CredSSP-fel på fjärrskrivbord: Den begärda funktionen stöds inte

Meddelandet "Den begärda funktionen stöds inte" i Fjärrskrivbord Det kan förekomma att det åtföljs av en hänvisning till CredSSP-krypteringsorakelfixet. I så fall bör du granska uppdateringar och säkerhetspolicyer för både klienten och fjärrdatorn.

Vissa guider rekommenderar att modifiera direkt AllowEncryptionOracle och tilldela värdet 2Den här ändringen kan tillåta vissa anslutningar, men den aktiverar ett läge som kallas SårbarInnan du använder det, identifiera felet och kontrollera om du kan lösa inkompatibiliteten genom att uppdatera båda ändar.

Hur man identifierar CredSSP-felet i fjärrskrivbord

Microsoft dokumenterar ett scenario där RDP-anslutningen visar ett autentiseringsfel, indikerar att den begärda funktionen inte stöds och lägger till en referens till CredSSP-kryptering Oracle-sanering.

Med CredSSP kan du delegera autentiseringsuppgifter för fjärrautentisering. Dess kompatibilitetsalternativ kan förhindra anslutningar som skulle förlita sig på sårbara versioner av protokollet.

Innan du ändrar några inställningar, kopiera hela meddelandet och eventuella koder som visas. Dessa situationer kräver olika diagnostik:

Meddelande eller symptom	Vad du bör kontrollera
Den begärda funktionen stöds inte och meddelandet nämner CredSSP.	Direktiv för uppdateringar och korrigering av kryptografiska orakel.
Token som skickats till funktionen är ogiltig, med koden 0xC000000D.	Den specifika effekten av RDP och administratörsskydd, om det matchar dina villkor.
Varning om utrustningens identitet eller certifikat.	Anslutningsnamn, förtroende och certifikatgiltighet.
Enheten svarar inte eller så får anslutningen timeout.	Destinationens tillgänglighet, anslutning och åtkomstregler.

Den explicita hänvisningen till CredSSP är viktig för denna diagnos. Tillskriv inte direktivet något autentiseringsfel bara för att det innehåller ordet "funktion".

Uppdatera klienten och fjärrteamet

För det dokumenterade inkompatibilitetsscenariot rekommenderar Microsoft Installera CredSSP-uppdateringar på både klienten och servernså att anslutningen kan upprättas på ett säkert sätt.

Klienten är den dator från vilken du öppnar anslutningen. Servern eller värden är den dator du försöker komma åt.

1. Identifiera Windows-versionen och build-versionen för båda datorerna med hjälp av winver.
2. Kontrollera dess uppdateringshistorik.
3. Installera de uppdateringar som gäller för varje version via Windows Update eller din organisations hanteringssystem.
4. Slutför de omstarter som begärs av installationen.
5. Testa anslutningen igen innan du ändrar CredSSP-kompatibiliteten.

Sårbarheten som ledde till dessa alternativ identifieras som CVE-2018-0886Vissa officiella instruktioner inkluderar historiska patchar för äldre system: dessa identifierare bör inte automatiskt överföras till en aktuell Windows 11-installation.

Om du inte kan uppdatera destinationen eftersom RDP är blockerad, använd lokal åtkomst eller en tillgänglig hanteringskonsol. För virtuella maskiner, se återställningsalternativen som tillhandahålls av din plattform.

Vad betyder värdena för AllowEncryptionOracle?

Direktivet Kryptering Oracle-sanering, eller krypteringsorakelkorrigering, kontrollerar kompatibilitet med sårbara versioner av CredSSP.

Värde	Läge	Beteende
0	Tvinga fram uppdaterade klienter.	Det förhindrar användning av osäkra versioner och avvisar klienter utan uppdateringar.
1	Mildrad.	Klienten återgår inte till en osäker version, men servern kan acceptera klienter utan att uppdatera.
2	Sårbar.	Den möjliggör kompatibilitet med osäkra versioner och accepterar klienter utan uppdateringar.

Dessa värden representerar inte tre likvärdiga nivåer för felsökning. De ändrar säkerhets- och kompatibilitetsvillkoren för anslutningarna.

Innan du kräver uppdaterade klienter med det mest restriktiva alternativet, kontrollera att alla enheter som behöver kommunicera har motsvarande uppdateringar.

Hur man konsulterar direktivet utan att ändra det

På datorer som har grupprincipredigeraren kan du granska inställningen från den här sökvägen:

Datorkonfiguration > Administrativa mallar > System > Delegering av autentiseringsuppgifter > Kryptering Oracle Fix.

