CredSSP-feil på eksternt skrivebord: Den forespurte funksjonen støttes ikke

Meldingen "Den forespurte funksjonen støttes ikke" i Eksternt skrivebord Det kan se ut som om det følger en referanse til Oracle-fiksen for CredSSP-kryptering. I så fall bør du gjennomgå oppdateringene og sikkerhetspolicyene for både klienten og den eksterne maskinen.

Noen guider anbefaler å endre direkte AllowEncryptionOracle og tilordne verdien 2Denne endringen kan tillate visse tilkoblinger, men den aktiverer en modus som kalles SårbarFør du bruker den, identifiser feilen og sjekk om du kan løse inkompatibiliteten ved å oppdatere begge ender.

Slik identifiserer du CredSSP-feilen i Eksternt skrivebord

Microsoft dokumenterer et scenario der RDP-tilkoblingen viser en autentiseringsfeil, indikerer at den forespurte funksjonen ikke støttes, og legger til en referanse til CredSSP-kryptering Oracle-utbedring.

CredSSP lar deg delegere legitimasjon for ekstern autentisering. Kompatibilitetsalternativene kan forhindre tilkoblinger som ville være avhengige av sårbare versjoner av protokollen.

Før du endrer noen innstillinger, kopier hele meldingen og eventuelle koder som vises. Disse situasjonene krever ulik diagnostikk:

Melding eller symptom	Hva du bør sjekke
Den forespurte funksjonen støttes ikke, og meldingen nevner CredSSP.	Direktiv for oppdateringer og korrigering av kryptografiske Oracle-systemer.
Tokenet som ble sendt til funksjonen er ugyldig, med koden 0xC000000D.	Den spesifikke virkningen av RDP og administratorbeskyttelse, hvis det samsvarer med betingelsene dine.
Advarsel om identiteten eller sertifikatet til utstyret.	Tilkoblingsnavn, tillit og sertifikatgyldighet.
Enheten svarer ikke, eller tilkoblingen blir tidsavbrutt.	Regler for tilgjengelighet, tilkobling og tilgang til destinasjoner.

Den eksplisitte referansen til CredSSP er viktig for denne diagnosen. Ikke tilskriv noen autentiseringsfeil til det direktivet bare fordi det inneholder ordet «funksjon».

Oppdater klienten og det eksterne teamet

For det dokumenterte inkompatibilitetsscenarioet anbefaler Microsoft Installer CredSSP-oppdateringer på både klienten og serverenslik at forbindelsen kan opprettes sikkert.

Klienten er datamaskinen du åpner tilkoblingen fra. Serveren eller verten er datamaskinen du prøver å få tilgang til.

1. Identifiser Windows-versjonen og -byggetypen til begge datamaskinene ved hjelp av winver.
2. Sjekk oppdateringshistorikken.
3. Installer oppdateringene som gjelder for hver versjon via Windows Update eller organisasjonens administrasjonssystem.
4. Fullfør omstartene som installasjonen ber om.
5. Test tilkoblingen på nytt før du endrer CredSSP-kompatibiliteten.

Sårbarheten som førte til disse alternativene er identifisert som CVE-2018-0886Noen offisielle instruksjoner inkluderer historiske oppdateringer for eldre systemer: disse identifikatorene skal ikke overføres automatisk til en nåværende Windows 11-installasjon.

Hvis du ikke kan oppdatere destinasjonen fordi RDP er blokkert, bruk lokal tilgang eller en tilgjengelig administrasjonskonsoll. For virtuelle maskiner, se gjenopprettingsalternativene som tilbys av plattformen din.

Hva betyr verdiene til AllowEncryptionOracle?

Direktivet Kryptering Oracle-utbedring, eller krypteringsorakelkorreksjon, kontrollerer kompatibilitet med sårbare versjoner av CredSSP.

Verdi	Modus	Oppførsel
0	Tvinge frem oppdaterte klienter.	Det forhindrer bruk av usikre versjoner og avviser klienter uten oppdateringer.
1	Dempet.	Klienten går ikke tilbake til en usikker versjon, men serveren kan godta klienter uten å oppdatere.
2	Sårbar.	Den tillater kompatibilitet med usikre versjoner og aksepterer klienter uten oppdateringer.

Disse verdiene representerer ikke tre likeverdige nivåer for feilsøking av en feil. De endrer sikkerhets- og kompatibilitetsbetingelsene for tilkoblingene.

Før du krever oppdaterte klienter ved å bruke det mest restriktive alternativet, må du kontrollere at alle enheter som trenger å kommunisere har de tilsvarende oppdateringene.

Hvordan konsultere direktivet uten å endre det

På datamaskiner som har redigeringsprogrammet for gruppepolicy, kan du se gjennom innstillingen fra denne banen:

Datamaskinkonfigurasjon > Administrative maler > System > Legitimasjonsdelegering > Kryptering Oracle Fix.

