限制 SQL Server 僅允許指定 IP 連線的多種實作方法

前言

在企業環境中，為了強化資料庫安全性，常需限制 SQL Server 僅接受特定用戶端 IP 連線。本文將介紹三種不同層級的實作方式：防火牆規則、SQL Server 2005 端點限制，以及登入觸發器，並說明各自的適用場景與優缺點。

方法一：防火牆層級限制（最推薦）

最直接且效能最好的方式是在網路層級攔截。在 Windows 防火牆或前端網路防火牆建立規則，僅允許特定 IP 位址存取 SQL Server 的連接埠（預設為 TCP 1433）。

• 優點：封包在進入作業系統前即被過濾，不佔用資料庫資源；設定簡單，不影響應用程式邏輯。
• 建議：為避免預設連接埠被掃描，建議將 SQL Server 監聽連接埠修改為非預設值（如 11433），並同步更新防火牆規則。

方法二：SQL Server 2005 端點限制

若使用 SQL Server 2005，可透過「端點」功能，將 TCP 通訊綁定至特定網卡 IP，達到類似效果。此法需伺服器擁有專用網卡（範例 IP：192.168.1.1）。

操作步驟

1. 開啟 SQL Server 組態管理員，在「SQL Server 2005 網路組態」中，停用除 TCP/IP 以外的所有協定。
2. 執行 T-SQL 停用預設 TCP 端點：

   ALTER ENDPOINT [TSQL Default TCP] STATE = STOPPED;

3. 建立新的 TCP 端點並綁定指定 IP：

   USE master;
   GO
   CREATE ENDPOINT [TSQL User TCP]
   STATE = STARTED
   AS TCP (
       LISTENER_PORT = 1433,
       LISTENER_IP = (192.168.1.1) -- 監聽的網卡 IP
   )
   FOR TSQL();
   GO

4. 授權登入使用該端點（範例授權 public 角色，實務上建議限縮至特定登入）：

   GRANT CONNECT ON ENDPOINT::[TSQL User TCP] TO [public];

完成後，僅透過 192.168.1.1 這張網卡連入的用戶端能存取 SQL Server。若搭配登入授權，可進一步限制特定帳號。

方法三：登入觸發器（SQL Server 2005 SP2+）

利用 LOGON 觸發器，在登入階段攔截非授權 IP。此法彈性高，可寫入複雜邏輯，但會增加每次連線的額外負擔。

範例程式碼

USE master;
GO
CREATE TRIGGER tr_LoginCheck
ON ALL SERVER
FOR LOGON
AS
BEGIN
    IF EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'varchar(15)') <> '192.168.1.1'
        ROLLBACK TRAN;
END;
GO

注意：觸發器內發生錯誤會導致所有登入失敗，部署前務必充分測試，並保留專用管理連線 (DAC) 以便緊急處理。

總結比較

最佳實務：採用「防火牆為主，端點/觸發器為輔」的纵深防禦策略，並定期稽核連線日誌。