ข้อผิดพลาด CredSSP บนเดสก์ท็อประยะไกล: คุณสมบัติที่ร้องขอไม่ได้รับการสนับสนุน

ข้อความ ข้อความ "ฟังก์ชันที่ร้องขอไม่ได้รับการสนับสนุน" ใน Remote Desktop ข้อความดังกล่าวอาจปรากฏขึ้นพร้อมกับการอ้างอิงถึงการแก้ไขปัญหาการเข้ารหัสของ CredSSP ในกรณีนั้น คุณควรตรวจสอบการอัปเดตและนโยบายความปลอดภัยของทั้งเครื่องไคลเอ็นต์และเครื่องระยะไกล

คู่มือบางเล่มแนะนำให้แก้ไขโดยตรง AllowEncryptionOracle และกำหนดค่า 2การเปลี่ยนแปลงนี้อาจอนุญาตให้มีการเชื่อมต่อบางอย่างได้ แต่มันจะเปิดใช้งานโหมดที่เรียกว่า เปราะบางก่อนใช้งาน ให้ระบุข้อผิดพลาดและตรวจสอบว่าคุณสามารถแก้ไขปัญหาความไม่เข้ากันได้โดยการอัปเดตทั้งสองฝั่งหรือไม่

วิธีระบุข้อผิดพลาด CredSSP ใน Remote Desktop

เอกสารของ Microsoft ระบุสถานการณ์ที่การเชื่อมต่อ RDP แสดงข้อผิดพลาดในการตรวจสอบสิทธิ์ ระบุว่าฟังก์ชันที่ร้องขอไม่ได้รับการสนับสนุน และเพิ่มการอ้างอิงไปยัง การแก้ไขปัญหาออราเคิลการเข้ารหัส CredSSP.

CredSSP ช่วยให้คุณสามารถมอบหมายข้อมูลประจำตัวสำหรับการตรวจสอบสิทธิ์ระยะไกลได้ ตัวเลือกความเข้ากันได้ของมันสามารถป้องกันการเชื่อมต่อที่อาจอาศัยเวอร์ชันของโปรโตคอลที่มีช่องโหว่ได้

ก่อนเปลี่ยนแปลงการตั้งค่าใดๆ โปรดคัดลอกข้อความทั้งหมดและรหัสที่ปรากฏ กรณีเหล่านี้ต้องใช้การวินิจฉัยที่แตกต่างกัน:

ข้อความหรืออาการ	สิ่งที่คุณควรตรวจสอบ
ฟังก์ชันที่ร้องขอไม่ได้รับการสนับสนุน และข้อความแจ้งเตือนกล่าวถึง CredSSP	คำสั่งเกี่ยวกับการปรับปรุงและแก้ไขระบบการเข้ารหัสลับ Oracle
โทเค็นที่ส่งไปยังฟังก์ชันนั้นไม่ถูกต้อง มีรหัส 0xC000000D	ผลกระทบเฉพาะของ RDP และการป้องกันผู้ดูแลระบบ หากตรงกับเงื่อนไขของคุณ
คำเตือนเกี่ยวกับเอกลักษณ์หรือใบรับรองของอุปกรณ์	ชื่อการเชื่อมต่อ ความน่าเชื่อถือ และความถูกต้องของใบรับรอง
อุปกรณ์ไม่ตอบสนองหรือการเชื่อมต่อหมดเวลา	ความพร้อมใช้งานของปลายทาง การเชื่อมต่อ และกฎการเข้าถึง

การอ้างอิงถึง CredSSP อย่างชัดเจนนั้นมีความสำคัญต่อการวินิจฉัยนี้ อย่าสรุปว่าข้อผิดพลาดในการตรวจสอบสิทธิ์เกิดจากคำสั่งนั้นเพียงเพราะมีคำว่า "ฟังก์ชัน" อยู่ในนั้น

อัปเดตข้อมูลให้ลูกค้าและทีมงานที่ทำงานทางไกลทราบ

สำหรับกรณีความไม่เข้ากันที่ระบุไว้ในเอกสาร ไมโครซอฟต์แนะนำดังนี้ ติดตั้งการอัปเดต CredSSP ทั้งบนเครื่องไคลเอ็นต์และเซิร์ฟเวอร์เพื่อให้สามารถสร้างการเชื่อมต่อได้อย่างปลอดภัย

