Błąd CredSSP na pulpicie zdalnym: żądana funkcja nie jest obsługiwana

Wiadomość „Żądana funkcja nie jest obsługiwana” w Pulpicie zdalnym Może pojawić się wraz z odniesieniem do poprawki CredSSP dotyczącej szyfrowania Oracle. W takim przypadku należy sprawdzić aktualizacje i zasady bezpieczeństwa zarówno klienta, jak i komputera zdalnego.

Niektóre przewodniki zalecają bezpośrednią modyfikację AllowEncryptionOracle i przypisz wartość 2Ta zmiana może umożliwić pewne połączenia, ale aktywuje tryb zwany WrażliwyPrzed użyciem zidentyfikuj błąd i sprawdź, czy możesz rozwiązać problem braku kompatybilności poprzez aktualizację obu wersji.

Jak zidentyfikować błąd CredSSP w Pulpicie zdalnym

Firma Microsoft dokumentuje scenariusz, w którym połączenie RDP wyświetla błąd uwierzytelniania, wskazuje, że żądana funkcja nie jest obsługiwana i dodaje odwołanie do Naprawa wyroczni szyfrowania CredSSP.

CredSSP umożliwia delegowanie danych uwierzytelniających do zdalnego uwierzytelniania. Opcje zgodności mogą zapobiegać połączeniom, które opierałyby się na podatnych na ataki wersjach protokołu.

Przed zmianą jakichkolwiek ustawień skopiuj cały komunikat i wszelkie pojawiające się kody. Te sytuacje wymagają innej diagnostyki:

Wiadomość lub objaw	Co powinieneś sprawdzić
Żądana funkcja nie jest obsługiwana, a w powiadomieniu wspomniano o CredSSP.	Dyrektywa dotycząca aktualizacji i korekt wyroczni kryptograficznych.
Przekazany funkcji token jest nieprawidłowy i ma kod 0xC000000D.	Konkretny wpływ protokołu RDP i ochrony administratora, jeśli odpowiada Twoim warunkom.
Ostrzeżenie dotyczące tożsamości lub certyfikatu sprzętu.	Nazwa połączenia, zaufanie i ważność certyfikatu.
Urządzenie nie odpowiada lub nastąpiło przerwanie połączenia.	Dostępność miejsca docelowego, łączność i zasady dostępu.

W przypadku tej diagnozy istotne jest wyraźne odniesienie do CredSSP. Nie przypisuj żadnego błędu uwierzytelniania tej dyrektywie tylko dlatego, że zawiera ona słowo „funkcja”.

Zaktualizuj klienta i zespół zdalny

W przypadku udokumentowanego scenariusza niezgodności firma Microsoft zaleca Zainstaluj aktualizacje CredSSP zarówno na kliencie, jak i na serwerzetak aby połączenie mogło zostać nawiązane bezpiecznie.

Klient to komputer, z którego nawiązujesz połączenie. Serwer lub host to komputer, do którego próbujesz uzyskać dostęp.

1. Zidentyfikuj wersję i kompilację systemu Windows na obu komputerach za pomocą winver.
2. Sprawdź historię aktualizacji.
3. Zainstaluj aktualizacje odpowiednie dla każdej wersji za pośrednictwem usługi Windows Update lub systemu zarządzania Twojej organizacji.
4. Wykonaj ponowne uruchomienia wymagane przez instalację.
5. Przed modyfikacją zgodności CredSSP należy ponownie przetestować połączenie.

Luka, która doprowadziła do tych opcji, została zidentyfikowana jako CVE-2018-0886Niektóre oficjalne instrukcje obejmują historyczne poprawki dla starszych systemów: identyfikatory te nie powinny być automatycznie przenoszone do bieżącej instalacji systemu Windows 11.

Jeśli nie możesz zaktualizować miejsca docelowego z powodu zablokowanego protokołu RDP, skorzystaj z dostępu lokalnego lub dostępnej konsoli zarządzania. W przypadku maszyn wirtualnych zapoznaj się z opcjami odzyskiwania oferowanymi przez platformę.

Co oznaczają wartości AllowEncryptionOracle?

Dyrektywa Naprawa Oracle szyfrowanialub korekta wyroczni szyfrowania kontroluje zgodność z podatnymi na ataki wersjami CredSSP.

Wartość	Tryb	Zachowanie
0	Wymuś aktualizację klientów.	Zapobiega korzystaniu z niezabezpieczonych wersji i odrzuca klientów bez aktualizacji.
1	Złagodzone.	Klient nie powraca do niezabezpieczonej wersji, ale serwer może akceptować klientów bez konieczności aktualizacji.
2	Wrażliwy.	Zapewnia zgodność z niezabezpieczonymi wersjami i akceptuje niezaktualizowanych klientów.

Wartości te nie reprezentują trzech równoważnych poziomów rozwiązywania problemów. Zmieniają one warunki bezpieczeństwa i kompatybilności połączeń.

Zanim zażądasz aktualizacji od klientów, korzystając z najbardziej restrykcyjnej opcji, sprawdź, czy wszystkie urządzenia, które mają się komunikować, mają odpowiednie aktualizacje.

Jak zapoznać się z dyrektywą bez jej modyfikowania

Na komputerach z Edytorem zasad grupy możesz sprawdzić ustawienia, korzystając z tej ścieżki:

Konfiguracja komputera > Szablony administracyjne > System > Delegowanie poświadczeń > Szyfrowanie Oracle Fix.

