Greška CredSSP-a na udaljenoj radnoj površini: Zatražena značajka nije podržana

Poruka "Tražena funkcija nije podržana" u Udaljenoj radnoj površini Može se pojaviti uz referencu na ispravak proročišta za šifriranje CredSSP-a. U tom slučaju trebali biste pregledati ažuriranja i sigurnosne politike i klijenta i udaljenog računala.

Neki vodiči preporučuju izravnu izmjenu AllowEncryptionOracle i dodijeliti vrijednost 2Ova promjena može omogućiti određene veze, ali aktivira način rada koji se zove RanjivoPrije upotrebe, identificirajte grešku i provjerite možete li riješiti nekompatibilnost ažuriranjem oba kraja.

Kako prepoznati grešku CredSSP na udaljenoj radnoj površini

Microsoft dokumentira scenarij u kojem RDP veza prikazuje pogrešku autentifikacije, ukazuje na to da tražena funkcija nije podržana i dodaje referencu na Sanacija oraclea za šifriranje CredSSP-a.

CredSSP vam omogućuje delegiranje vjerodajnica za udaljenu autentifikaciju. Njegove opcije kompatibilnosti mogu spriječiti veze koje bi se oslanjale na ranjive verzije protokola.

Prije promjene bilo kakvih postavki, kopirajte cijelu poruku i sve kodove koji se pojave. Ove situacije zahtijevaju drugačiju dijagnostiku:

Poruka ili simptom	Što biste trebali provjeriti
Tražena funkcija nije podržana, a obavijest spominje CredSSP.	Direktiva o ažuriranjima i ispravcima kriptografskog Oraclea.
Token proslijeđen funkciji je nevažeći, s kodom 0xC000000D.	Specifičan utjecaj RDP-a i administratorske zaštite, ako odgovara vašim uvjetima.
Upozorenje o identitetu ili certifikatu opreme.	Naziv veze, povjerenje i valjanost certifikata.
Uređaj ne reagira ili je veza istekla.	Dostupnost odredišta, povezivost i pravila pristupa.

Izričito pozivanje na CredSSP važno je za ovu dijagnozu. Ne pripisujte nikakvu grešku autentifikacije toj direktivi samo zato što sadrži riječ "funkcija".

Ažurirajte klijenta i udaljeni tim

Za dokumentirani scenarij nekompatibilnosti, Microsoft preporučuje Instalirajte ažuriranja CredSSP-a i na klijentu i na poslužiteljukako bi se veza mogla sigurno uspostaviti.

Klijent je računalo s kojeg otvarate vezu. Poslužitelj ili host je računalo kojem pokušavate pristupiti.

1. Identificirajte verziju sustava Windows i sastavljanje oba računala pomoću winver.
2. Provjerite povijest njegovih ažuriranja.
3. Instalirajte ažuriranja koja se primjenjuju na svaku verziju putem servisa Windows Update ili sustava upravljanja vaše organizacije.
4. Dovršite ponovna pokretanja koja zahtijeva instalacija.
5. Ponovno testirajte vezu prije izmjene kompatibilnosti CredSSP-a.

Ranjivost koja je dovela do ovih opcija identificirana je kao CVE-2018-0886Neke službene upute uključuju povijesne zakrpe za starije sustave: ti identifikatori ne bi se trebali automatski prenositi na trenutnu instalaciju sustava Windows 11.

Ako ne možete ažurirati odredište jer je RDP blokiran, upotrijebite lokalni pristup ili dostupnu konzolu za upravljanje. Za virtualne strojeve pogledajte opcije oporavka koje nudi vaša platforma.

Što znače vrijednosti AllowEncryptionOracle?

Direktiva Uklanjanje šifriranja Oracle, ili ispravak šifriranja proročišta, kontrolira kompatibilnost s ranjivim verzijama CredSSP-a.

Vrijedan	Način rada	Ponašanje
0	Prisilno ažuriranje klijenata.	Sprječava korištenje nesigurnih verzija i odbija klijente bez ažuriranja.
1	Ublaženo.	Klijent se ne vraća na nesigurnu verziju, ali poslužitelj može prihvatiti klijente bez ažuriranja.
2	Ranjiv.	Omogućuje kompatibilnost s nesigurnim verzijama i prihvaća neažurirane klijente.

Ove vrijednosti ne predstavljaju tri ekvivalentne razine za rješavanje problema s greškom. One mijenjaju sigurnosne uvjete i uvjete kompatibilnosti veza.

Prije nego što zatražite ažurirane klijente koristeći najrestriktivniju opciju, provjerite imaju li svi uređaji koji trebaju komunicirati odgovarajuća ažuriranja.

Kako konzultirati direktivu bez njezine izmjene

Na računalima koja imaju Uređivač grupnih pravila, postavke možete pregledati putem ove putanje:

Konfiguracija računala > Administrativni predlošci > Sustav > Delegiranje vjerodajnica > Ispravak Oracle šifriranja.

