SQL——登陆触发器实现限制IP

【转载】原文地址：https://www.baidu.com/link?url=N-SM28ge21TTYky79dYk8otsjKgYCIpy-0RBSvMV25f8KSOsYczhxTOCzeNZhaNV-U6gy-xVhAVcyRwiCTLYG_&wd=&eqid=d5aab7f6000533a4000000035afa3701

1.问题背景：

之前有客户朋友在做数据安全加固项目的时候和我聊到，SQLServer能不能像mysql一样设置类似的IP访问白名单、黑名单，以此来加强数据访问安全。我们知道mysql里有张mysql.user表记录了用户的权限信息，其中host、user字段就是用来限制用户IP访问权限的。

当然SQL Server和Oracle是没有这样的权限表的，换个思路，SQLServer我们可以通过登录触发器来间接实现同样的功能，而oracle可通过sqlnet.ora文件中添加CP.VALIDNODE_CHECKING参数来实现

2.登录触发器

SQLServer 包括三种常规类型的触发器：DML TRIGGER、DDL TRIGGER和LOGONTRIGGER。DML触发器是比较常使用的，它主要针对表或视图中的数据修改（INSERT、UPDATE和DELETE等）在激发任何有效的事件时，将会激发这些触发器，而无论是否会影响任何表行；DDL触发器用于响应各种数据定义语言 (DDL) 事件。 这些事件主要对应于Transact-SQL CREATE、ALTER 和 DROP 语句，以及执行类似 DDL操作的某些系统存储过程。 而登录触发器在遇到 LOGON 事件时触发，LOGON 事件是在建立用户会话时引发的，也是我们此文将要提及的触发器。

3.限制登录条件

比如说

1）限制某个login（比如test）只能在本机或指定IP登录

2）限制服务器角色（比如sysadmin）只能在本机或指定IP登录

3）限制某个login（比如testtime）只能在某个时间段登录同时记录非法登录日志

4.实现过程

1）限制某个login（比如test）只能在本机或指定IP登录

当检测到登录账号为test时，则会限制该账号只能在本机，或IP地址为192.168.0.108或192.168.0.109上登录。此例涉及到EVENTDATA()函数，有兴趣可以到msdn上查看其使用方法。

代码：

 --创建test登录账号

 CREATE LOGIN test WITH PASSWORD = 'test'

 GO

 --创建登录触发器

 ALTER TRIGGER [restrict_login]
 --控制 数据库引擎使用sa用户帐户来验证对模块引用的对象的权限,是借用，仅在此存储过程中有用
 ON ALL SERVER WITH EXECUTE AS 'sa'

 FOR LOGON

 AS

 BEGIN
 --返回连接到 SQL Server 实例的登录名，并校验
 IF ORIGINAL_LOGIN()= 'test'

 AND
 --返回有关服务器或数据库事件的信息。校验登陆事件的IP是否为指定IP
 (SELECT EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(15)'))

 NOT IN('','192.168.0.108','192.168.0.109')
 --在隐式或显式调用 EVENTDATA 的事务提交或回滚之后，EVENTDATA 所返回的数据将无效。
      ROLLBACK;

 END;

若test账号在除'','192.168.0.108','192.168.0.109'之外的服务器上登录时，则会抛出如下错误

但是在本机上使用test账号则能正常登录，使用以下代码查看登录情况：

SELECT a.[session_id],a.[login_time],a.[host_name],

a.[original_login_name],b.[client_net_address]

FROM MASTER.sys.dm_exec_sessions a 

INNER JOIN MASTER.sys.dm_exec_connections b 

ON a.session_id=b.session_id

2）限制服务器角色（比如sysadmin）只能在本机或指定IP登录

这里我们效仿mysql里的user表，设置了一个IP表来限制访问IP。

当检测到登录login为sysadmin服务器角色（这个角色可以设为diskadmin,dbcreator等9种服务器角色中的任一种），且登录ip地址不在dbo.connectip定义的有效ip地址内，则拒绝登录访问

代码：

 --创建IP过滤表

 USE db22

 GO

 CREATE TABLE dbo.connectip ( 

     IP NVARCHAR(20), 

     CONSTRAINT PK_IP PRIMARY KEY CLUSTERED(IP) 

