SQL Server白名单不生效主因是云平台安全组未放行1433端口TCP流量，且需检查网络ACL、子网ACL；同时须启用SQL身份验证、启用sa账号、使用外网地址连接，并配置Navicat SSL模式为Require。
SQL Server 白名单设置不生效？先确认端口和协议
navicat 连不上云端 sql server，八成不是 navicat 的问题，而是云厂商（阿里云、腾讯云、华为云等）的网络策略卡住了。白名单只控制 ip 访问权限，但前提是实例监听的端口（默认 1433）已放行，且安全组/防火墙允许 tcp 入方向流量。
- 检查云控制台中该 SQL Server 实例对应的安全组规则：必须有一条入方向规则，协议为
TCP，端口范围含1433（或你自定义的端口），源 IP 填你的本地公网 IP（不是内网 IP，也不是0.0.0.0/0） - 有些云平台还分“网络 ACL”和“安全组”，两者都要检查；华为云还有“子网 ACL”，别漏掉
- 若用的是 NAT 网关或公司代理上网，需填代理出口的真实公网 IP，可用浏览器访问
https://ifconfig.me确认
Navicat 连接时提示“Cannot open server”或“Login failed”
这类错误表面是认证失败，实际常因连接前置条件未满足——比如实例没开远程登录、SQL Server 身份验证模式不对、或者登录用户没被授权远程访问。
- 登录云数据库控制台，确认 SQL Server 实例的“SQL Server 身份验证”已启用（仅 Windows 身份验证模式下，Navicat 无法直连）
- 确保你用的账号是
sa或已显式授予login权限的 SQL 登录用户（非 Windows 用户），且该用户状态为Enabled - 部分云厂商默认禁用
sa账号，需在控制台手动启用并重置密码；切勿在 SSMS 里直接改，云环境可能不生效 - 连接时主机名填云平台提供的「外网连接地址」（形如
xxx.sqlserver.rds.aliyuncs.com），不是内网地址，也不是localhost
连接成功但查询超时或卡死？检查是否启用了加密强制
很多云厂商默认开启“强制加密连接”（Force Encryption），而 Navicat 默认不校验证书也不发送加密协商，导致握手卡住或查询无响应。
- 在 Navicat 新建连接时，点开
Connection Settings > SSL标签页 - 勾选
Use SSL，并将SSL Mode设为Require（不是Prefer或Disable） - 若仍报证书错误（如
Certificate verification failed），可临时选Allow untrusted certificate—— 生产环境应导出云厂商提供的根证书并导入系统信任库 - 不加 SSL 的连接，在某些云区域（如阿里云华东 1）会直接被中间网关 reset，现象就是 Navicat 显示“连接已建立”，但执行任意语句都 hang 住
为什么 Navicat 测试连接成功，但实际连不上数据库？
Navicat 的“Test Connection”只验证到实例层面（即能连上 SQL Server 服务进程），并不校验你指定的数据库是否存在、是否有访问权限，甚至不检查数据库名拼写是否大小写敏感（Linux 版 SQL Server 区分大小写）。
- 连接配置里的
Database字段填的是初始连接库名，必须真实存在且该登录用户有CONNECT权限；空着或填错会导致后续所有操作失败 - 如果目标库是用户新建的，确认它不在
master或tempdb等系统库上下文中被误删；也检查是否处于RESTORING或OFFLINE状态（云控制台可查） - Navicat 旧版本（v15 以前）对 SQL Server 的
Always On可读副本支持不稳定，若连的是只读地址，需升级 Navicat 或换用sqlcmd验证
白名单和实例配置只是入口，真正卡住人的往往是 SSL 模式、数据库上下文、以及云平台对 sa 账号的隐藏限制——这些细节不报错，但会让连接看起来“半通不通”。
