zeitler