שגיאת CredSSP בשולחן עבודה מרוחק: התכונה המבוקשת אינה נתמכת

ההודעה "הפונקציה המבוקשת אינה נתמכת" בשולחן עבודה מרוחק ייתכן שזה יופיע בליווי הפניה לתיקון ההצפנה של CredSSP ב-oracle. במקרה כזה, עליך לבדוק את העדכונים ומדיניות האבטחה של הלקוח ושל המחשב המרוחק.

חלק מהמדריכים ממליצים לשנות ישירות AllowEncryptionOracle ולהקצות את הערך 2שינוי זה עשוי לאפשר חיבורים מסוימים, אך הוא מפעיל מצב שנקרא פָּגִיעַלפני השימוש בו, זהה את השגיאה ובדוק אם ניתן לפתור את חוסר התאימות על ידי עדכון שני הקצוות.

כיצד לזהות את שגיאת CredSSP בשולחן עבודה מרוחק

מיקרוסופט מתעדת תרחיש שבו חיבור ה-RDP מציג שגיאת אימות, מציינת שהפונקציה המבוקשת אינה נתמכת ומוסיפה הפניה ל- תיקון אורקל בהצפנת CredSSP.

CredSSP מאפשר לך להאציל אישורים לאימות מרחוק. אפשרויות התאימות שלו יכולות למנוע חיבורים שיסתמכו על גרסאות פגיעות של הפרוטוקול.

לפני שינוי הגדרות כלשהן, העתיקו את ההודעה כולה ואת כל הקודים המופיעים. מצבים אלה דורשים אבחון שונה:

הודעה או סימפטום	מה כדאי לך לבדוק
הפונקציה המבוקשת אינה נתמכת וההודעה מזכירה את CredSSP.	הנחיית עדכונים ותיקונים של אורקל קריפטוגרפי.
האסימון שהועבר לפונקציה אינו חוקי, עם קוד 0xC000000D.	ההשפעה הספציפית של RDP והגנת מנהל מערכת, אם היא תואמת את התנאים שלך.
אזהרה לגבי זהות או תעודת הציוד.	שם החיבור, אמון ותוקף האישור.
המכשיר לא מגיב או שהחיבור נגמר.	זמינות יעד, קישוריות וכללי גישה.

ההתייחסות המפורשת ל-CredSSP חשובה לאבחון זה. אין לייחס שגיאת אימות להנחיה זו רק משום שהיא מכילה את המילה "function".

עדכון הלקוח והצוות המרוחק

עבור תרחיש אי התאימות המתועד, מיקרוסופט ממליצה התקנת עדכוני CredSSP הן על הלקוח והן על השרתכך שניתן יהיה ליצור את החיבור בצורה מאובטחת.

הלקוח הוא המחשב שממנו אתה פותח את החיבור. השרת או המארח הוא המחשב שאליו אתה מנסה לגשת.

1. זהה את גרסת Windows ואת מבנה שני המחשבים באמצעות winver.
2. בדוק את היסטוריית העדכונים שלו.
3. התקן את העדכונים הרלוונטיים לכל גרסה דרך Windows Update או מערכת הניהול של הארגון שלך.
4. השלם את ההפעלות מחדש המבוקשות על ידי ההתקנה.
5. בדוק את החיבור שוב לפני שינוי תאימות CredSSP.

הפגיעות שהובילה לאפשרויות אלו מזוהה כ CVE-2018-0886חלק מההוראות הרשמיות כוללות תיקונים היסטוריים עבור מערכות ישנות יותר: מזהים אלה לא צריכים להיות מועברים אוטומטית להתקנה קיימת של Windows 11.

אם אינך יכול לעדכן את היעד מכיוון ש-RDP חסום, השתמש בגישה מקומית או בקונסולת ניהול זמינה. עבור מכונות וירטואליות, עיין באפשרויות השחזור המסופקות על ידי הפלטפורמה שלך.

מה המשמעות של הערכים של AllowEncryptionOracle?

ההנחיה תיקון הצפנה של Oracle, או תיקון אורקל של הצפנה, שולט בתאימות עם גרסאות פגיעות של CredSSP.

שִׁוּוּי	מצב	הִתְנַהֲגוּת
0	עדכון לקוחות כפוי.	זה מונע שימוש בגרסאות לא מאובטחות ודוחה לקוחות ללא עדכונים.
1	מופחת.	הלקוח לא חוזר לגרסה לא מאובטחת, אך השרת יכול לקבל לקוחות מבלי לעדכן.
2	פָּגִיעַ.	זה מאפשר תאימות עם גרסאות לא מאובטחות ומקבל לקוחות שלא עודכנו.

ערכים אלה אינם מייצגים שלוש רמות שוות ערך לפתרון בעיות. הם משנים את תנאי האבטחה והתאימות של החיבורים.

לפני דרישה ללקוחות מעודכנים באמצעות האפשרות המגבילה ביותר, יש לוודא שכל המכשירים שצריכים לתקשר כוללים את העדכונים המתאימים.

