CredSSP-fout bij Remote Desktop: De gevraagde functie wordt niet ondersteund.

Het bericht "De gevraagde functie wordt niet ondersteund" in Remote Desktop. Het kan voorkomen dat er een verwijzing naar de CredSSP-encryptie-oracle-fix wordt weergegeven. In dat geval dient u de updates en het beveiligingsbeleid van zowel de client als de externe machine te controleren.

Sommige handleidingen raden aan om direct aanpassingen te maken. AllowEncryptionOracle en wijs de waarde toe 2Deze wijziging maakt mogelijk bepaalde verbindingen mogelijk, maar activeert een modus genaamd KwetsbaarVoordat u het gebruikt, moet u de fout identificeren en controleren of u de incompatibiliteit kunt oplossen door beide kanten bij te werken.

Hoe herken je de CredSSP-fout in Remote Desktop?

Microsoft beschrijft een scenario waarin de RDP-verbinding een authenticatiefout weergeeft, aangeeft dat de gevraagde functie niet wordt ondersteund en een verwijzing toevoegt naar CredSSP-encryptie-orakelherstel.

Met CredSSP kunt u referenties delegeren voor authenticatie op afstand. De compatibiliteitsopties kunnen verbindingen voorkomen die afhankelijk zijn van kwetsbare versies van het protocol.

Voordat u instellingen wijzigt, kopieert u het volledige bericht en alle weergegeven codes. Deze situaties vereisen een andere diagnose:

Bericht of symptoom	Wat je moet controleren
De gevraagde functie wordt niet ondersteund en in de melding wordt CredSSP genoemd.	Updates en correctierichtlijn voor cryptografische orakelsystemen.
Het aan de functie doorgegeven token is ongeldig, met code 0xC000000D.	De specifieke impact van RDP en beheerdersbeveiliging, indien deze aansluit bij uw situatie.
Waarschuwing betreffende de identiteit of het certificaat van de apparatuur.	Verbindingsnaam, vertrouwensstatus en certificaatvaliditeit.
Het apparaat reageert niet of de verbinding wordt verbroken.	Beschikbaarheid van de bestemming, connectiviteit en toegangsregels.

De expliciete verwijzing naar CredSSP is belangrijk voor deze diagnose. Schrijf een authenticatiefout niet toe aan die instructie alleen omdat het woord 'functie' erin voorkomt.

Informeer de klant en het externe team.

Voor het gedocumenteerde incompatibiliteitsscenario raadt Microsoft het volgende aan: Installeer de CredSSP-updates op zowel de client als de server.zodat de verbinding veilig tot stand kan worden gebracht.

De client is de computer waarmee u de verbinding opent. De server of host is de computer die u probeert te benaderen.

1. Identificeer de Windows-versie en -build van beide computers met behulp van winver.
2. Bekijk de updategeschiedenis.
3. Installeer de updates die van toepassing zijn op elke versie via Windows Update of het beheersysteem van uw organisatie.
4. Voer de door de installatie gevraagde herstarts uit.
5. Test de verbinding opnieuw voordat u de CredSSP-compatibiliteit wijzigt.

De kwetsbaarheid die tot deze opties heeft geleid, is geïdentificeerd als CVE-2018-0886Sommige officiële instructies bevatten historische patches voor oudere systemen: deze identificaties mogen niet automatisch worden overgezet naar een huidige Windows 11-installatie.

Als u de bestemming niet kunt bijwerken omdat RDP is geblokkeerd, gebruik dan lokale toegang of een beschikbare beheerconsole. Raadpleeg voor virtuele machines de herstelopties van uw platform.

Wat betekenen de waarden van AllowEncryptionOracle?

De richtlijn Oplossing voor encryptieproblemen in Oracle, ofwel correctie van het encryptie-orakel, regelt de compatibiliteit met kwetsbare versies van CredSSP.

Waard	Modus	Gedrag
0	Clients geforceerd bijwerken.	Het voorkomt het gebruik van onveilige versies en weigert clients zonder updates.
1	Verzacht.	De client schakelt niet terug naar een onveilige versie, maar de server kan clients accepteren zonder te hoeven updaten.
2	Kwetsbaar.	Het biedt compatibiliteit met onveilige versies en accepteert clients zonder updates.

Deze waarden vertegenwoordigen geen drie gelijkwaardige niveaus voor het oplossen van een fout. Ze wijzigen de beveiligings- en compatibiliteitsvoorwaarden van de verbindingen.

Voordat u via de meest restrictieve optie updates voor clients vereist, controleer dan of alle apparaten die met elkaar moeten communiceren, over de bijbehorende updates beschikken.

Hoe kan ik de richtlijn raadplegen zonder deze te wijzigen?

Op computers met de Groepsbeleid-editor kunt u de instelling via dit pad bekijken:

Computerconfiguratie > Administratieve sjablonen > Systeem > Referentiedelegatie > Versleuteling Oracle Fix.

Controleer op een beheerde computer ook welke GPO of welk beheerprofiel de waarde instelt. Een lokale configuratie kan onderhevig zijn aan organisatiebeleid.

