Ошибка CredSSP при использовании удаленного рабочего стола: запрошенная функция не поддерживается.

Сообщение В режиме удалённого рабочего стола появляется сообщение "Запрошенная функция не поддерживается". Возможно, сообщение будет сопровождаться ссылкой на исправление уязвимости шифрования Oracle CredSSP. В этом случае следует проверить обновления и политики безопасности как на клиентском компьютере, так и на удаленном устройстве.

В некоторых руководствах рекомендуется вносить изменения напрямую. AllowEncryptionOracle и назначьте значение 2Это изменение может разрешить определенные соединения, но оно активирует режим, называемый УязвимыйПеред использованием определите ошибку и проверьте, можно ли устранить несовместимость, обновив обе стороны.

Как определить ошибку CredSSP в режиме удаленного рабочего стола

Компания Microsoft описывает сценарий, в котором при подключении по протоколу RDP возникает ошибка аутентификации, указывается, что запрошенная функция не поддерживается, и добавляется ссылка на исправление ошибок в работе оракула шифрования CredSSP.

CredSSP позволяет делегировать учетные данные для удаленной аутентификации. Параметры совместимости позволяют предотвратить соединения, использующие уязвимые версии протокола.

Перед изменением каких-либо настроек скопируйте всё сообщение и все появившиеся коды. В подобных ситуациях требуется другая диагностика:

Сообщение или симптом	Что следует проверить
Запрашиваемая функция не поддерживается, и в уведомлении упоминается CredSSP.	Директива об обновлениях и исправлениях криптографического оракула.
Переданный в функцию токен недействителен, имеет код 0xC000000D.	Конкретное влияние RDP и защиты администратора, если они соответствуют вашим условиям.
Предупреждение относительно идентификации или сертификата оборудования.	Имя соединения, уровень доверия и действительность сертификата.
Устройство не отвечает или соединение прерывается по истечении времени ожидания.	Доступность пункта назначения, возможности подключения и правила доступа.

Для постановки этого диагноза важно явное упоминание CredSSP. Не следует приписывать ошибки аутентификации этой директиве только потому, что она содержит слово "функция".

Обновите информацию для клиента и удаленной команды.

В случае описанной несовместимости компания Microsoft рекомендует следующее: Установите обновления CredSSP как на клиенте, так и на сервере.чтобы можно было установить безопасное соединение.

Клиентом является компьютер, с которого вы устанавливаете соединение. Сервером или хостом является компьютер, к которому вы пытаетесь получить доступ.

1. Определите версию и сборку Windows на обоих компьютерах, используя... winver.
2. Проверьте историю обновлений.
3. Установите обновления, применимые к каждой версии, через Центр обновления Windows или систему управления вашей организации.
4. Выполните необходимые перезагрузки, запрошенные программой установки.
5. Перед изменением параметров совместимости CredSSP проверьте соединение еще раз.

Уязвимость, которая привела к появлению этих вариантов, определяется как CVE-2018-0886В некоторых официальных инструкциях содержатся устаревшие обновления для более старых систем: эти идентификаторы не должны автоматически переноситься в текущую установку Windows 11.

Если обновление целевого устройства невозможно из-за блокировки RDP, используйте локальный доступ или доступную консоль управления. Для виртуальных машин обратитесь к параметрам восстановления, предоставляемым вашей платформой.

Что означают значения параметра AllowEncryptionOracle?

Директива Исправление ошибок в оракуле шифрования, или коррекция оракула шифрования, обеспечивает совместимость с уязвимыми версиями CredSSP.

Ценность	Режим	Поведение
0	Принудительное обновление клиентов.	Это предотвращает использование небезопасных версий и отклоняет запросы клиентов без обновлений.
1	Меры приняты.	Клиент не возвращается к небезопасной версии, но сервер может принимать клиентов без обновления.
2	Уязвимый.	Это обеспечивает совместимость с небезопасными версиями и принимает клиентов без обновлений.

Эти значения не представляют собой три эквивалентных уровня для устранения ошибки. Они изменяют условия безопасности и совместимости соединений.

Прежде чем запрашивать обновление клиентских устройств, используя наиболее ограничительный вариант, убедитесь, что все устройства, которым необходимо взаимодействовать, имеют соответствующие обновления.

Как ознакомиться с директивой, не внося в неё изменений.