På en hanterad dator, kontrollera även vilket grupprincipobjekt eller vilken hanteringsprofil som anger värdet. En lokal konfiguration kan vara föremål för organisationspolicyer.

För att kontrollera registervärdet utan att ändra det, öppna en konsol och kör:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Om värdet finns, notera resultatet och jämför det med den tillämpade principen. Om det inte visas, kontrollera den faktiska konfigurationen och beteendet för den versionen av Windows innan du skapar en post manuellt.

Den föregående frågan ändrar inte konfigurationen. Syftet är att till exempel upptäcka om ett gammalt undantag fortfarande är i sårbart läge.

Varför AllowEncryptionOracle=2 inte ska vara den permanenta arrayen

Microsoft dokumenterar sårbart läge som en tillfällig lösning för vissa inkompatibilitetsscenarier. De varnar också för att det tillåter osäkra anslutningar och utsätter fjärrdatorn för attacker.

Bara för att en anslutning fungerar efter att värdet har satts till 2 betyder det inte att sårbarheten har åtgärdats. En kompatibilitetskontroll har lättats.

Om en organisation behöver tillämpa detta undantag måste den först dokumentera den tidigare inställningen, begränsa dess omfattning och förbereda sig för att uppdatera utrustningen. Därefter måste den ta bort undantaget och verifiera att RDP fungerar enligt den avsedda skyddspolicyn.

Du kan kontrollera scenarierna och deras villkor i Officiell Microsoft-dokumentation om CredSSP-felet.

När man ska kontrollera RDP-anslutning och inställningar

Om meddelandet inte matchar CredSSP-felet eller om destinationen inte svarar alls, kontrollera först att datorn är påslagen, ansluten och att fjärrskrivbord är aktiverat.

I Windows 11 finns alternativet i Inställningar > System > FjärrskrivbordHemversioner kan inte fungera som värd för den integrerade RDP-tjänsten, även om de kan ansluta som klienter till andra kompatibla datorer.

Att aktivera fjärrhjälp är en annan inställning och ersätter inte aktivering av fjärrskrivbord.

För en direkt RDP-anslutning med den vanliga porten kan du kontrollera TCP-anslutningen från PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Ersätter PC-OFICINA efter destinationsnamnet eller adressen och använder dess faktiska port om den har ändrats.

TcpTestSucceeded: True indikerar att en TCP-anslutning till den porten har upprättats. Den bekräftar inte att autentiseringsuppgifterna är korrekta eller att RDP-autentiseringen kommer att slutföras.

Om du använder en RDS-gateway, kontrollera routningen och de specifika kraven för den implementeringen. Granska brandväggsreglerna för den avsedda åtkomsten och undvik att urskillningslöst aktivera nätverksprofiler eller exponera porten för internet.

Så här kontrollerar du om det finns felaktiga sparade inloggningsuppgifter

Om meddelandet indikerar att kontot eller lösenordet är felaktigt, kontrollera vilken identitet klienten använder. En gammal autentiseringsuppgift kan fortfarande vara kopplad till fjärrdatorns namn eller adress.

1. Öppna Autentiseringsansvarig från Windows sökmotor.
2. Skriva in Windows-autentiseringsuppgifter.
3. Leta reda på posten som motsvarar den berörda destinationen.
4. Om du behöver ersätta den och du har de aktuella inloggningsuppgifterna, radera bara den posten.
5. Återanslut och ange rätt konto.

Kontrollera även om du behöver ett lokalt datorkonto eller ett domänkonto. Byt namn på användare med netplwiz Detta är inte proceduren för att korrigera ett lösenord som sparats på klienten.

Denna kontroll avser identitetsproblem. Den ersätter inte uppdatering av CredSSP när varningen identifierar denna inkompatibilitet.

Vad man bör kontrollera innan man anser att problemet är löst

Efter att du har uppdaterat systemen och granskat policyerna, starta en ny session med användaren som upplevde problemet. Kontrollera att du kan autentisera utan att behålla ett onödigt undantag i sårbart läge.

Om problemet kvarstår, samla in hela meddelandet, versionen av båda systemen, eventuella installerade uppdateringar och de tillämpade inställningarna. Om en certifikatspecifik varning visas, granska certifikatet enligt implementeringens procedurer.

Att ändra certifikat, minska upplösningen eller uppdatera nätverksdrivrutiner bör inte vara en del av en automatisk sekvens för varje autentiseringsfel. Nästa steg bör åtgärda det ihållande symtomet.