CredSSP-fejl på Fjernskrivebord: Den ønskede funktion understøttes ikke

Beskeden "Den ønskede funktion understøttes ikke" i Fjernskrivebord Det kan forekomme ledsaget af en henvisning til CredSSP-krypterings-oracle-rettelsen. I så fald bør du gennemgå opdateringerne og sikkerhedspolitikkerne for både klienten og den eksterne maskine.

Nogle guider anbefaler at ændre direkte AllowEncryptionOracle og tildele værdien 2Denne ændring tillader muligvis visse forbindelser, men den aktiverer en tilstand kaldet SårbarFør du bruger den, skal du identificere fejlen og kontrollere, om du kan løse inkompatibiliteten ved at opdatere begge ender.

Sådan identificerer du CredSSP-fejlen i Fjernskrivebord

Microsoft dokumenterer et scenarie, hvor RDP-forbindelsen viser en godkendelsesfejl, angiver, at den anmodede funktion ikke understøttes, og tilføjer en reference til CredSSP-kryptering Oracle-afhjælpning.

CredSSP giver dig mulighed for at delegere legitimationsoplysninger til fjerngodkendelse. Dens kompatibilitetsmuligheder kan forhindre forbindelser, der ville være afhængige af sårbare versioner af protokollen.

Før du ændrer indstillinger, skal du kopiere hele meddelelsen og eventuelle koder, der vises. Disse situationer kræver forskellige diagnosticeringer:

Besked eller symptom	Hvad du bør tjekke
Den ønskede funktion understøttes ikke, og meddelelsen nævner CredSSP.	Direktiv om opdateringer og korrektioner for kryptografisk orakel.
Det token, der er sendt til funktionen, er ugyldigt med koden 0xC000000D.	Den specifikke indvirkning af RDP og administratorbeskyttelse, hvis det matcher dine betingelser.
Advarsel om udstyrets identitet eller certifikat.	Forbindelsesnavn, tillid og certifikatgyldighed.
Enheden svarer ikke, eller forbindelsen får timeout.	Destinations tilgængelighed, forbindelse og adgangsregler.

Den eksplicitte henvisning til CredSSP er vigtig for denne diagnose. Tilskriv ikke en godkendelsesfejl til direktivet blot fordi det indeholder ordet "funktion".

Opdater klienten og fjernteamet

For det dokumenterede inkompatibilitetsscenarie anbefaler Microsoft Installer CredSSP-opdateringer på både klienten og serverenså forbindelsen kan etableres sikkert.

Klienten er den computer, hvorfra du åbner forbindelsen. Serveren eller værten er den computer, du forsøger at få adgang til.

1. Identificer Windows-versionen og build-versionen af ​​begge computere ved hjælp af winver.
2. Tjek dens opdateringshistorik.
3. Installer de opdateringer, der er relevante for hver version, via Windows Update eller din organisations administrationssystem.
4. Udfør de genstarter, som installationen anmoder om.
5. Test forbindelsen igen, før du ændrer CredSSP-kompatibiliteten.

Sårbarheden, der førte til disse muligheder, er identificeret som CVE-2018-0886Nogle officielle instruktioner inkluderer historiske programrettelser til ældre systemer: disse identifikatorer bør ikke automatisk overføres til en nuværende Windows 11-installation.

Hvis du ikke kan opdatere destinationen, fordi RDP er blokeret, skal du bruge lokal adgang eller en tilgængelig administrationskonsol. For virtuelle maskiner skal du se de gendannelsesmuligheder, der findes på din platform.

Hvad betyder værdierne i AllowEncryptionOracle?

Direktivet Kryptering Oracle-afhjælpning, eller krypteringsorakelkorrektion, styrer kompatibilitet med sårbare versioner af CredSSP.

Værdi	Mode	Opførsel
0	Tving opdaterede klienter.	Det forhindrer brugen af ​​usikre versioner og afviser klienter uden opdateringer.
1	Afbødet.	Klienten vender ikke tilbage til en usikker version, men serveren kan acceptere klienter uden at opdatere.
2	Sårbar.	Den tillader kompatibilitet med usikre versioner og accepterer klienter uden opdateringer.

Disse værdier repræsenterer ikke tre ækvivalente niveauer for fejlfinding. De ændrer sikkerheds- og kompatibilitetsbetingelserne for forbindelserne.

Før du kræver opdaterede klienter ved hjælp af den mest restriktive mulighed, skal du kontrollere, at alle enheder, der skal kommunikere, har de tilsvarende opdateringer.

Sådan konsulterer du direktivet uden at ændre det

På computere med Gruppepolitikeditor kan du gennemgå indstillingen fra denne sti:

Computerkonfiguration > Administrative skabeloner > System > Legitimationsdelegering > Kryptering Oracle-rettelse.

