Грешка в CredSSP на отдалечен работен плот: Заявената функция не се поддържа

Съобщението „Заявената функция не се поддържа“ в отдалечен работен плот Може да се появи придружено от препратка към корекцията на оракула за криптиране CredSSP. В този случай трябва да прегледате актуализациите и политиките за сигурност както на клиента, така и на отдалечената машина.

Някои ръководства препоръчват директно модифициране AllowEncryptionOracle и присвойте стойността 2Тази промяна може да позволи определени връзки, но активира режим, наречен УязвимПреди да го използвате, идентифицирайте грешката и проверете дали можете да отстраните несъвместимостта, като актуализирате и двата края.

Как да идентифицирате грешката CredSSP в отдалечен работен плот

Microsoft документира сценарий, при който RDP връзката показва грешка при удостоверяване, показва, че заявената функция не се поддържа и добавя препратка към Отстраняване на криптиране чрез оракул CredSSP.

CredSSP ви позволява да делегирате идентификационни данни за отдалечено удостоверяване. Опциите му за съвместимост могат да предотвратят връзки, които биха разчитали на уязвими версии на протокола.

Преди да промените каквито и да е настройки, копирайте цялото съобщение и всички кодове, които се появяват. Тези ситуации изискват различна диагностика:

Съобщение или симптом	Какво трябва да проверите
Заявената функция не се поддържа и в известието се споменава CredSSP.	Директива за актуализации и корекции на криптографския оракул.
Токенът, предаден на функцията, е невалиден, с код 0xC000000D.	Конкретното въздействие на RDP и защитата на администратора, ако отговаря на вашите условия.
Предупреждение относно идентичността или сертификата на оборудването.	Име на връзката, доверие и валидност на сертификата.
Устройството не отговаря или връзката е изтекла.	Наличност на дестинациите, свързаност и правила за достъп.

Изричното позоваване на CredSSP е важно за тази диагноза. Не приписвайте грешка при удостоверяване на тази директива само защото съдържа думата „функция“.

Актуализирайте клиента и отдалечения екип

За документирания сценарий на несъвместимост, Microsoft препоръчва Инсталирайте актуализации на CredSSP както на клиента, така и на сървъратака че връзката да може да бъде установена сигурно.

Клиентът е компютърът, от който отваряте връзката. Сървърът или хостът е компютърът, до който се опитвате да получите достъп.

1. Идентифицирайте версията и компилацията на Windows и на двата компютъра, като използвате winver.
2. Проверете историята на актуализациите му.
3. Инсталирайте актуализациите, приложими за всяка версия, чрез Windows Update или системата за управление на вашата организация.
4. Изпълнете рестартиранията, изисквани от инсталацията.
5. Тествайте връзката отново, преди да променяте съвместимостта на CredSSP.

Уязвимостта, довела до тези опции, е идентифицирана като CVE-2018-0886Някои официални инструкции включват исторически корекции за по-стари системи: тези идентификатори не трябва да се прехвърлят автоматично към текуща инсталация на Windows 11.

Ако не можете да актуализирате местоназначението, защото RDP е блокиран, използвайте локален достъп или налична конзола за управление. За виртуални машини вижте опциите за възстановяване, предоставени от вашата платформа.

Какво означават стойностите на AllowEncryptionOracle?

Директивата Корекция на криптиране от Oracle, или корекция на криптиращ оракул, контролира съвместимостта с уязвимите версии на CredSSP.

Уърт	Режим	Поведение
0	Принудително актуализиране на клиентите.	Това предотвратява използването на несигурни версии и отхвърля клиенти без актуализации.
1	Смекчено.	Клиентът не се връща към несигурна версия, но сървърът може да приема клиенти без актуализиране.
2	Уязвим.	Позволява съвместимост с несигурни версии и приема клиенти без актуализации.

Тези стойности не представляват три еквивалентни нива за отстраняване на грешка. Те променят условията за сигурност и съвместимост на връзките.

Преди да изисквате актуализирани клиенти, използвайки най-рестриктивната опция, проверете дали всички устройства, които трябва да комуникират, имат съответните актуализации.

Как да се консултирате с директивата, без да я променяте

На компютри, които имат редактора на групови правила, можете да прегледате настройката от този път:

Конфигурация на компютъра > Административни шаблони > Система > Делегиране на идентификационни данни > Корекция на шифроването в Oracle.

