CredSSP-virhe etätyöpöydällä: Pyydettyä ominaisuutta ei tueta

Viesti "Pyydettyä toimintoa ei tueta" etätyöpöydällä Sen mukana saattaa tulla viittaus CredSSP-salausoraakkelin korjaukseen. Tässä tapauksessa sinun tulee tarkistaa sekä asiakkaan että etäkoneen päivitykset ja suojauskäytännöt.

Jotkut oppaat suosittelevat suoraa muokkaamista AllowEncryptionOracle ja määritä arvo 2Tämä muutos saattaa sallia tietyt yhteydet, mutta se aktivoi tilan nimeltä HaavoittuvaEnnen käyttöä tunnista virhe ja tarkista, voitko ratkaista yhteensopimattomuuden päivittämällä molemmat päät.

CredSSP-virheen tunnistaminen etätyöpöydällä

Microsoft dokumentoi skenaarion, jossa RDP-yhteys näyttää todennusvirheen, ilmoittaa, että pyydettyä funktiota ei tueta, ja lisää viittauksen kohteeseen CredSSP-salaus oracle-korjaus.

CredSSP:n avulla voit delegoida tunnistetiedot etätodennusta varten. Sen yhteensopivuusasetukset voivat estää yhteyksiä, jotka olisivat riippuvaisia ​​protokollan haavoittuvista versioista.

Ennen kuin muutat asetuksia, kopioi koko viesti ja kaikki näkyviin tulevat koodit. Nämä tilanteet vaativat erilaista diagnostiikkaa:

Viesti tai oire	Mitä sinun tulisi tarkistaa
Pyydettyä funktiota ei tueta ja ilmoituksessa mainitaan CredSSP.	Kryptografisten oraakkelien päivitykset ja korjausdirektiivi.
Funktiolle välitetty tunnus on virheellinen, koodi on 0xC000000D.	RDP:n ja järjestelmänvalvojan suojauksen erityinen vaikutus, jos se vastaa ehtojasi.
Varoitus laitteen identiteetistä tai sertifikaatista.	Yhteyden nimi, luottamus ja varmenteen voimassaolo.
Laite ei vastaa tai yhteys aikakatkaistaan.	Kohteen saatavuus, yhteys ja käyttöoikeussäännöt.

Nimenomainen viittaus CredSSP:hen on tärkeä tämän diagnoosin kannalta. Älä selitä todennusvirhettä kyseisellä direktiivillä vain siksi, että se sisältää sanan "function".

Päivitä asiakkaan ja etätiimin tiedot

Dokumentoidussa yhteensopimattomuustilanteessa Microsoft suosittelee Asenna CredSSP-päivitykset sekä asiakkaalle että palvelimellejotta yhteys voidaan muodostaa turvallisesti.

Asiakas on tietokone, josta avaat yhteyden. Palvelin tai isäntä on tietokone, johon yrität muodostaa yhteyden.

1. Tunnista molempien tietokoneiden Windows-versio ja koontiversio käyttämällä winver.
2. Tarkista sen päivityshistoria.
3. Asenna kullekin versiolle soveltuvat päivitykset Windows Updaten tai organisaatiosi hallintajärjestelmän kautta.
4. Suorita asennuksen pyytämät uudelleenkäynnistykset.
5. Testaa yhteys uudelleen ennen CredSSP-yhteensopivuuden muokkaamista.

Näihin vaihtoehtoihin johtanut haavoittuvuus tunnistetaan seuraavasti: CVE-2018-0886Joissakin virallisissa ohjeissa on vanhempien järjestelmien historiallisia korjauspäivityksiä: näitä tunnisteita ei pitäisi siirtää automaattisesti nykyiseen Windows 11 -asennukseen.

Jos et voi päivittää kohdetta, koska RDP on estetty, käytä paikallista pääsyä tai käytettävissä olevaa hallintakonsolia. Virtuaalikoneiden osalta tarkista alustasi tarjoamat palautusvaihtoehdot.

Mitä AllowEncryptionOraclen arvot tarkoittavat?

Direktiivi Salausoraakkelin korjauseli salausoraakkelin korjaus, hallitsee yhteensopivuutta CredSSP:n haavoittuvien versioiden kanssa.

Arvo	Tila	Käyttäytyminen
0	Pakota päivitetyt asiakkaat.	Se estää suojaamattomien versioiden käytön ja hylkää asiakkaat ilman päivityksiä.
1	Lievennetty.	Asiakas ei palaa suojaamattomaan versioon, mutta palvelin voi hyväksyä asiakkaita ilman päivityksiä.
2	Haavoittuvainen.	Se mahdollistaa yhteensopivuuden turvattomien versioiden kanssa ja hyväksyy asiakkaat ilman päivityksiä.

Nämä arvot eivät edusta kolmea vastaavaa tasoa virheen vianmäärityksessä. Ne muuttavat yhteyksien tietoturva- ja yhteensopivuusehtoja.

Ennen kuin vaadit päivitettyjä asiakasohjelmia käyttämällä rajoittavinta vaihtoehtoa, tarkista, että kaikissa laitteissa, joiden on kommunikoitava, on vastaavat päivitykset.

Kuinka tutustua direktiiviin sitä muuttamatta

Tietokoneilla, joissa on ryhmäkäytäntöeditori, voit tarkastella asetusta tästä polusta:

Tietokoneen asetukset > Hallintamallit > Järjestelmä > Tunnistetietojen delegointi > Salausorakkelin korjaus.