På en administrert datamaskin må du også sjekke hvilket GPO eller hvilken administrasjonsprofil som angir verdien. En lokal konfigurasjon kan være underlagt organisasjonens retningslinjer.

For å sjekke registerverdien uten å endre den, åpne en konsoll og kjør:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Hvis verdien finnes, noter resultatet og sammenlign det med den brukte policyen. Hvis den ikke vises, må du se den faktiske konfigurasjonen og virkemåten til den Windows-versjonen før du oppretter en oppføring manuelt.

Den forrige spørringen endrer ikke konfigurasjonen. Hensikten er å oppdage, for eksempel, om et gammelt unntak fortsatt er satt i sårbarhetsmodus.

Hvorfor AllowEncryptionOracle=2 ikke skal være den permanente tabellen

Microsoft dokumenterer sårbarhetsmodus som en midlertidig løsning for visse inkompatibilitetsscenarier. Den advarer også om at den tillater usikre tilkoblinger og eksponerer den eksterne datamaskinen for angrep.

Bare fordi en tilkobling fungerer etter at verdien er satt til 2, betyr det ikke at sikkerhetsproblemet er rettet. En kompatibilitetssjekk er blitt lempet på.

Hvis en organisasjon trenger å bruke dette unntaket, må den først dokumentere den forrige innstillingen, begrense omfanget og forberede oppdatering av utstyret. Deretter må den fjerne unntaket og bekrefte at RDP fungerer i henhold til den tiltenkte beskyttelsespolicyen.

Du kan sjekke scenariene og betingelsene deres i Offisiell Microsoft-dokumentasjon om CredSSP-feilen.

Når du bør sjekke RDP-tilkobling og -innstillinger

Hvis meldingen ikke samsvarer med CredSSP-feilen, eller destinasjonen ikke svarer i det hele tatt, må du først kontrollere at datamaskinen er slått på, tilkoblet og har Eksternt skrivebord aktivert.

I Windows 11 ligger alternativet i Innstillinger > System > Eksternt skrivebordHjemmeutgaver kan ikke fungere som vert for den integrerte RDP-tjenesten, selv om de kan koble seg til andre kompatible datamaskiner som klienter.

Aktivering av fjernhjelp er en annen innstilling og erstatter ikke aktivering av eksternt skrivebord.

For en direkte RDP-tilkobling ved bruk av den vanlige porten, kan du sjekke TCP-tilkoblingen fra PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Erstatter PC-OFICINA etter destinasjonsnavnet eller -adressen og bruker den faktiske porten hvis den har endret seg.

TcpTestSucceeded: True indikerer at en TCP-tilkobling til den porten er opprettet. Den bekrefter ikke at legitimasjonen er riktig eller at RDP-autentiseringen vil bli fullført.

Hvis du bruker en RDS-gateway, må du sjekke rutingen og de spesifikke kravene for den implementeringen. Gjennomgå brannmurreglene for den tiltenkte tilgangen, og unngå å aktivere nettverksprofiler vilkårlig eller eksponere porten for internett.

Slik sjekker du om det er feil lagret legitimasjon

Hvis meldingen indikerer at kontoen eller passordet er feil, må du sjekke hvilken identitet klienten bruker. En gammel legitimasjon kan fortsatt være knyttet til den eksterne datamaskinens navn eller adresse.

1. Åpne Legitimasjonsansvarlig fra Windows-søkemotoren.
2. Gå Windows-legitimasjon.
3. Finn oppføringen som tilsvarer den berørte destinasjonen.
4. Hvis du må erstatte den og du har gjeldende påloggingsinformasjon, sletter du bare den oppføringen.
5. Koble til på nytt og skriv inn riktig konto.

Sjekk også om du trenger en lokal datamaskinkonto eller en domenekonto. Gi brukere nytt navn ved å bruke netplwiz Dette er ikke prosedyren for å korrigere et passord som er lagret på klienten.

Denne sjekken gjelder identitetsproblemer. Den erstatter ikke oppdatering av CredSSP når advarselen identifiserer denne inkompatibiliteten.

Hva du bør sjekke før du anser problemet som løst

Etter at du har oppdatert systemene og gjennomgått retningslinjene, start en ny økt med brukeren som opplevde problemet. Bekreft at du kan autentisere uten å opprettholde et unødvendig unntak i sårbarhetsmodus.

Hvis problemet vedvarer, må du samle inn hele meldingen, versjonen av begge systemene, eventuelle installerte oppdateringer og de brukte innstillingene. Hvis det vises en sertifikatspesifikk advarsel, må du gjennomgå sertifikatet i henhold til implementeringsprosedyrene.

Endring av sertifikater, reduksjon av oppløsning eller oppdatering av nettverksdrivere bør ikke være en del av en automatisk sekvens for hver autentiseringsfeil. Neste trinn bør ta tak i det vedvarende symptomet.