På en administreret computer skal du også kontrollere, hvilken GPO eller administrationsprofil der angiver værdien. En lokal konfiguration kan være underlagt organisationspolitikker.

For at kontrollere registreringsværdien uden at ændre den, skal du åbne en konsol og køre:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Hvis værdien findes, skal du notere resultatet og sammenligne det med den anvendte politik. Hvis det ikke vises, skal du se den faktiske konfiguration og funktionsmåde for den pågældende version af Windows, før du manuelt opretter en post.

Den forrige forespørgsel ændrer ikke konfigurationen. Dens formål er f.eks. at registrere, om en gammel undtagelse forbliver i sårbar tilstand.

Hvorfor AllowEncryptionOracle=2 ikke bør være det permanente array

Microsoft dokumenterer sårbar tilstand som en midlertidig løsning til visse inkompatibilitetsscenarier. Den advarer også om, at den tillader usikre forbindelser og udsætter fjerncomputeren for angreb.

Bare fordi en forbindelse fungerer efter at værdien er indstillet til 2, betyder det ikke, at sårbarheden er blevet rettet. En kompatibilitetskontrol er blevet lempet.

Hvis en organisation skal anvende denne undtagelse, skal den først dokumentere den tidligere indstilling, begrænse dens omfang og forberede opdatering af udstyret. Derefter skal den fjerne undtagelsen og verificere, at RDP fungerer i henhold til den tilsigtede beskyttelsespolitik.

Du kan tjekke scenarierne og deres betingelser i Officiel Microsoft-dokumentation om CredSSP-fejlen.

Hvornår skal RDP-forbindelse og -indstillinger kontrolleres

Hvis meddelelsen ikke stemmer overens med CredSSP-fejlen, eller destinationen slet ikke svarer, skal du først kontrollere, at computeren er tændt, tilsluttet og har Fjernskrivebord aktiveret.

I Windows 11 er indstillingen placeret i Indstillinger > System > FjernskrivebordHjemmeudgaver kan ikke fungere som vært for den integrerede RDP-tjeneste, selvom de kan oprette forbindelse som klienter til andre kompatible computere.

Aktivering af Fjernsupport er en anden indstilling og erstatter ikke aktivering af Fjernskrivebord.

For en direkte RDP-forbindelse ved hjælp af den sædvanlige port, kan du kontrollere TCP-forbindelsen fra PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Erstatter PC-OFICINA efter destinationsnavnet eller -adressen og bruger dens faktiske port, hvis den er ændret.

TcpTestSucceeded: True angiver, at en TCP-forbindelse til den port er blevet etableret. Den bekræfter ikke, at legitimationsoplysningerne er korrekte, eller at RDP-godkendelsen vil blive fuldført.

Hvis du bruger en RDS-gateway, skal du kontrollere routingen og de specifikke krav til den pågældende implementering. Gennemgå firewallreglerne for den tilsigtede adgang, og undgå at aktivere netværksprofiler vilkårligt eller eksponere porten for internettet.

Sådan tjekker du for forkerte gemte legitimationsoplysninger

Hvis meddelelsen angiver, at kontoen eller adgangskoden er forkert, skal du kontrollere, hvilken identitet klienten bruger. En gammel legitimationsoplysninger kan stadig være knyttet til fjerncomputerens navn eller adresse.

1. Åbn Legitimationsadministrator fra Windows-søgemaskinen.
2. Indtast Windows-legitimationsoplysninger.
3. Find den post, der svarer til den berørte destination.
4. Hvis du har brug for at erstatte den, og du har de nuværende legitimationsoplysninger, skal du kun slette den post.
5. Genopret forbindelse, og indtast den korrekte konto.

Tjek også, om du har brug for en lokal computerkonto eller en domænekonto. Omdøb brugere ved hjælp af netplwiz Dette er ikke proceduren til at rette en adgangskode, der er gemt på klienten.

Denne kontrol vedrører identitetsproblemer. Den erstatter ikke opdatering af CredSSP, når advarslen identificerer denne inkompatibilitet.

Hvad skal man kontrollere, før man betragter problemet som løst

Efter opdatering af systemerne og gennemgang af politikkerne, skal du starte en ny session med den bruger, der oplevede problemet. Bekræft, at du kan godkende uden at opretholde en unødvendig undtagelse i sårbar tilstand.

Hvis problemet fortsætter, skal du indsamle den fulde meddelelse, versionen af ​​begge systemer, eventuelle installerede opdateringer og de anvendte indstillinger. Hvis der vises en certifikatspecifik advarsel, skal du gennemgå certifikatet i henhold til implementeringens procedurer.

Ændring af certifikater, reduktion af opløsning eller opdatering af netværksdrivere bør ikke være en del af en automatisk sekvens for hver godkendelsesfejl. Det næste trin bør adressere det vedvarende symptom.