Recentemente, atualizamos um sistema SQL Server 2008 R2 de não produção para SP3 e, em seguida, as atualizações do Windows instalaram a atualização de segurança mais recente (10.50.6560.0). Vejo que o suporte a TLS 1.2 para 2008 R2 é fornecido em 10.50.6542.0, mas essa atualização não será instalada em cima de 6560. As tentativas de login estão falhando e posso ver no Visualizador de eventos que o cliente está solicitando o TLS 1.2, mas o servidor não não apoiá-lo.
O SSMS retorna:
...(provedor: Provedor SSL, erro: 0 - Uma conexão existente foi fechada à força pelo host remoto.)
(Microsoft SQL Server, Erro: 10054)
Log de eventos do sistema no servidor:
ID do evento 36874
Uma solicitação de conexão TLS 1.2 foi recebida de um aplicativo cliente remoto, mas nenhum dos conjuntos de codificação com suporte do aplicativo cliente é compatível com o servidor. A solicitação de conexão SSL falhou.
Eu tentei atualizar os vários clientes SQL no cliente e no servidor, habilitando o TLS 1.2 no registro no servidor (e reinicializando), sem sucesso. Então agora estou começando a pensar que o build 6560 não o suporta e, se for esse o caso, tenho que desinstalá-lo de alguma forma para poder instalar o build 6542 primeiro.
Temos outros servidores executando a mesma compilação que funcionam bem, então estou tentando descobrir o que há de diferente nesse servidor - ainda sem sorte.
A compilação 10.50.6560.0 oferece suporte a TLS 1.2. Consegui resolver o problema instalando um novo certificado da nossa CA. Aparentemente, os certificados mais antigos que estão no servidor não são capazes de suportar o TLS 1.2.
O suporte a TLS 1.2 para Microsoft SQL Server inclui informações sobre as versões de cliente e servidor necessárias para oferecer suporte a TLS 1.2.
Acabamos de mudar para o Exchange 2016 e nossos servidores 2008 R2 não conseguiram enviar emails depois disso. Configurei o Database Mail para SSL e a porta 587 e dei a ele um login confiável, mas encontrei um erro no log de eventos relacionado ao sistema não poder baixar um certificado. Portanto, baixei-o manualmente e instalei-o e consegui enviar e-mails depois disso.
O certificado é:
http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/47BEABC922EAE80E78783462A79F45C254FDE68B.crt