系统常识 SQL Server网络跨网段
跨网段连接 SQL Server 的网络基础要求
跨网段连 SQL Server 与同网段的差别：路由、中间设备 ACL、Kerberos 跨子网限制，以及跨网段连接失败的排查顺序。
发布于 2026/11/11
所属频道 SQL Server
结论先行
跨网段连接 = 同网段所有要求 + 路由可达 + 中间设备的 ACL 放行。数据库端口（TCP 1433/实例端口）必须被沿途每一道防火墙/安全组放行，缺一断一。此外 Windows 认证（Kerberos）跨子网有额外限制，跨网段场景建议优先用 SQL 认证或 VPN 打通。
比同网段多出来的三道检查
| 检查项 | 同网段 | 跨网段 |
|---|---|---|
| 端对端防火墙 | 只看两端 | 沿途每台设备都要放行 TCP 1433（或实例端口） |
| 路由 | 二层直连即可 | 三层路由可达，ping/tracert 先确认 |
| 身份验证协议 | 集成认证顺 | Kerberos 跨子网受限，优先 SQL 认证 |
排查顺序
tracert 目标主机：看路由在哪个中间设备断掉；- 每个中间节点的 ACL/安全组：TCP 1433（命名实例则是其实例端口）是否放行；
- 两端 Windows 防火墙：入站规则（服务器侧）+ 出站规则（客户端侧，少见但存在）；
- 都通之后用 SSMS 管理工具条目 连接，仍失败再查引擎层（登录映射、远程访问开关）。
云环境把「中间设备」理解为安全组 + VPC 对等/网关：数据库所在实例的安全组入方向要放行来源网段，这是云跨网段最常见堵点。
身份验证协议怎么选
- 同一域内（含跨子网）：Windows 认证 + 域配置支持时可用，报「集成身份验证不受支持」类提示则改 SQL 认证。
- 跨域/无域环境：直接 SQL 认证，账号密码走专用应用账号，不用 sa。
SQL Server 2022 Developer 条目环境配合两台不同网段的机器即可演练；跨网段连通性测试方法另见「程序访问 SQL Server 怎么先做连通性检查」相关条目，SQL Server 产品族条目 中网络要求各版本通用。