具有加密连接的 Always On 可用性组

Question

我们有一个两节点的 SQL Server 2016 AOAG、TestA、TestB 和侦听器 TestL。我们想开始在应用服务器/客户端和数据库服务器之间使用加密连接。

我在两个关于实现连接加密的 MS 文档中找到了下面的部分。只是想知道这是否适用于 AOAG？我怀疑确实如此，因为 AOAG 确实需要使用故障转移集群，但需要确认。

集群上的加密

如果要对故障转移群集使用加密，则必须在故障转移群集中的所有节点上安装具有故障转移群集实例的完全限定 DNS 名称的服务器证书。例如，如果您有一个双节点集群，节点名为 test1.your company.com 和 test2。您的 company.com 和名为 fcisql 的 SQL Server 故障转移群集实例，您必须为 fcisql.your company.com 获取证书并在两个节点上安装该证书。若要配置故障转移群集进行加密，您可以在 SQL Server 网络配置的属性框的协议中选中 ForceEncryption 复选框

Answer 1

首先，对于 AG，您需要在参与 AG 的每个实例上强制进行协议加密。对于 FCI，只有一个实例。

也可以使用 AG 客户端连接到 AG 侦听器，并且它们可以直接连接到实例。因此，您必须相应地配置证书。请参阅https://docs.microsoft.com/en-us/sql/database-engine/availability-groups/windows/listeners-client-connectivity-application-failover#SSLcertificates

请注意，此配置不需要具有协议加密。需要向客户端验证 SQL Server。如果您只想要协议加密，客户端可能总是请求它，或者您可以使用自签名证书在服务器上强制它。