원격 데스크톱에서 CredSSP 오류 발생: 요청된 기능이 지원되지 않습니다.

메시지 원격 데스크톱에서 "요청하신 기능은 지원되지 않습니다"라는 메시지가 표시됩니다. CredSSP 암호화 오라클 수정 사항에 대한 참조와 함께 해당 오류가 나타날 수 있습니다. 이 경우 클라이언트와 원격 시스템 모두의 업데이트 및 보안 정책을 검토해야 합니다.

일부 가이드에서는 직접 수정하는 것을 권장합니다. AllowEncryptionOracle 그리고 값을 할당 2이러한 변경으로 특정 연결이 가능해질 수 있지만, '모드'라는 것이 활성화됩니다. 취약한사용하기 전에 오류를 확인하고 양쪽 모두 업데이트하여 호환성 문제를 해결할 수 있는지 확인하십시오.

원격 데스크톱에서 CredSSP 오류를 식별하는 방법

Microsoft는 RDP 연결에서 인증 오류가 발생하고 요청된 기능이 지원되지 않음을 나타내는 시나리오를 문서화했으며, 해당 시나리오에 대한 참조를 추가합니다. CredSSP 암호화 오라클 복구.

CredSSP를 사용하면 원격 인증을 위한 자격 증명을 위임할 수 있습니다. 호환성 옵션을 통해 취약한 버전의 프로토콜에 의존하는 연결을 방지할 수 있습니다.

설정을 변경하기 전에 전체 메시지와 표시되는 모든 코드를 복사하십시오. 이러한 상황에는 서로 다른 진단 방법이 필요합니다.

메시지 또는 증상	확인해야 할 사항
요청하신 기능은 지원되지 않으며, 안내 메시지에 CredSSP가 언급되어 있습니다.	암호화 오라클 업데이트 및 수정 지침.
함수에 전달된 토큰이 유효하지 않습니다. 오류 코드는 0xC000000D입니다.	RDP 및 관리자 보호 기능이 사용 환경과 일치하는 경우, 그 구체적인 영향은 다음과 같습니다.
장비의 신원 또는 인증서에 대한 경고.	연결 이름, 신뢰도 및 인증서 유효성.
기기가 응답하지 않거나 연결 시간이 초과되었습니다.	목적지 이용 가능성, 연결성 및 접근 규칙.

CredSSP에 대한 명시적인 언급은 이 진단에 중요합니다. 지시문에 "함수"라는 단어가 포함되어 있다는 이유만으로 인증 오류를 해당 지시문 탓으로 돌리지 마십시오.

클라이언트와 원격 팀에 상황을 업데이트하세요.

명시된 호환성 문제 시나리오에 대해 Microsoft는 다음을 권장합니다. 클라이언트와 서버 모두에 CredSSP 업데이트를 설치하십시오.안전한 연결을 설정할 수 있도록 하기 위함입니다.

클라이언트는 연결을 여는 컴퓨터이고, 서버 또는 호스트는 접속하려는 컴퓨터입니다.

1. 다음 명령어를 사용하여 두 컴퓨터의 Windows 버전 및 빌드 번호를 확인하십시오. winver.
2. 업데이트 기록을 확인하세요.
3. Windows Update 또는 조직의 관리 시스템을 통해 각 버전에 해당하는 업데이트를 설치하십시오.
4. 설치 과정에서 요청하는 재시작 작업을 완료하십시오.
5. CredSSP 호환성 설정을 변경하기 전에 연결을 다시 테스트하십시오.

이러한 선택으로 이어진 취약점은 다음과 같이 파악됩니다. CVE-2018-0886일부 공식 지침에는 이전 시스템용 과거 패치가 포함되어 있습니다. 이러한 식별자는 현재 Windows 11 설치로 자동으로 전송되어서는 안 됩니다.

RDP 연결이 차단되어 대상을 업데이트할 수 없는 경우 로컬 액세스 또는 사용 가능한 관리 콘솔을 사용하십시오. 가상 머신의 경우 플랫폼에서 제공하는 복구 옵션을 참조하십시오.

AllowEncryptionOracle의 값은 무엇을 의미합니까?

지침 암호화 오라클 복구또는 암호화 오라클 수정은 CredSSP의 취약한 버전과의 호환성을 제어합니다.

가치	방법	행동
0	클라이언트를 강제로 업데이트합니다.	이는 보안에 취약한 버전의 사용을 방지하고 업데이트가 없는 클라이언트를 차단합니다.
1	완화되었습니다.	클라이언트는 보안에 취약한 버전으로 되돌아가지 않지만, 서버는 업데이트 없이 클라이언트를 수락할 수 있습니다.
2	취약한.	이 기능은 보안이 취약한 버전과의 호환성을 제공하며 업데이트가 필요 없는 클라이언트도 수용합니다.

이 값들은 오류 해결을 위한 세 가지 동등한 수준을 나타내는 것이 아닙니다. 이 값들은 연결의 보안 및 호환성 조건을 변경합니다.

가장 엄격한 옵션을 사용하여 클라이언트 업데이트를 요구하기 전에, 통신이 필요한 모든 장치에 해당 업데이트가 설치되어 있는지 확인하십시오.

지침을 수정하지 않고 확인하는 방법

그룹 정책 편집기가 있는 컴퓨터에서는 다음 경로에서 설정을 확인할 수 있습니다.

컴퓨터 구성 > 관리 템플릿 > 시스템 > 자격 증명 위임 > 암호화 Oracle 수정.