ไคลเอ็นต์คือคอมพิวเตอร์ที่คุณใช้เปิดการเชื่อมต่อ ส่วนเซิร์ฟเวอร์หรือโฮสต์คือคอมพิวเตอร์ที่คุณพยายามเข้าถึง

1. ตรวจสอบเวอร์ชันและบิลด์ของระบบปฏิบัติการ Windows ในคอมพิวเตอร์ทั้งสองเครื่องโดยใช้ winver.
2. ตรวจสอบประวัติการอัปเดต
3. ติดตั้งการอัปเดตที่เหมาะสมสำหรับแต่ละเวอร์ชันผ่าน Windows Update หรือระบบการจัดการขององค์กรของคุณ
4. ดำเนินการรีสตาร์ทตามที่โปรแกรมติดตั้งแจ้งเตือนให้เสร็จสิ้น
5. ทดสอบการเชื่อมต่ออีกครั้งก่อนแก้ไขการตั้งค่าความเข้ากันได้ของ CredSSP

ช่องโหว่ที่นำไปสู่ตัวเลือกเหล่านี้ถูกระบุว่าเป็น CVE-2018-0886คำแนะนำอย่างเป็นทางการบางส่วนรวมถึงแพตช์สำหรับระบบรุ่นเก่า: ตัวระบุเหล่านั้นไม่ควรถูกถ่ายโอนไปยังการติดตั้ง Windows 11 เวอร์ชันปัจจุบันโดยอัตโนมัติ

หากคุณไม่สามารถอัปเดตปลายทางได้เนื่องจาก RDP ถูกบล็อก ให้ใช้การเข้าถึงแบบโลคอลหรือคอนโซลการจัดการที่มีอยู่ สำหรับเครื่องเสมือน โปรดดูตัวเลือกการกู้คืนที่แพลตฟอร์มของคุณมีให้

ค่าต่างๆ ของ AllowEncryptionOracle หมายถึงอะไร?

คำสั่ง การแก้ไขปัญหาการเข้ารหัส Oracleหรือการแก้ไขออราเคิลการเข้ารหัส จะควบคุมความเข้ากันได้กับเวอร์ชันที่มีช่องโหว่ของ CredSSP

คุณค่า	โหมด	พฤติกรรม
0	บังคับให้อัปเดตไคลเอ็นต์	ระบบนี้ป้องกันการใช้เวอร์ชันที่ไม่ปลอดภัยและปฏิเสธการเชื่อมต่อจากไคลเอ็นต์ที่ไม่ได้อัปเดต
1	บรรเทาลงแล้ว	ไคลเอ็นต์จะไม่เปลี่ยนกลับไปใช้เวอร์ชันที่ไม่ปลอดภัย แต่เซิร์ฟเวอร์สามารถรับไคลเอ็นต์ได้โดยไม่ต้องอัปเดต
2	เปราะบาง.	มันช่วยให้สามารถใช้งานร่วมกับเวอร์ชันที่ไม่ปลอดภัยและยอมรับไคลเอ็นต์ที่ไม่มีการอัปเดตได้

ค่าเหล่านี้ไม่ได้แสดงถึงระดับที่เทียบเท่ากันสามระดับสำหรับการแก้ไขปัญหาข้อผิดพลาด แต่เป็นการเปลี่ยนแปลงเงื่อนไขด้านความปลอดภัยและความเข้ากันได้ของการเชื่อมต่อ

ก่อนที่จะกำหนดให้ติดตั้งโปรแกรมไคลเอ็นต์ที่อัปเดตแล้วโดยใช้ตัวเลือกที่เข้มงวดที่สุด โปรดตรวจสอบให้แน่ใจว่าอุปกรณ์ทั้งหมดที่จำเป็นต้องสื่อสารกันนั้นได้รับการอัปเดตที่เกี่ยวข้องแล้ว

วิธีปรึกษาคำสั่งโดยไม่ต้องแก้ไขคำสั่งนั้น

ในคอมพิวเตอร์ที่มีโปรแกรมแก้ไขนโยบายกลุ่ม (Group Policy Editor) คุณสามารถตรวจสอบการตั้งค่าได้จากเส้นทางนี้:

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ระบบ > การมอบหมายข้อมูลประจำตัว > การเข้ารหัส Oracle Fix.

