Protocoles réseau et points de terminaison TDS

Activation des protocoles serveur après l'installation

Les protocoles réseau (tel que TCP/IP) du système d'exploitation sous-jacent doivent être installés aussi bien sur le client que sur le serveur. Les protocoles réseau sont généralement installés lors de l'installation de Windows ; leur installation ne fait pas partie de l'installation de SQL Server. Si le protocole réseau n'est pas disponible et configuré sur le serveur, le moteur de base de données ne démarre pas. Si le protocole réseau n'est pas disponible et configuré sur le client, la bibliothèque réseau ne fonctionne pas.

Les protocoles réseau nécessaires pour communiquer avec SQL Server à partir d'un autre ordinateur ne sont souvent pas activés pour SQL Server lors de l'installation. Par conséquent, pour vous connecter à partir d'un ordinateur client, vous devrez peut-être activer le protocole TCP/IP, les canaux nommés ou le protocole VIA. (le protocole de mémoire partagée est activé par défaut sur toutes les installations mais ne peut être utilisé que pour se connecter au moteur de base de données à partir d'une application cliente située sur le même ordinateur). Pour plus d'informations sur les protocoles réseau qui sont activés pour votre type d'installation, consultez Configuration réseau par défaut de SQL Server.

Pour activer les protocoles réseau, utilisez le Gestionnaire de configuration SQL Server. Une autre méthode permet d'activer les protocoles lors de l'installation à l'aide d'options à l'invite de commandes. Pour plus d'informations, consultez Procédure : installer SQL Server 2008 R2 à partir de l'invite de commandes.

Une fois les connexions réseau installées et configurées, SQL Server peut être simultanément à l'écoute de toute combinaison des protocoles réseau installés sur le serveur.

Définition des points de terminaison TDS

Un point de terminaison TDS désigne l'objet SQL Server qui représente le point de communication entre SQL Server et un client. SQL Server crée automatiquement un point de terminaison pour chacun des quatre protocoles pris en charge par SQL Server. Par défaut, tous les utilisateurs y ont accès lorsque les protocoles sont activés. Si un protocole réseau n'est pas activé, le point de terminaison existe bien mais ne peut tout simplement pas être utilisé. Un point de terminaison supplémentaire est créé pour la connexion DAC (Dedicated Administrator Connection) réservée aux administrateurs, c'est-à-dire aux membres faisant partie du rôle serveur fixe sysadmin.

SQL Server génère un nom unique pour chaque point de terminaison TDS. Les points de terminaison automatiquement créés sont présentés dans le tableau suivant :

Dans le cas des canaux nommés et des protocoles de mémoire partagée, vous ne pouvez disposer que d'un seul point de terminaison par instance. Ces types de protocoles ne possèdent aucun point de terminaison configurable. Dans le cas du TCP/IP et de VIA, un point de terminaison est créé par défaut mais d'autres peuvent être ajoutés. Les points de terminaison HTTP sont également créés par l'utilisateur et n'apparaissent pas dans le Gestionnaire de configuration SQL Server.

Seuls le propriétaire et l'état peuvent être modifiés sur les points de terminaison système (via l'instruction ALTER ENDPOINT). Vous ne pouvez pas désactiver les points de terminaison définis par défaut mais vous pouvez toujours les arrêter et les relancer. Un point de terminaison arrêté continue d'écouter le réseau, mais il rejette puis ferme dans ce cas les nouvelles connexions qui s'établissent.

Les ports TCP dynamiques se connectent généralement au point de terminaison TCP par défaut.

Paramètres des protocoles conservés dans le Registre

Association d'une connexion utilisateur à un point de terminaison

Lors de la connexion au moteur de base de données, SQL Server associe la connexion à un point de terminaison précis et détermine si la connexion active dispose des autorisations appropriées pour utiliser ce point de terminaison. Les connexions sont associées comme suit :

• Les connexions de mémoire partagée utilisent le point de terminaison TSQL LocalMachine.

• Les connexions de canaux nommés utilisent le point de terminaison TSQL Named Pipes.

• Les connexions administrateur dédiées se servent du point de terminaison Dedicated Admin Connection.

• Par défaut, les connexions TCP se basent sur le point de terminaison TSQL Default TCP. Si un nouveau point de terminaison TCP (défini par l'utilisateur) est créé pour un port TCP précis, les connexions se connectant au port TCP se font donc à ce nouveau point de terminaison. Si un nouveau point de terminaison TCP/TSQL est créé avec IP_ANY pour port, les connexions TCP se font alors à ce nouveau point de terminaison.