Tarkista myös hallitussa tietokoneessa, mikä ryhmäkäytäntö tai hallintaprofiili asettaa arvon. Paikallinen kokoonpano saattaa olla organisaation käytäntöjen alainen.

Voit tarkistaa rekisteriarvon muuttamatta sitä avaamalla konsolin ja suorittamalla komennon:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Jos arvo on olemassa, kirjoita tulos muistiin ja vertaa sitä käytettyyn käytäntöön. Jos arvoa ei näy, tarkista kyseisen Windows-version todelliset kokoonpanot ja toimintatavat ennen merkinnän luomista manuaalisesti.

Edellinen kysely ei muuta kokoonpanoa. Sen tarkoituksena on esimerkiksi havaita, onko vanha poikkeus edelleen asetettu haavoittuvuustilaan.

Miksi AllowEncryptionOracle=2:n ei pitäisi olla pysyvä taulukko

Microsoft dokumentoi haavoittuvuustilan väliaikaisena ratkaisuna tiettyihin yhteensopimattomuustilanteisiin. Se varoittaa myös, että se sallii suojaamattomat yhteydet ja altistaa etätietokoneen hyökkäyksille.

Se, että yhteys toimii arvon 2 asettamisen jälkeen, ei tarkoita, että haavoittuvuus on korjattu. Yhteensopivuustarkistusta on höllennetty.

Jos organisaation on käytettävä tätä poikkeusta, sen on ensin dokumentoitava edellinen asetus, rajoitettava sen soveltamisalaa ja valmistauduttava päivittämään laitteisto. Sen jälkeen sen on poistettava poikkeus ja varmistettava, että RDP toimii tarkoitetun suojauskäytännön mukaisesti.

Voit tarkistaa skenaariot ja niiden ehdot kohdassa Microsoftin virallinen dokumentaatio CredSSP-virheestä.

Milloin RDP-yhteys ja -asetukset on tarkistettava

Jos viesti ei vastaa CredSSP-virhettä tai kohde ei vastaa ollenkaan, tarkista ensin, että tietokone on päällä, yhdistetty ja että etätyöpöytä on käytössä.

Windows 11:ssä tämä vaihtoehto sijaitsee kohdassa Asetukset > Järjestelmä > EtätyöpöytäKotiversiot eivät voi toimia integroidun RDP-palvelun isäntänä, vaikka ne voivat muodostaa yhteyden muihin yhteensopiviin tietokoneisiin asiakkaina.

Etätuen ottaminen käyttöön on eri asetus eikä korvaa etätyöpöydän ottamista käyttöön.

Suoraa RDP-yhteyttä varten tavallisen portin kautta voit tarkistaa TCP-yhteyden PowerShellistä:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Korvaa PC-OFICINA kohteen nimen tai osoitteen mukaan ja käyttää sen todellista porttia, jos se on muuttunut.

TcpTestSucceeded: True osoittaa, että TCP-yhteys kyseiseen porttiin on muodostettu onnistuneesti. Se ei vahvista, että tunnistetiedot ovat oikein tai että RDP-todennus suoritetaan loppuun.

Jos käytät RDS-yhdyskäytävää, tarkista kyseisen toteutuksen reititys ja erityisvaatimukset. Tarkista palomuurisäännöt aiotulle käytölle ja vältä verkkoprofiilien summittaista käyttöönottoa tai portin paljastamista internetille.

Kuinka tarkistaa virheellisesti tallennetut tunnistetiedot

Jos viesti osoittaa, että tili tai salasana on virheellinen, tarkista, mitä identiteettiä asiakas käyttää. Vanha tunnistetieto saattaa edelleen olla liitettynä etätietokoneen nimeen tai osoitteeseen.

1. Avaa Tunnistetietojen hallinta Windowsin hakukoneesta.
2. Syötä Windows-tunnistetiedot.
3. Etsi kyseistä kohdetta vastaava merkintä.
4. Jos sinun on vaihdettava se ja sinulla on nykyiset tunnistetiedot, poista vain kyseinen merkintä.
5. Yhdistä uudelleen ja anna oikea tili.

Tarkista myös, tarvitsetko paikallisen tietokoneen tilin vai toimialuetilin. Nimeä käyttäjät uudelleen käyttämällä netplwiz Tämä ei ole asiakkaalle tallennetun salasanan korjaamiseen tarkoitettu menettely.

Tämä tarkistus liittyy identiteettiongelmiin. Se ei korvaa CredSSP:n päivittämistä, kun varoitus tunnistaa tämän yhteensopimattomuuden.

Mitä kannattaa tarkistaa ennen kuin ongelmaa pidetään ratkaistuna

Kun olet päivittänyt järjestelmät ja tarkistanut käytännöt, aloita uusi istunto käyttäjän kanssa, jolla oli ongelma. Varmista, että voit todentaa itsesi ylläpitämättä tarpeetonta poikkeusta haavoittuvuustilassa.

Jos ongelma jatkuu, kerää koko viesti, molempien järjestelmien versiot, asennetut päivitykset ja käytetyt asetukset. Jos näyttöön tulee varmennekohtainen varoitus, tarkista kyseinen varmenne toteutuksesi menettelyjen mukaisesti.

Varmenteiden muokkaamisen, resoluution pienentämisen tai verkko-ohjainten päivittämisen ei pitäisi olla osa automaattista todennusvirheen jälkeistä prosessia. Seuraavan vaiheen tulisi korjata jatkuva oire.