ในคอมพิวเตอร์ที่ได้รับการจัดการ ให้ตรวจสอบด้วยว่า GPO หรือโปรไฟล์การจัดการใดที่กำหนดค่าดังกล่าว การกำหนดค่าในเครื่องอาจอยู่ภายใต้นโยบายขององค์กร

หากต้องการตรวจสอบค่าใน Registry โดยไม่ต้องเปลี่ยนแปลงค่า ให้เปิดคอนโซลแล้วเรียกใช้คำสั่ง:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

หากค่าดังกล่าวมีอยู่ ให้จดบันทึกผลลัพธ์และเปรียบเทียบกับนโยบายที่ใช้ หากไม่มีค่าดังกล่าว ให้ตรวจสอบการกำหนดค่าและพฤติกรรมจริงของ Windows เวอร์ชันนั้นก่อนที่จะสร้างรายการด้วยตนเอง

คำสั่งค้นหาก่อนหน้านี้ไม่ได้แก้ไขการตั้งค่าใดๆ จุดประสงค์คือเพื่อตรวจจับ เช่น ว่าข้อยกเว้นเก่าๆ ยังคงถูกตั้งค่าอยู่ในโหมดช่องโหว่หรือไม่

เหตุใด AllowEncryptionOracle=2 จึงไม่ควรเป็นค่าคงที่ถาวรในอาร์เรย์

ไมโครซอฟต์ระบุว่าโหมดช่องโหว่ (Vulnerable Mode) เป็นวิธีแก้ปัญหาชั่วคราวสำหรับสถานการณ์ที่ไม่เข้ากันบางอย่าง นอกจากนี้ยังเตือนว่าโหมดนี้อนุญาตให้มีการเชื่อมต่อที่ไม่ปลอดภัยและทำให้คอมพิวเตอร์ระยะไกลเสี่ยงต่อการโจมตี

การที่การเชื่อมต่อใช้งานได้หลังจากตั้งค่าเป็น 2 ไม่ได้หมายความว่าช่องโหว่ได้รับการแก้ไขแล้ว การตรวจสอบความเข้ากันได้ถูกผ่อนปรนลงแล้ว

หากองค์กรใดจำเป็นต้องใช้ข้อยกเว้นนี้ จะต้องบันทึกการตั้งค่าเดิม กำหนดขอบเขต และเตรียมการอัปเดตอุปกรณ์ก่อน จากนั้นจึงต้องลบข้อยกเว้นออกและตรวจสอบว่า RDP ทำงานตามนโยบายการป้องกันที่กำหนดไว้หรือไม่

คุณสามารถตรวจสอบสถานการณ์และเงื่อนไขต่างๆ ได้ใน เอกสารอย่างเป็นทางการจาก Microsoft เกี่ยวกับข้อผิดพลาด CredSSP.

ควรตรวจสอบการเชื่อมต่อและการตั้งค่า RDP เมื่อใด

หากข้อความไม่ตรงกับข้อผิดพลาดของ CredSSP หรือปลายทางไม่ตอบสนองเลย ให้ตรวจสอบก่อนว่าคอมพิวเตอร์เปิดอยู่ เชื่อมต่ออยู่ และเปิดใช้งาน Remote Desktop แล้ว

ใน Windows 11 ตัวเลือกนี้จะอยู่ที่ การตั้งค่า > ระบบ > เดสก์ท็อประยะไกลระบบปฏิบัติการเวอร์ชันสำหรับใช้งานที่บ้านไม่สามารถทำหน้าที่เป็นโฮสต์สำหรับบริการ RDP ในตัวได้ แม้ว่าจะสามารถเชื่อมต่อในฐานะไคลเอ็นต์กับคอมพิวเตอร์เครื่องอื่นที่เข้ากันได้ก็ตาม

การเปิดใช้งานการช่วยเหลือระยะไกลเป็นการตั้งค่าที่แตกต่างออกไป และไม่ได้แทนที่การเปิดใช้งานเดสก์ท็อประยะไกล

สำหรับการเชื่อมต่อ RDP โดยตรงโดยใช้พอร์ตปกติ คุณสามารถตรวจสอบการเชื่อมต่อ TCP จาก PowerShell ได้:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