• Les connexions VIA sont traitées de la même façon que les connexions TCP.

Les points de terminaison définis par l'utilisateur se comportent de la même manière que les points de terminaison par défaut. Si un point de terminaison est créé pour une adresse IP (ou pour toutes les adresses IP, en utilisant IP_ANY) et pour un port TCP donné, l'autorisation de se connecter à ce point de terminaison est accordée aux utilisateurs dans un processus appelé approvisionnement. Ils conservent l'approvisionnement, que le serveur écoute ou non sur la combinaison adresse IP/port TCP. Une connexion à une adresse IP et à un port TCP est mise en équivalence à un point de terminaison dans l'ordre suivant :

1. Si l'adresse IP et le port TCP correspondent exactement à l'adresse IP et au port TCP d'un point de terminaison, le point est alors utilisé.

2. Si la correspondance n'est pas exacte, le port TCP fait l'objet d'une vérification par rapport à tous les points de terminaison créés à l'aide de IP_ANY, puis, si le port TCP est répertorié, son point de terminaison équivalent est utilisé.

3. Si aucun port ne correspond exactement, le point de terminaison TCP par défaut est utilisé.

Le processus d'association de connexions entraîne toujours la sélection d'au plus un point de terminaison. L'autorisation de se connecter est alors vérifiée pour ce point. Si l'utilisateur ne bénéficie pas de l'accès à ce point, le processus ne recherche pas le point de terminaison suivant.

Exemples : association des connexions utilisateurs et des points de terminaison

Mise à niveau et/ou installation

Par défaut, tous les utilisateurs ont accès aux points de terminaison TDS (sauf les points de terminaison des connexions administrateur dédiées). Puisque ces points sont créés de façon interne par le serveur, ils ne possèdent aucun propriétaire et vous ne pouvez pas les associer à un compte donné.

Gestion des points de terminaison avec Transact-SQL

Les points de terminaison sont créés et gérés à l'aide de Transact-SQL. Plus précisément, ils sont créés et supprimés par le biais des instructions respectives CREATE ENDPOINT et DROP ENDPOINT. Il existe également des instructions pour contrôler, modifier et s'approprier des points de terminaison.

Pour se connecter à une instance de SQL Server par le biais de points de terminaison Transact-SQL, les utilisateurs doivent bénéficier de l'autorisation CONNECT relative à un point de terminaison ainsi que de l'autorisation globale dans SQL Server pour pouvoir ouvrir une session. L'autorisation de se connecter aux points de terminaison par défaut est accordée de manière implicite aux utilisateurs lors de la création des connexions. L'accès aux points de terminaison est géré par les instructions GRANT | DENY | REVOKE CONNECT ON ENDPOINT.

Lorsqu'un point de terminaison TCP est créé, SQL Server révoque automatiquement toutes les autorisations existantes sur le point de terminaison TSQL Default TCP. Pour obtenir un exemple montrant comment créer un nouveau point de terminaison TCP, consultez Procédure : configurer le moteur de base de données de manière à écouter sur plusieurs ports TCP.

• Pour restreindre l'accès à un point de terminaison, l'administrateur peut refuser l'autorisation au groupe EVERYONE (correspond à « tout le monde ») par le biais de l'instruction DENY CONNECT, puis accorder l'autorisation d'accès à des individus ou des rôles donnés grâce à l'instruction GRANT CONNECT.

• Pour revenir à l'état d'origine des autorisations, accordez une autorisation de connexion (GRANT CONNECT) au groupe PUBLIC.

• Pour indiquer un point de terminaison à une application précise, refusez les autorisations de connexion (DENY CONNECT) à tous les utilisateurs sauf à ceux de l'application en question.

Remarque relative à la sécurité

L'autorisation d'utiliser un point de terminaison est associée au nom du point. Si le nom du point de terminaison change, les restrictions de sécurité (par exemple, les instructions DENY CONNECT) ne s'appliquent plus correctement. Le nom d'un point de terminaison est modifié lors du changement de port. Si SQL Server écoute sur des ports dynamiques, le port peut alors changer entraînant le changement du nom du point de terminaison et la suppression des autorisations associées au point. Pour éviter ce genre de risque pour la sécurité, ne définissez jamais d'autorisation personnalisée à des points de terminaison associés à des ports dynamiques ; ne modifiez pas non plus l'ordre dans lequel un point de terminaison TCP/IP est défini dans le Registre.

Pour plus d'informations sur la définition de la sécurité des points de terminaison, consultez GRANT – octroi d'autorisations de point de terminaison (Transact-SQL).

Voir aussi

Référence