SQL Server auf anderem Client wird nach SSL Aufbau nicht mehr gefunden, Zugriff auf Freigaben jedoch möglich

Question

Hallo, ich habe ein Problem, welches ich so nicht lösen kann.
Vorweg muss ich gestehen, dass ich mit SQL-Servern bis jetzt nur wenige Berührungspunkte hatte.

Es ist so, dass bei uns mehrer Clients untereinander vernetzt sind. Auf jedem Client ist ein eigener SQL Express Server 2008R2 installiert. Über ein Programm was wir im Einsatz haben, kann man über einen Dropdown-Pfeil das Netzwerk nach verfügbaren SQL-Servern durchsuchen lassen. Dies klappt auch im normalen Zustand auf den Clients.

Wenn ich bei einem Clients eine VPN-Verbindung zu unserem Firmennetzwerk aufbaue und danach auf diesem Client aus der Anwendung heraus das Netzwerk nach verfügbaren SQL-Servern durchsuche, wird mir nur der lokale SQL-Server des Clients angezeigt. Auf gleichem Client in der Netzwerkumgebung sehe ich jedoch weiterhin alle Client im "Vor-Ort-Netz" und kann auch auf die freigegebenen Ressourcen zugreifen. Auch ein net use Befehl wird auf die Clients erfolgreich ausgeführt.

Die Clients ohne VPN-Verbindung sehen weiterhin alle im "Vor-Ort-Netz" vorhandenen SQL-Server, auch auf dem Client der eine VPN-Verbindung aufgebaut hat. Es kann auch eine SQL-Verbindung dahin aufgebaut werden. Ebenso funktioniert die Windows-Dateifreigabe auf diesen Client.

Was ist die Ursache dafür, dass ich auf dem Client mit aktivem VPN keine SQL-Server mehr im "Vor-Ort-Netz" sehen kann?

Zu Testzwecken habe ich auf den Clients die lokale Windows Firewall deaktiviert.

Habe Ihr eine Idee, woran dies ligen kann. Meine Vermutung ist, dass der SQL-Suchbefehl nur auf den virtuellen VPN-Adapter durchgeführt wird. Wenn dies so ist, wie kann ich dies umgehen? Die Windows-Shares sind ja auch sichtbar.

Gruß Björn

Answer 1

Hallo Björn,

warum es nicht funktioniert, kann ich Dir nicht sagen, aber etwas erklären, wie es funktioniert, vielleicht gibt Dir das einen Hinweis, wo das Problem zu suchen ist.

Auf jedem Rechner mit installiertem SQL Server läuft auch immer der SQL Server-Browser Dienst. Der kommuniziert per UDP Broadcast Port 1434, ob eine  SQL Server Instanz auf dem Rechner läuft; siehe SQL Server-Browserdienst.

Details zu dem Instanzen wie Name und Status werden hingegen per WMI abgefragt, das setzt aber bestimmte Berechtigungen voraus, siehe Vorgehensweise: Konfigurieren von WMI zum Anzeigen des Serverstatus in SQL Server-Tools

Wenn also gar nichts mehr ermittelt werden kann, wird das Problem vermutlich am UDP Broadcast liegen.

---

Olaf Helper

[ Blog] [ Xing] [ MVP]

Answer 2

Hallo Olaf,

wegen des UDP Broadcast Port 1434 hatte ich schon die Firewalls auf den Clients entfernt. Es kann dann ja nur so sein, dass dieser Broadcast über die virtuelle Netzwerkkarte versendet wird, und nicht das "Vor-Ort-Netz" erreicht.

Wiederum senden die anderen Clients im "Vor-Ort-Netz" ja auch die UDP-Broadcasts und diese werden ja vom Client mit dem offenen VPN-Tunnel beantwortet.

Ich lasse einmal den Netzwerkverkehr sniffen.

Vielen Dank schon einmal für Deine Erklärungen und den Links.

Gruß Björn

Answer 3

Am 20.11.2014 schrieb bjoerg:

Es ist so, dass bei uns mehrer Clients untereinander vernetzt sind. Auf jedem Client ist ein eigener SQL Express Server 2008R2 installiert. Über ein Programm was wir im Einsatz haben, kann man über einen Dropdown-Pfeil das Netzwerk nach verfügbaren SQL-Servern durchsuchen lassen. Dies klappt auch im normalen Zustand auf den Clients.

Wenn ich bei einem Clients eine VPN-Verbindung zu unserem Firmennetzwerk aufbaue und danach auf diesem Client aus der Anwendung heraus das Netzwerk nach verfügbaren SQL-Servern durchsuche, wird mir nur der lokale SQL-Server des Clients angezeigt. Auf gleichem Client in der Netzwerkumgebung sehe ich jedoch weiterhin alle Client im "Vor-Ort-Netz" und kann auch auf die freigegebenen Ressourcen zugreifen. Auch ein net use Befehl wird auf die Clients erfolgreich ausgeführt.

Wenn Du nach dem VPN in das Netzwerk- und Freigabecenter siehst,
welcher Netzwerktyp wird angezeigt? Öffentliches Netzwerk?

Was ist die Ursache dafür, dass ich auf dem Client mit aktivem VPN keine SQL-Server mehr im "Vor-Ort-Netz" sehen kann?

Die Netzwerkerkennung vermutlich.

