同用户IP均加白连SQL Server 仅一台触发SQL error 17892的原因

首先明确前提：相同userA账号、服务端白名单配置一致的场景下，客户端2可正常连接、客户端1连接触发17892报错，核心原因是SQL Server端收到的客户端1的访问源IP不在userA的IP白名单范围内，排除服务端配置问题后，客户端侧的异常点包含以下几类：

• 多网卡/多IP导致源IP不符合预期
  客户端1如果同时启用了有线网卡、无线网卡、VPN虚拟网卡、Docker/虚拟机虚拟网卡，系统路由表可能指定到SQL Server的流量从非预期网卡发出，实际出网源IP不是你提前加入白名单的IP，被服务端拦截。可在客户端1执行tracert <SQL Server实例IP>确认路由出接口，核对对应接口的IP是否在白名单内。
• 代理/VPN导致流量被转发
  客户端1如果开启了全局网络代理、企业VPN、零信任安全网关类工具，访问SQL Server的流量不会直接从本地网卡发出，而是先转发到代理/VPN节点再访问服务端，服务端拿到的源IP是代理/VPN的出口IP，未加入白名单就会触发报错。可临时关闭代理/VPN后重试连接验证。
• 域名解析异常连错实例
  如果使用域名方式连接SQL Server，客户端1本地hosts文件配置错误、或者本地DNS缓存异常，可能把SQL Server域名解析到了其他开启了IP白名单校验的SQL Server实例，连接错误实例时当前客户端IP自然不在对应白名单内，触发17892。可执行nslookup <SQL Server连接域名>核对解析结果是否和目标实例IP一致。
• 本地安全软件/防火墙做了源地址转换
  部分第三方终端安全软件、个人防火墙会对出站连接做SNAT源地址转换，导致SQL Server收到的连接源IP不是客户端真实IP，无法匹配白名单。可临时关闭第三方安全软件的网络防护模块后重试。
• 所在网络出口NAT策略异常
  如果客户端1和客户端2不在同一局域网，客户端1所在网络的出口NAT设备配置了多IP出口池，连接SQL Server时动态分配到的出口IP未加入白名单，也会触发连接失败。

快速排查技巧：连接失败时可查询SQL Server错误日志，日志中会明确记录触发17892的登录请求的实际来源IP，将该IP和预期加白的IP比对，即可快速定位是哪一层网络做了地址转换。

内容的提问来源于stack exchange，提问作者cluna