Om de registerwaarde te controleren zonder deze te wijzigen, opent u een console en voert u het volgende commando uit:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Als de waarde bestaat, noteer dan het resultaat en vergelijk dit met het toegepaste beleid. Als de waarde niet voorkomt, raadpleeg dan de daadwerkelijke configuratie en het gedrag van die Windows-versie voordat u handmatig een vermelding aanmaakt.

De voorgaande query wijzigt de configuratie niet. Het doel ervan is bijvoorbeeld om te detecteren of een oude uitzondering nog steeds is ingesteld in de kwetsbare modus.

Waarom AllowEncryptionOracle=2 niet de permanente array zou moeten zijn

Microsoft beschrijft de 'Kwetsbare modus' als een tijdelijke oplossing voor bepaalde incompatibiliteitsproblemen. Het bedrijf waarschuwt echter ook dat deze modus onveilige verbindingen mogelijk maakt en de externe computer kwetsbaar maakt voor aanvallen.

Het feit dat een verbinding werkt nadat de waarde op 2 is ingesteld, betekent niet dat het beveiligingslek is verholpen. De compatibiliteitscontrole is versoepeld.

Als een organisatie deze uitzondering moet toepassen, moet zij eerst de vorige instelling documenteren, de reikwijdte ervan beperken en de apparatuur voorbereiden op een update. Vervolgens moet de uitzondering worden verwijderd en moet worden gecontroleerd of RDP functioneert volgens het beoogde beveiligingsbeleid.

Je kunt de scenario's en hun voorwaarden bekijken in de Officiële Microsoft-documentatie over de CredSSP-fout.

Wanneer moet je de RDP-connectiviteit en -instellingen controleren?

Als het bericht niet overeenkomt met de CredSSP-fout of als de bestemming helemaal niet reageert, controleer dan eerst of de computer is ingeschakeld, verbonden is en of Extern bureaublad is ingeschakeld.

In Windows 11 bevindt de optie zich in Instellingen > Systeem > Extern bureaubladDe thuisversie kan niet fungeren als host voor de geïntegreerde RDP-service, maar kan wel verbinding maken als client met andere compatibele computers.

Het inschakelen van Hulp op afstand is een andere instelling en vervangt niet het inschakelen van Extern bureaublad.

Voor een directe RDP-verbinding via de gebruikelijke poort kunt u de TCP-connectiviteit controleren vanuit PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Vervangt PC-OFICINA gebruikt de bestemmingsnaam of het adres en gebruikt de daadwerkelijke poort als deze is gewijzigd.

TcpTestSucceeded: True Dit geeft aan dat er succesvol een TCP-verbinding met die poort tot stand is gebracht. Dit bevestigt niet dat de inloggegevens correct zijn of dat de RDP-authenticatie zal worden voltooid.

Als u een RDS-gateway gebruikt, controleer dan de routeringsinstellingen en specifieke vereisten van die implementatie. Bekijk de firewallregels voor de beoogde toegang en voorkom dat u netwerkprofielen zonder onderscheid inschakelt of de poort openstelt voor internet.

Hoe controleer ik of mijn opgeslagen inloggegevens onjuist zijn?

Als het bericht aangeeft dat het account of wachtwoord onjuist is, controleer dan welke identiteit de client gebruikt. Mogelijk is een oude inloggegevensgegevens nog steeds gekoppeld aan de naam of het adres van de externe computer.

1. Open de Referentiebeheerder via de zoekmachine van Windows.
2. Binnenkomen Windows-referenties.
3. Zoek de vermelding op die overeenkomt met de betreffende bestemming.
4. Als je het moet vervangen en je hebt de huidige inloggegevens, verwijder dan alleen die vermelding.
5. Maak opnieuw verbinding en voer het juiste account in.

Controleer ook of u een lokaal computeraccount of een domeinaccount nodig hebt. Hernoem gebruikers met behulp van netplwiz Dit is niet de procedure voor het corrigeren van een wachtwoord dat op de client is opgeslagen.

Deze controle heeft betrekking op identiteitsproblemen. Het vervangt niet het bijwerken van CredSSP wanneer de waarschuwing deze incompatibiliteit aangeeft.

Wat moet je controleren voordat je het probleem als opgelost beschouwt?

Nadat u de systemen hebt bijgewerkt en het beleid hebt gecontroleerd, start u een nieuwe sessie met de gebruiker die het probleem ondervond. Controleer of u kunt authenticeren zonder een onnodige uitzondering in de kwetsbare modus te behouden.

Als het probleem aanhoudt, verzamel dan het volledige bericht, de versie van beide systemen, eventuele geïnstalleerde updates en de toegepaste instellingen. Als er een certificaatspecifieke waarschuwing verschijnt, controleer dan dat certificaat volgens de procedures van uw implementatie.

Het wijzigen van certificaten, het verlagen van de resolutie of het bijwerken van netwerkstuurprogramma's mag geen onderdeel zijn van een automatische procedure bij elke authenticatiefout. De volgende stap moet de onderliggende oorzaak van het probleem aanpakken.