แทนที่ PC-OFICINA โดยระบุชื่อหรือที่อยู่ปลายทาง และใช้พอร์ตจริงหากมีการเปลี่ยนแปลง

TcpTestSucceeded: True แสดงว่าการเชื่อมต่อ TCP ไปยังพอร์ตนั้นได้รับการสร้างขึ้นสำเร็จแล้ว ข้อความนี้ไม่ได้ยืนยันว่าข้อมูลประจำตัวถูกต้องหรือการตรวจสอบสิทธิ์ RDP จะเสร็จสมบูรณ์

หากคุณใช้เกตเวย์ RDS โปรดตรวจสอบการกำหนดเส้นทางและข้อกำหนดเฉพาะของการใช้งานนั้น ตรวจสอบกฎไฟร์วอลล์สำหรับการเข้าถึงที่ต้องการ โดยหลีกเลี่ยงการเปิดใช้งานโปรไฟล์เครือข่ายโดยไม่เลือกปฏิบัติ หรือการเปิดพอร์ตสู่อินเทอร์เน็ต

วิธีตรวจสอบข้อมูลประจำตัวที่บันทึกไว้ไม่ถูกต้อง

หากข้อความระบุว่าบัญชีผู้ใช้หรือรหัสผ่านไม่ถูกต้อง ให้ตรวจสอบว่าไคลเอนต์กำลังใช้ข้อมูลประจำตัวใด ข้อมูลประจำตัวเก่าอาจยังคงเชื่อมโยงกับชื่อหรือที่อยู่ของคอมพิวเตอร์ระยะไกลอยู่

1. เปิด ผู้จัดการข้อมูลประจำตัว จากเครื่องมือค้นหาของ Windows
2. เข้า ข้อมูลรับรองของ Windows.
3. ค้นหาข้อมูลที่ตรงกับปลายทางที่ได้รับผลกระทบ
4. หากคุณต้องการเปลี่ยนข้อมูล และคุณมีข้อมูลประจำตัวปัจจุบันอยู่ ให้ลบเฉพาะรายการนั้นออก
5. เชื่อมต่อใหม่และป้อนหมายเลขบัญชีที่ถูกต้อง

ตรวจสอบด้วยว่าคุณต้องการบัญชีผู้ใช้ในเครื่องคอมพิวเตอร์หรือบัญชีผู้ใช้ในโดเมน เปลี่ยนชื่อผู้ใช้โดยใช้ netplwiz นี่ไม่ใช่ขั้นตอนสำหรับการแก้ไขรหัสผ่านที่บันทึกไว้ในเครื่องลูกข่าย

การตรวจสอบนี้เกี่ยวข้องกับปัญหาด้านการยืนยันตัวตน ไม่ได้เป็นการทดแทนการอัปเดต CredSSP เมื่อคำเตือนระบุถึงความไม่เข้ากันนี้

สิ่งที่ควรตรวจสอบก่อนสรุปว่าปัญหาได้รับการแก้ไขแล้ว

หลังจากอัปเดตระบบและตรวจสอบนโยบายแล้ว ให้เริ่มเซสชันใหม่กับผู้ใช้ที่ประสบปัญหา ตรวจสอบว่าคุณสามารถตรวจสอบสิทธิ์ได้โดยไม่ต้องสร้างข้อยกเว้นที่ไม่จำเป็นในโหมดช่องโหว่

หากปัญหายังคงอยู่ ให้รวบรวมข้อความทั้งหมด เวอร์ชันของทั้งสองระบบ การอัปเดตที่ติดตั้ง และการตั้งค่าที่ใช้ หากมีคำเตือนเกี่ยวกับใบรับรองปรากฏขึ้น ให้ตรวจสอบใบรับรองนั้นตามขั้นตอนการใช้งานของคุณ

การแก้ไขใบรับรอง การลดความละเอียด หรือการอัปเดตไดรเวอร์เครือข่าย ไม่ควรเป็นส่วนหนึ่งของลำดับขั้นตอนอัตโนมัติสำหรับทุกข้อผิดพลาดในการตรวจสอบสิทธิ์ ขั้นตอนต่อไปควรเป็นการแก้ไขอาการที่เกิดขึ้นอย่างต่อเนื่อง