Na komputerze zarządzanym sprawdź również, który obiekt zasad grupy (GPO) lub profil zarządzania ustawia tę wartość. Konfiguracja lokalna może podlegać zasadom organizacji.

Aby sprawdzić wartość rejestru bez jej zmiany, otwórz konsolę i uruchom polecenie:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Jeśli wartość istnieje, zanotuj wynik i porównaj go z zastosowaną zasadą. Jeśli się nie pojawi, sprawdź rzeczywistą konfigurację i zachowanie tej wersji systemu Windows przed ręcznym utworzeniem wpisu.

Poprzednie zapytanie nie modyfikuje konfiguracji. Jego celem jest na przykład wykrycie, czy stary wyjątek pozostaje ustawiony w trybie podatnym na ataki.

Dlaczego AllowEncryptionOracle=2 nie powinno być tablicą stałą

Microsoft dokumentuje tryb podatności na ataki jako tymczasowe rozwiązanie w przypadku niektórych scenariuszy braku kompatybilności. Ostrzega również, że umożliwia on nawiązywanie niezabezpieczonych połączeń i naraża komputer zdalny na ataki.

To, że połączenie działa po ustawieniu wartości na 2, nie oznacza, że ​​luka została naprawiona. Kontrola zgodności została złagodzona.

Jeśli organizacja musi zastosować ten wyjątek, musi najpierw udokumentować poprzednie ustawienie, ograniczyć jego zakres i przygotować się do aktualizacji sprzętu. Następnie musi usunąć wyjątek i zweryfikować, czy protokół RDP działa zgodnie z zamierzoną polityką ochrony.

Możesz sprawdzić scenariusze i ich warunki w Oficjalna dokumentacja firmy Microsoft dotycząca błędu CredSSP.

Kiedy sprawdzić łączność i ustawienia RDP

Jeśli komunikat nie jest zgodny z błędem CredSSP lub miejsce docelowe w ogóle nie odpowiada, najpierw sprawdź, czy komputer jest włączony, podłączony i ma włączony Pulpit zdalny.

W systemie Windows 11 opcja ta znajduje się w Ustawienia > System > Pulpit zdalnyWersje Home nie mogą pełnić funkcji hosta dla zintegrowanej usługi RDP, choć mogą łączyć się jako klienci z innymi kompatybilnymi komputerami.

Włączenie Pomocy zdalnej to osobne ustawienie i nie zastępuje ono włączenia Pulpitu zdalnego.

W przypadku bezpośredniego połączenia RDP przy użyciu zwykłego portu można sprawdzić łączność TCP z poziomu programu PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Zastępuje PC-OFICINA według nazwy lub adresu docelowego i używa jego faktycznego portu, jeśli uległ on zmianie.

TcpTestSucceeded: True oznacza, że ​​połączenie TCP z tym portem zostało pomyślnie nawiązane. Nie potwierdza to, że dane uwierzytelniające są prawidłowe ani że uwierzytelnianie RDP zostanie ukończone.

Jeśli używasz bramy RDS, sprawdź routing i szczegółowe wymagania tej implementacji. Przejrzyj reguły zapory sieciowej dla planowanego dostępu, unikając przypadkowego włączania profili sieciowych lub udostępniania portu internetowi.

Jak sprawdzić, czy dane uwierzytelniające zostały zapisane nieprawidłowo

Jeśli komunikat wskazuje, że konto lub hasło są nieprawidłowe, sprawdź, jakiej tożsamości używa klient. Stare dane uwierzytelniające mogą być nadal powiązane z nazwą lub adresem komputera zdalnego.

1. Otwórz Menedżer poświadczeń z wyszukiwarki Windows.
2. Wchodzić Poświadczenia systemu Windows.
3. Znajdź wpis odpowiadający miejscu docelowemu, którego dotyczy problem.
4. Jeśli musisz je zastąpić, a posiadasz aktualne dane logowania, usuń tylko ten wpis.
5. Połącz się ponownie i wprowadź prawidłowe konto.

Sprawdź również, czy potrzebujesz konta lokalnego komputera, czy konta domenowego. Zmień nazwy użytkowników za pomocą netplwiz Nie jest to procedura poprawiania hasła zapisanego na kliencie.

To sprawdzenie dotyczy problemów z tożsamością. Nie zastępuje ono aktualizacji CredSSP, gdy ostrzeżenie wykryje tę niezgodność.

Co sprawdzić przed uznaniem problemu za rozwiązany

Po zaktualizowaniu systemów i sprawdzeniu zasad rozpocznij nową sesję z użytkownikiem, u którego wystąpił problem. Sprawdź, czy możesz się uwierzytelnić bez konieczności generowania niepotrzebnego wyjątku w trybie podatnym na ataki.

Jeśli problem będzie się powtarzał, zbierz pełną wiadomość, wersję obu systemów, wszelkie zainstalowane aktualizacje i zastosowane ustawienia. Jeśli pojawi się ostrzeżenie dotyczące konkretnego certyfikatu, sprawdź ten certyfikat, postępując zgodnie z procedurami implementacji.

Modyfikowanie certyfikatów, zmniejszanie rozdzielczości lub aktualizowanie sterowników sieciowych nie powinno być częścią automatycznej sekwencji dla każdego błędu uwierzytelniania. Następnym krokiem powinno być rozwiązanie problemu uporczywego objawu.