Zu Testzwecken habe ich auf den Clients die lokale Windows Firewall deaktiviert.

Und es bringt wie immer nichts die Windows FW zu deaktivieren.

Habe Ihr eine Idee, woran dies ligen kann. Meine Vermutung ist, dass der SQL-Suchbefehl nur auf den virtuellen VPN-Adapter durchgeführt wird. Wenn dies so ist, wie kann ich dies umgehen? Die Windows-Shares sind ja auch sichtbar.

Anders gefragt, welches unlösbare Problem entsteht dadurch? Mußt Du
ständig auf die anderen SQL-Server Instanzen der anderen Maschinen
zugreifen? Wenn ja, dann solltet ihr vielleicht einen zentralen SQL
Server aufstellen. ;)

---

Servus
Winfried

Gruppenrichtlinien
WSUS Package Publisher
HowTos zum WSUS Package Publisher
NNTP-Bridge für MS-Foren

Answer 4

hallo Björn

SQL Express 20xx hat normalerweise TCP/IP disabled bei einer Default Installation.

Hast Du Zugriff auf SQL Express DB via VPN wenn Du den Server explizit in SSMS eingibst oder kann keine Verbindung hergestellt werden ?

Kannst Du checken, ob auf der SQL Express Edition TCP/IP enabled ist? (SQL Server Configuration Manager)

---

Please use Mark as Answer if my post solved your problem and use Vote As Helpful if a post was useful.

Answer 5

Hallo Winfried,

das VPN wird mir nach dem Aufbau als "öffentliches Netzwerk" angezeigt und im "Vor-Ort-Netz" habe ich dem Status "Arbeitsplatznetzwerk". Das Problem ist, das mir bei aktiven VPN nicht die Instanzen der anderen Clients im "Vor-Ort-Netz" angezeigt werden. Ein zentraler SQL-Server ist für uns keine Lösung, da ein Datenbestandsaustausch auf Client-Ebene erfolgt bzw. erfolgen kann/muss. Daher ist es ja wichtig, die jeweiligen Instanzen bzw. Datenbestände aus der Anwendung heraus auf den Clients im "Vor-Ort-Netz" browsen zu können.
Ich verstehe einfach nicht, warum ein "net use" funktioniert und eine Kommunikation auf Port 1433 und 1434 halt nicht.

@Daniel: Ja, TCPIP ist aktiviert.

Answer 6

Das finde ich zu "öffentliches Netzwerk":

http://windows.microsoft.com/de-de/windows/choosing-network-location#1TC=windows-7
Auswählen einer Netzwerkadresse
Wählen Sie Öffentliches Netzwerk für Netzwerke an öffentlichen Orten aus (z. B. Internetcafés und Flughäfen). Diese Netzwerkadresse verhindert, dass der Computer für andere Computer in der Umgebung sichtbar ist. Außerdem trägt sie dazu bei, den Computer vor Schadsoftware aus dem Internet zu schützen. Die Heimnetzgruppe ist in öffentlichen Netzwerken nicht verfügbar, und die Netzwerkerkennung ist deaktiviert. Sie sollten diese Option auch auswählen, wenn Sie ohne Verwendung eines Routers direkt mit dem Internet verbunden sind, oder wenn Sie eine mobile Breitbandverbindung verwenden.

Ändere das ab, wenn Du dem Netzwerk vertraust.

Einen schönen Tag noch,
Christoph
--
Microsoft SQL Server MVP - http://www.insidesql.org/blogs/cmu

Answer 7

Am 24.11.2014 schrieb bjoerg:

das VPN wird mir nach dem Aufbau als "öffentliches Netzwerk" angezeigt und im "Vor-Ort-Netz" habe ich dem Status "Arbeitsplatznetzwerk". Das Problem ist, das mir bei aktiven VPN nicht die Instanzen der anderen Clients im "Vor-Ort-Netz" angezeigt werden.

Öffentliches Netzwerk blockiert natürlich ziemlich viel. Dort mußt Du
ansetzen

ist es ja wichtig, die jeweiligen Instanzen bzw. Datenbestände aus der Anwendung heraus auf den Clients im "Vor-Ort-Netz" browsen zu können.
Ich verstehe einfach nicht, warum ein "net use" funktioniert und eine Kommunikation auf Port 1433 und 1434 halt nicht.

Net use =! Port 1433 TCP + Port 1434 UDP.

---

Servus
Winfried

Gruppenrichtlinien
WSUS Package Publisher
HowTos zum WSUS Package Publisher
NNTP-Bridge für MS-Foren

Answer 8

Hallo,

danke an die, die mir die vielen Tipps und Informationen zu kommen lassen haben.

Ich habe dies nun so gelöst, dass ich die Metriken auf meiner LAN-Verbindung und der SSL-Verbindung auf automatisch gesetzt habe.
Weiterhin habe ich das DNS-Suffix auf "anhängen" geändert und hier das "Vor-Ort-Netz" und dann das Firmen-DNS-Suffix eingetragen. Dies bezieht sich dann auf alle Verbindungen. In der SSL-Verbindung habe ich noch ein "DNS-Suffix für diese Verbindung" eingetragen.

Nach diesen Einstellungen konnte ich über das Programm die einzelnen Serverinstanzen auf den Laptops sehen. Es ist nun egal, ob ein VPN-Tunnel geöffnet ist oder nicht.

Gruß Björn