 ); 

 GO

 --插入白名单IP

 USE db22

 GO

 INSERT INTO dbo.connectip(IP) VALUES('');

 INSERT INTO dbo.connectip(IP) VALUES('192.168.0.108');

 --创建登录触发器

 CREATE TRIGGER [restrict_login_check] 

 ON ALL SERVER 

 FOR LOGON 

 AS 

 BEGIN
 --指示 SQL Server 登录名是否为指定服务器角色的成员
     IF IS_SRVROLEMEMBER('sysadmin') = 1

     BEGIN 

         DECLARE @IP NVARCHAR(20); 

         SET @IP = (SELECT EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(20)')); 

         IF NOT EXISTS(SELECT IP FROM [db22].dbo.connectip WHERE IP = @IP) 

         ROLLBACK;

     END;

 END;

当我们从ip地址为192.168.0.108（不在有效ip内）服务器上以sa（sysadmin角色）用户远程登录的话，会抛出如下错误

但是我们却可以以不受限的tete账户从192.168.0.106来登录

如果想把这个表内的ip都加密，结果发现不一致导致登录失败了，怎么都进不来，怎么办？按照以下步骤来：

1.打开Sql Server Manage Studio，不要登录（反正是会失败），去菜单：“文件”--“新建”--“使用当前连接的查询”，在打开的登录窗口中，服务器名称输入：ADMIN:127.0.0.1

，账号sa + 原密码，，点击登录，成功

2.在打开的查询界面执行：drop trigger tr_logon_CheckIP on all server   执行成功，就删除掉这个触发器了

3.重新登录sa，发现可以进去了

3）限制某个login（比如testtime）只能在某个时间段登录，同时记录非法登录信息

假设一个场景，我们规定某些用户只能晚上固定某个时间段登录服务器进行一些报表拉取操作，而白天不允许其登录，那么此例可以帮助我们实现而且能达到监控的目的。

代码：

 --创建登录账号

 CREATE LOGIN testnight WITH PASSWORD = 'testnight'

 GO

 --创建拦截日志表

 USE db22

 GO

 CREATE TABLE dbo.login_record ( 

     [Id] INT IDENTITY(1,1),

     [session_id] SMALLINT,

     [login_time] DATETIME,

     [host_name] NVARCHAR(128),

     [original_login_name] NVARCHAR(128),

     [client_net_address] VARCHAR(48),

     CONSTRAINT PK_id PRIMARY KEY CLUSTERED(Id) 

 ); 

 --创建登录触发器

 ALTER TRIGGER [restrict_login_record]

 ON ALL SERVER WITH EXECUTE AS 'sa'

 FOR LOGON

 AS

 BEGIN

     IF ORIGINAL_LOGIN()='testnight' AND

     DATEPART(hh,GETDATE()) BETWEEN 9 AND 18

     BEGIN

         ROLLBACK;

         INSERT INTO [db22].[dbo].[login_record]

             ([session_id]

             ,[login_time]

             ,[host_name]

             ,[original_login_name]

             ,[client_net_address])

         SELECT 

             a.[session_id],a.[login_time],a.[host_name],

             a.[original_login_name],b.[client_net_address]

             FROM MASTER.sys.dm_exec_sessions a 

             INNER JOIN MASTER.sys.dm_exec_connections b 

             ON a.session_id=b.session_id

             WHERE a.session_id = @@SPID

     END;

 END;

此例中，如果testnight用户在白天9:00-18:00任意时间登录，则会抛出如下登录错误

同时会在拦截日志表dbo.login_record中有如下记录：

甚至我们可以模仿mysql里的mysql.user表建立一个含host,user字段的登录白名单表，用来保存用户与IP对应关系，这样就可以对所有用户进行管控了，其实它的实现也很简单，主要是一个取IP的方法：EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]','NVARCHAR(15)')，然后与白名单表里的IP和user做比对，若白名单表里没有对应项，则ROLLBACK并记录登录信息到log表即可，这里就不赘述了，有兴趣的朋友可以试试。