관리되는 컴퓨터에서는 어떤 GPO 또는 관리 프로필이 해당 값을 설정하는지 확인하십시오. 로컬 구성은 조직 정책의 적용을 받을 수 있습니다.

레지스트리 값을 변경하지 않고 확인하려면 콘솔을 열고 다음 명령을 실행하세요.

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

해당 값이 존재하면 결과를 기록하고 적용된 정책과 비교하십시오. 값이 나타나지 않으면 해당 Windows 버전의 실제 구성 및 동작을 확인한 후 수동으로 항목을 생성하십시오.

이전 쿼리는 구성을 변경하지 않습니다. 이 쿼리의 목적은 예를 들어 취약 모드에서 이전 예외가 여전히 설정되어 있는지 여부를 감지하는 것입니다.

AllowEncryptionOracle=2를 영구 배열로 설정하면 안 되는 이유는 무엇입니까?

마이크로소프트는 취약 모드를 특정 호환성 문제에 대한 임시 해결책으로 제시하고 있습니다. 또한 취약 모드는 안전하지 않은 연결을 허용하고 원격 컴퓨터를 공격에 노출시킨다고 경고합니다.

값을 2로 설정한 후 연결이 작동한다고 해서 취약점이 해결된 것은 아닙니다. 호환성 검사가 완화되었습니다.

조직에서 이 예외를 적용해야 하는 경우, 먼저 이전 설정을 문서화하고, 적용 범위를 제한하고, 장비 업데이트를 준비해야 합니다. 그런 다음 예외를 제거하고 RDP가 의도한 보호 정책에 따라 작동하는지 확인해야 합니다.

시나리오 및 해당 조건은 다음에서 확인할 수 있습니다. CredSSP 오류에 대한 Microsoft 공식 문서.

RDP 연결 및 설정 확인 시점

메시지가 CredSSP 오류와 일치하지 않거나 대상이 전혀 응답하지 않는 경우, 먼저 컴퓨터 전원이 켜져 있고 네트워크에 연결되어 있으며 원격 데스크톱이 활성화되어 있는지 확인하십시오.

Windows 11에서 해당 옵션은 다음 위치에 있습니다. 설정 > 시스템 > 원격 데스크톱홈 에디션은 통합 RDP 서비스의 호스트 역할을 할 수 없지만, 다른 호환 컴퓨터에 클라이언트로 연결할 수는 있습니다.

원격 지원 활성화는 별도의 설정이며 원격 데스크톱 활성화를 대체하는 것이 아닙니다.

일반적인 포트를 사용하여 직접 RDP 연결을 하려면 PowerShell에서 TCP 연결 상태를 확인할 수 있습니다.

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

교체합니다 PC-OFICINA 목적지 이름이나 주소를 기준으로 하며, 포트 번호가 변경된 경우 실제 포트 번호를 사용합니다.

TcpTestSucceeded: True 해당 포트로의 TCP 연결이 성공적으로 설정되었음을 나타냅니다. 이는 자격 증명이 올바르거나 RDP 인증이 완료될 것이라는 것을 보장하지 않습니다.

RDS 게이트웨이를 사용하는 경우 해당 구현의 라우팅 및 특정 요구 사항을 확인하십시오. 의도된 액세스에 대한 방화벽 규칙을 검토하고, 네트워크 프로필을 무분별하게 활성화하거나 포트를 인터넷에 노출하지 않도록 하십시오.

저장된 자격 증명이 잘못되었는지 확인하는 방법

계정 또는 암호가 잘못되었다는 메시지가 표시되면 클라이언트가 어떤 ID를 사용하고 있는지 확인하십시오. 이전 자격 증명이 원격 컴퓨터의 이름이나 주소에 여전히 연결되어 있을 수 있습니다.

1. 열기 자격증명 관리자 윈도우 검색 엔진에서 가져온 것입니다.
2. 입력하다 윈도우 자격 증명.
3. 해당 목적지에 해당하는 항목을 찾으십시오.
4. 만약 해당 항목을 교체해야 하고 현재 자격 증명을 가지고 있다면, 해당 항목만 삭제하십시오.
5. 다시 연결하고 올바른 계정을 입력하세요.

로컬 컴퓨터 계정이 필요한지 도메인 계정이 필요한지도 확인하세요. 사용자 이름은 다음을 사용하여 변경하세요. netplwiz 이는 클라이언트에 저장된 비밀번호를 수정하는 절차가 아닙니다.

이 검사는 신원 확인 문제와 관련이 있습니다. 경고 메시지에 이러한 비호환성이 표시되더라도 CredSSP 업데이트를 대체하는 것은 아닙니다.

문제가 해결되었다고 판단하기 전에 확인해야 할 사항은 무엇인가요?

시스템을 업데이트하고 정책을 검토한 후, 문제가 발생했던 사용자와 새 세션을 시작하십시오. 취약 모드에서 불필요한 예외를 발생시키지 않고 인증할 수 있는지 확인하십시오.

문제가 지속되면 전체 메시지, 두 시스템의 버전, 설치된 업데이트 및 적용된 설정을 수집하십시오. 인증서 관련 경고가 표시되면 구현 절차에 따라 해당 인증서를 검토하십시오.

인증서 수정, 해상도 저하 또는 네트워크 드라이버 업데이트는 모든 인증 오류에 대한 자동 처리 과정에 포함되어서는 안 됩니다. 다음 단계는 지속적인 증상을 해결하는 데 집중해야 합니다.