Na upravljanom računalu također provjerite koji GPO ili profil upravljanja postavlja vrijednost. Lokalna konfiguracija može biti podložna organizacijskim pravilima.

Za provjeru vrijednosti registra bez promjene, otvorite konzolu i pokrenite:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Ako vrijednost postoji, zabilježite rezultat i usporedite ga s primijenjenim pravilom. Ako se ne pojavi, prije ručnog stvaranja unosa pogledajte stvarnu konfiguraciju i ponašanje te verzije sustava Windows.

Prethodni upit ne mijenja konfiguraciju. Njegova je svrha otkriti, na primjer, je li stari izuzetak i dalje postavljen u ranjivom načinu rada.

Zašto AllowEncryptionOracle=2 ne bi trebao biti trajni niz

Microsoft dokumentira Ranjivi način rada kao privremeno rješenje za određene scenarije nekompatibilnosti. Također upozorava da omogućuje nesigurne veze i izlaže udaljeno računalo napadima.

Samo zato što veza radi nakon postavljanja vrijednosti na 2 ne znači da je ranjivost ispravljena. Provjera kompatibilnosti je ublažena.

Ako organizacija treba primijeniti ovu iznimku, prvo mora dokumentirati prethodnu postavku, ograničiti njezin opseg i pripremiti se za ažuriranje opreme. Zatim mora ukloniti iznimku i provjeriti funkcionira li RDP u skladu s predviđenom politikom zaštite.

Scenarije i njihove uvjete možete provjeriti u Službena Microsoftova dokumentacija o pogrešci CredSSP.

Kada provjeriti RDP povezivost i postavke

Ako poruka ne odgovara pogrešci CredSSP ili odredište uopće ne odgovara, prvo provjerite je li računalo uključeno, povezano i je li omogućena udaljena radna površina.

U sustavu Windows 11, opcija se nalazi u Postavke > Sustav > Udaljena radna površinaKućna izdanja ne mogu djelovati kao domaćin za integriranu RDP uslugu, iako se mogu povezati kao klijenti s drugim kompatibilnim računalima.

Omogućavanje udaljene pomoći je drugačija postavka i ne zamjenjuje omogućavanje udaljene radne površine.

Za izravnu RDP vezu pomoću uobičajenog porta, TCP povezivost možete provjeriti iz PowerShella:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Zamjenjuje PC-OFICINA prema nazivu ili adresi odredišta i koristi njegov stvarni port ako se promijenio.

TcpTestSucceeded: True označava da je TCP veza s tim portom uspješno uspostavljena. Ne potvrđuje da su vjerodajnice ispravne ili da će RDP autentifikacija biti dovršena.

Ako koristite RDS pristupnik, provjerite usmjeravanje i specifične zahtjeve te implementacije. Pregledajte pravila vatrozida za namjeravani pristup, izbjegavajući neselektivno omogućavanje mrežnih profila ili izlaganje porta internetu.

Kako provjeriti spremljene netočne vjerodajnice

Ako poruka pokazuje da račun ili lozinka nisu ispravni, provjerite koji identitet klijent koristi. Stare vjerodajnice mogu još uvijek biti povezane s imenom ili adresom udaljenog računala.

1. Otvorite Upravitelj vjerodajnica iz Windows tražilice.
2. Unesi Windows vjerodajnice.
3. Pronađite unos koji odgovara pogođenom odredištu.
4. Ako ga trebate zamijeniti i imate trenutne vjerodajnice, izbrišite samo taj unos.
5. Ponovno se povežite i unesite ispravan račun.

Također provjerite trebate li lokalni račun računala ili račun domene. Preimenujte korisnike pomoću netplwiz Ovo nije postupak za ispravljanje lozinke spremljene na klijentu.

Ova provjera odnosi se na probleme s identitetom. Ne zamjenjuje ažuriranje CredSSP-a kada upozorenje identificira ovu nekompatibilnost.

Što provjeriti prije nego što se problem smatra riješenim

Nakon ažuriranja sustava i pregleda pravila, započnite novu sesiju s korisnikom koji je imao problem. Provjerite možete li se autentificirati bez održavanja nepotrebne iznimke u ranjivom načinu rada.

Ako se problem nastavi, prikupite cijelu poruku, verziju oba sustava, sva instalirana ažuriranja i primijenjene postavke. Ako se pojavi upozorenje specifično za certifikat, pregledajte taj certifikat slijedeći postupke svoje implementacije.

Izmjena certifikata, smanjenje razlučivosti ili ažuriranje mrežnih upravljačkih programa ne bi trebalo biti dio automatskog slijeda za svaku pogrešku autentifikacije. Sljedeći korak trebao bi riješiti trajni simptom.