Windows 11 開啟舊程式出現「[DBNETLIB][ConnectionOpen (SECDoClientHandshake()).]S

panaplat

Windows 11 開啟舊程式出現「[DBNETLIB][ConnectionOpen (SECDoClientHandshake()).]SSL 安全設定錯誤」

一、問題狀況
在 Windows 11 電腦上執行舊程式時，程式無法連線資料庫，出現以下錯誤訊息：

1. [DBNETLIB][ConnectionOpen (SECDoClientHandshake()).]SSL 安全設定錯誤。

複製代碼

資料庫主機為 Windows XP 系統上的 SQL Server。

二、原因

• 舊程式使用 Windows 內建的舊式 SQL Server 連線元件（DBNETLIB），與資料庫建立連線時需經過加密握手。
• Windows XP 最高僅支援 TLS 1.0 加密協定，且僅支援 3DES、RC4 等舊式加密方式。
• 新版 Windows 11 預設已停用 TLS 1.0，並將 3DES、RC4 從加密方式清單中移除，導致雙方沒有共同可用的加密協定與加密方式，握手失敗。
  

三、處理方式
於每台需執行舊程式的 Windows 11 電腦上，以「系統管理員身分」開啟 PowerShell，依序執行以下兩行指令。

1. 啟用 TLS 1.0（僅用戶端）：

1. $p='HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client'; if (!(Test-Path $p)) { New-Item $p -Force | Out-Null }; New-ItemProperty $p -Name Enabled -Value 1 -PropertyType DWord -Force | Out-Null; New-ItemProperty $p -Name DisabledByDefault -Value 0 -PropertyType DWord -Force | Out-Null; Get-ItemProperty $p | Select-Object Enabled, DisabledByDefault

複製代碼

執行後顯示 Enabled 為 1、DisabledByDefault 為 0，即表示設定完成。

2. 加回 3DES 加密方式：

1. Enable-TlsCipherSuite -Name TLS_RSA_WITH_3DES_EDE_CBC_SHA; (Get-TlsCipherSuite).Name -contains 'TLS_RSA_WITH_3DES_EDE_CBC_SHA'

複製代碼

執行後顯示 True，即表示設定完成。

完成上述兩項設定後，直接開啟舊程式即可正常連線，經實測無須重新開機；若仍無法連線，請重新開機後再試。
注意：僅啟用 TLS 1.0 無法解決問題，兩項設定缺一不可。

四、安全性說明

• TLS 1.0 僅開啟用戶端，未開啟伺服器端，外部無法以 TLS 1.0 連入本機。
• 3DES 位於加密方式清單最末位，連線新式網站或伺服器時仍優先採用較強的加密方式，僅於對方只支援舊式加密（如本案 XP 主機）時才會使用。
• 此連線僅於公司內部網路使用，安全程度與過去舊電腦連線該主機時相同。
  

五、還原方式
如日後資料庫主機汰換、不再需要上述設定，可以系統管理員身分執行以下指令還原：

1. Disable-TlsCipherSuite -Name TLS_RSA_WITH_3DES_EDE_CBC_SHA; Remove-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -Name Enabled, DisabledByDefault

複製代碼