На компьютерах, где установлен редактор групповых политик, просмотреть параметры можно по следующему пути:

Конфигурация компьютера > Административные шаблоны > Система > Делегирование учетных данных > Исправление Oracle для шифрования.

На управляемом компьютере также проверьте, какая групповая политика или профиль управления задает это значение. Локальная конфигурация может подчиняться организационным политикам.

Чтобы проверить значение в реестре, не изменяя его, откройте консоль и выполните следующую команду:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Если значение существует, запишите результат и сравните его с примененной политикой. Если оно отсутствует, проверьте фактическую конфигурацию и поведение данной версии Windows, прежде чем создавать запись вручную.

Предыдущий запрос не изменяет конфигурацию. Его цель — определить, например, осталось ли старое исключение в уязвимом режиме.

Почему параметр AllowEncryptionOracle=2 не должен быть постоянным массивом

В документации Microsoft уязвимый режим описывается как временное решение для определенных сценариев несовместимости. Компания также предупреждает, что он допускает небезопасные соединения и делает удаленный компьютер уязвимым для атак.

Тот факт, что соединение заработало после установки значения 2, не означает, что уязвимость устранена. Проверка на совместимость упрощена.

Если организации необходимо применить это исключение, она должна сначала задокументировать предыдущие настройки, ограничить их область действия и подготовиться к обновлению оборудования. Затем она должна удалить исключение и убедиться, что RDP функционирует в соответствии с предполагаемой политикой защиты.

Вы можете проверить сценарии и их условия в разделе Официальная документация Microsoft по ошибке CredSSP.

Когда проверять подключение и настройки RDP?

Если сообщение не соответствует ошибке CredSSP или целевой сервер вообще не отвечает, сначала убедитесь, что компьютер включен, подключен и на нем включена функция удаленного рабочего стола.

В Windows 11 эта опция находится в Настройки > Система > Удаленный рабочий столДомашние версии не могут выступать в качестве хоста для встроенной службы RDP, хотя они могут подключаться в качестве клиентов к другим совместимым компьютерам.

Включение удаленной помощи — это другая настройка, и она не заменяет включение удаленного рабочего стола.

Для прямого RDP-подключения с использованием обычного порта проверку TCP-соединения можно выполнить из PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Заменяет PC-OFICINA по имени или адресу назначения и использует фактический порт, если он изменился.

TcpTestSucceeded: True указывает на то, что TCP-соединение с этим портом успешно установлено. Это не подтверждает правильность учетных данных и не гарантирует завершение аутентификации по протоколу RDP.

Если вы используете шлюз RDS, проверьте маршрутизацию и специфические требования этой реализации. Просмотрите правила брандмауэра для предполагаемого доступа, избегая необоснованного включения сетевых профилей или открытия порта для доступа из интернета.

Как проверить наличие неверно сохраненных учетных данных

Если сообщение указывает на неверную учетную запись или пароль, проверьте, какие учетные данные использует клиент. Старые учетные данные могут быть по-прежнему связаны с именем или адресом удаленного компьютера.

1. Откройте Менеджер учетных данных из поисковой системы Windows.
2. Входить Учетные данные Windows.
3. Найдите запись, соответствующую затронутому пункту назначения.
4. Если вам необходимо заменить запись и у вас есть актуальные учетные данные, удалите только эту запись.
5. Переподключитесь и введите правильный номер счета.

Также проверьте, нужна ли вам локальная учетная запись компьютера или учетная запись домена. Переименовывайте пользователей с помощью netplwiz Данная процедура не предназначена для исправления пароля, сохраненного на клиентском компьютере.

Эта проверка связана с проблемами идентификации. Она не заменяет обновление CredSSP, если предупреждение указывает на эту несовместимость.

Что проверить, прежде чем считать проблему решенной?

После обновления систем и проверки политик начните новую сессию с пользователем, у которого возникла проблема. Убедитесь, что аутентификация проходит без создания ненужного исключения в уязвимом режиме.

Если проблема сохраняется, соберите полное сообщение, версию обеих систем, все установленные обновления и примененные настройки. Если появляется предупреждение, касающееся конкретного сертификата, проверьте этот сертификат в соответствии с процедурами вашей реализации.

Изменение сертификатов, снижение разрешения или обновление сетевых драйверов не должны быть частью автоматической последовательности действий при каждой ошибке аутентификации. Следующим шагом должно быть устранение постоянного симптома.