На управляван компютър проверете също кой GPO или профил за управление задава стойността. Локалната конфигурация може да е предмет на организационни политики.

За да проверите стойността в системния регистър, без да я променяте, отворете конзолата и изпълнете:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Ако стойността съществува, запишете резултата и го сравнете с приложената политика. Ако не се появи, проверете действителната конфигурация и поведение на тази версия на Windows, преди да създадете запис ръчно.

Предишната заявка не променя конфигурацията. Целта ѝ е да открие например дали старо изключение остава зададено в режим „Уязвим“.

Защо AllowEncryptionOracle=2 не трябва да е постоянният масив

Microsoft документира уязвимия режим като временно решение за определени сценарии на несъвместимост. Също така предупреждава, че той позволява несигурни връзки и излага отдалечения компютър на атаки.

Само защото връзката работи след задаване на стойност 2, не означава, че уязвимостта е отстранена. Проверката за съвместимост е облекчена.

Ако една организация трябва да приложи това изключение, тя първо трябва да документира предишната настройка, да ограничи обхвата ѝ и да се подготви за актуализиране на оборудването. След това трябва да премахне изключението и да провери дали RDP функционира съгласно предвидената политика за защита.

Можете да проверите сценариите и техните условия в Официална документация на Microsoft относно грешката CredSSP.

Кога да проверите RDP свързаността и настройките

Ако съобщението не съответства на грешката CredSSP или местоназначението изобщо не отговаря, първо проверете дали компютърът е включен, свързан и дали е активиран отдалечен работен плот.

В Windows 11 опцията се намира в Настройки > Система > Отдалечен работен плотДомашните издания не могат да действат като хост за интегрираната RDP услуга, въпреки че могат да се свързват като клиенти с други съвместими компютри.

Активирането на „Отдалечена помощ“ е различна настройка и не замества активирането на „Отдалечен работен плот“.

За директна RDP връзка, използваща обичайния порт, можете да проверите TCP свързаността от PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Заменя PC-OFICINA по името или адреса на дестинацията и използва действителния ѝ порт, ако той се е променил.

TcpTestSucceeded: True показва, че TCP връзката към този порт е била успешно установена. Това не потвърждава, че идентификационните данни са правилни или че RDP удостоверяването ще бъде завършено.

Ако използвате RDS шлюз, проверете маршрутизацията и специфичните изисквания на тази имплементация. Прегледайте правилата на защитната стена за предвидения достъп, като избягвате безразборното активиране на мрежови профили или излагането на порта към интернет.

Как да проверя за неправилно запазени идентификационни данни

Ако съобщението показва, че акаунтът или паролата са неправилни, проверете коя самоличност използва клиентът. Възможно е все още да има стари идентификационни данни, свързани с името или адреса на отдалечения компютър.

1. Отворете Мениджър на удостоверения от търсачката на Windows.
2. Въведете Удостоверения за Windows.
3. Намерете записа, съответстващ на засегнатата дестинация.
4. Ако трябва да го замените и имате текущите идентификационни данни, изтрийте само този запис.
5. Свържете се отново и въведете правилния акаунт.

Също така проверете дали ви е необходим локален компютърен акаунт или акаунт в домейн. Преименувайте потребителите, използвайки netplwiz Това не е процедурата за коригиране на парола, запазена на клиента.

Тази проверка е свързана с проблеми с идентичността. Тя не замества актуализирането на CredSSP, когато предупреждението идентифицира тази несъвместимост.

Какво да проверите, преди да считате проблема за решен

След като актуализирате системите и прегледате правилата, започнете нова сесия с потребителя, който е имал проблема. Проверете дали можете да се удостоверите, без да поддържате ненужно изключение в режим „Уязвим“.

Ако проблемът продължава, съберете пълното съобщение, версията на двете системи, всички инсталирани актуализации и приложените настройки. Ако се появи предупреждение, специфично за сертификата, прегледайте този сертификат, следвайки процедурите на вашата имплементация.

Промяната на сертификати, намаляването на резолюцията или актуализирането на мрежови драйвери не трябва да са част от автоматична последователност за всяка грешка при удостоверяване. Следващата стъпка трябва да се справи с постоянния симптом.