כיצד לעיין בהנחיה מבלי לשנות אותה

במחשבים עם עורך מדיניות קבוצתית, ניתן לבדוק את ההגדרה מנתיב זה:

תצורת מחשב > תבניות ניהול > מערכת > האצלת אישורים > תיקון הצפנה של Oracle.

במחשב מנוהל, בדוק גם איזה GPO או פרופיל ניהול קובע את הערך. תצורה מקומית עשויה להיות כפופה למדיניות ארגונית.

כדי לבדוק את ערך הרישום מבלי לשנות אותו, פתחו קונסולה והפעילו:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

אם הערך קיים, רשום את התוצאה והשווה אותה למדיניות שהוחלת. אם היא לא מופיעה, עיין בתצורה ובהתנהגות בפועל של גירסת Windows זו לפני יצירה ידנית של ערך.

השאילתה הקודמת לא משנה את התצורה. מטרתה היא לזהות, לדוגמה, אם חריג ישן נותר במצב פגיע.

מדוע AllowEncryptionOracle=2 לא אמור להיות המערך הקבוע

מיקרוסופט מתעדת את מצב הפגיעות כפתרון זמני לתרחישי אי-תאימות מסוימים. היא גם מזהירה שהוא מאפשר חיבורים לא מאובטחים וחושף את המחשב המרוחק להתקפות.

רק בגלל שחיבור עובד לאחר הגדרת הערך ל-2, זה לא אומר שהפגיעות תוקנה. בדיקת תאימות הוקלה.

אם ארגון צריך להחיל חריג זה, עליו תחילה לתעד את ההגדרה הקודמת, להגביל את היקפה ולהתכונן לעדכון הציוד. לאחר מכן, עליו להסיר את החריג ולוודא ש-RDP פועל בהתאם למדיניות ההגנה המיועדת.

ניתן לבדוק את התרחישים ואת התנאים שלהם ב תיעוד רשמי של מיקרוסופט על שגיאת CredSSP.

מתי לבדוק קישוריות והגדרות RDP

אם ההודעה אינה תואמת את שגיאת CredSSP או שהיעד אינו מגיב כלל, בדוק תחילה שהמחשב דולק, מחובר ושולחן עבודה מרוחק מופעל בו.

ב-Windows 11, האפשרות ממוקמת ב הגדרות > מערכת > שולחן עבודה מרוחקמהדורות Home אינן יכולות לשמש כמארח עבור שירות RDP משולב, למרות שהן יכולות להתחבר כלקוחות למחשבים תואמים אחרים.

הפעלת סיוע מרחוק היא הגדרה שונה ואינה מחליפה את הפעלת שולחן עבודה מרוחק.

עבור חיבור RDP ישיר באמצעות הפורט הרגיל, ניתן לבדוק קישוריות TCP מ-PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

מחליף PC-OFICINA לפי שם או כתובת היעד ומשתמש ביציאה בפועל אם היא השתנתה.

TcpTestSucceeded: True מציין שחיבור TCP לפורט זה נוצר בהצלחה. זה לא מאשר שהאישורים נכונים או שאימות ה-RDP יושלם.

אם אתם משתמשים בשער RDS, בדקו את הניתוב ואת הדרישות הספציפיות של יישום זה. סקרו את כללי חומת האש עבור הגישה המיועדת, והימנעו מהפעלה ללא הבחנה של פרופילי רשת או חשיפת הפורט לאינטרנט.

כיצד לבדוק אם יש אישורים שנשמרו שגויים

אם ההודעה מציינת שהחשבון או הסיסמה שגויים, בדוק באיזו זהות הלקוח משתמש. ייתכן שעדיין משויך שם או כתובת המחשב המרוחק אישור ישן.

1. פתח את מנהל אישורים ממנוע החיפוש של Windows.
2. לְהַכנִיס אישורי Windows.
3. אתר את הערך המתאים ליעד המושפע.
4. אם עליך להחליף אותו ויש לך את האישורים הנוכחיים, מחק רק ערך זה.
5. התחבר מחדש והזן את החשבון הנכון.

כמו כן, בדוק אם אתה זקוק לחשבון מחשב מקומי או לחשבון דומיין. שנה שם משתמשים באמצעות netplwiz זה לא ההליך לתיקון סיסמה שנשמרה במערכת הלקוח.

בדיקה זו מתייחסת לבעיות זהות. היא אינה מחליפה עדכון של CredSSP כאשר האזהרה מזהה אי-תאימות זו.

מה לבדוק לפני שחושבים על הבעיה כפתורה

לאחר עדכון המערכות וסקירת המדיניות, התחל הפעלה חדשה עם המשתמש שחווה את הבעיה. ודא שניתן לבצע אימות מבלי לשמור חריג מיותר במצב פגיע.

אם הבעיה נמשכת, אסוף את ההודעה המלאה, את גרסת שתי המערכות, כל עדכון מותקן ואת ההגדרות שהוחלו. אם מופיעה אזהרה ספציפית לתעודה, בדוק את התעודה בהתאם להליכי היישום שלך.

שינוי אישורים, הפחתת רזולוציה או עדכון מנהלי התקנים של רשת אינם צריכים להיות חלק מרצף אוטומטי עבור כל שגיאת אימות. השלב הבא צריך לטפל בתסמין המתמשך.