Erro de segurança SSL com o SQL Server 2016 sp1

Question

Estou executando o SQL Server 2016 sp1 em uma caixa do Windows Server 2012 r2. Supostamente, ao contrário das versões anteriores do SQL Server, o SQL Server 2016 é compatível com o TLS 1.2 imediatamente. De qualquer forma, tudo na minha aplicação funciona bem até eu desabilitar o TLS 1.0 e 1.1, então eu recebo este erro:

Não foi possível abrir a conexão de dados. Erro: [Microsoft] [Driver ODBC do SQL Server] [Sockets TCP / IP] Erro de segurança SSL

Quando olho para os drivers ODBC 11 do SQL Server, eles se aplicam apenas ao servidor SQL 2014 ou versões anteriores. O que da? Não estou certo de como atualizar o ODBC para ser TLS 1.1 & 1.2 compatível com o SQL Server 2016 que nem sequer deveria ter esse problema (afinal, a vulnerabilidade do TLS 1.0 é retro 2016 neste momento)?

Download do driver ODBC do SQL Server 11: "Microsoft ODBC Driver 11 para SQL Server é um única biblioteca de vínculo dinâmico (DLL) contendo suporte em tempo de execução para aplicativos que usam APIs de código nativo para se conectar ao Microsoft SQL Server 2005, 2008, 2008 R2, SQL Server 2012, SQL Server 2014 e Banco de Dados SQL do Windows Azure. "

Não faz sentido ... o que estou fazendo errado? Estou usando o driver ODBC do SQL Server padrão. Esse é o problema? Talvez eu deva usar a versão 13 do driver ODBC para o SQL Server?

    

Answer 1

Corri para o mesmo problema com o SQL 2016 (embora estivesse em uma caixa do Server 2016). Não foi possível encontrar uma correção por meio de drivers ODBC, mas encontrou um artigo da Symantec em que um agente do Backup Exec não conseguiu conectar-se ao banco de dados com o TLS 1.0 desativado.

A correção sugerida é habilitar o FIPS na caixa SQL, isso corrigiu isso no nosso caso, mas não consegui descobrir o motivo. Aqui está algumas orientações sobre como habilitar o FIPS - com a ressalva de que não é recomendado a menos que você precise cumprir uma diretiva regulamentar ou legislativa. (Eu forneceria links para artigos que entram em detalhes, mas aparentemente como um novato, eu só posso postar dois links. Pesquisando "por que você não deveria habilitar o FIPS" deve pegar os artigos em questão)