Помилка CredSSP на віддаленому робочому столі: Запитана функція не підтримується

Повідомлення «Запитана функція не підтримується» у віддаленому робочому столі Воно може супроводжуватися посиланням на виправлення оракула шифрування CredSSP. У такому разі слід переглянути оновлення та політики безпеки як клієнта, так і віддаленого комп’ютера.

Деякі посібники рекомендують змінювати безпосередньо AllowEncryptionOracle і призначити значення 2Ця зміна може дозволити певні з’єднання, але вона активує режим під назвою ВразливийПеред використанням визначте помилку та перевірте, чи можна вирішити несумісність, оновивши обидва кінці.

Як визначити помилку CredSSP у віддаленому робочому столі

Microsoft документує сценарій, у якому RDP-з’єднання показує помилку автентифікації, вказує на те, що запитувана функція не підтримується, і додає посилання на Виправлення шифрування оракула CredSSP.

CredSSP дозволяє делегувати облікові дані для віддаленої автентифікації. Його параметри сумісності можуть запобігти з’єднанням, які залежать від вразливих версій протоколу.

Перш ніж змінювати будь-які налаштування, скопіюйте все повідомлення та всі коди, що з’являються. Ці ситуації потребують різної діагностики:

Повідомлення або симптом	Що слід перевірити
Запитана функція не підтримується, а в повідомленні згадується CredSSP.	Директива про оновлення та виправлення криптографічного оракула.
Токен, переданий функції, недійсний, з кодом 0xC000000D.	Конкретний вплив RDP та захисту адміністратора, якщо це відповідає вашим умовам.
Попередження щодо ідентифікації або сертифіката обладнання.	Ім'я з'єднання, довіра та термін дії сертифіката.
Пристрій не відповідає або час очікування з’єднання перевищено.	Доступність, підключення та правила доступу до пункту призначення.

Для цього діагнозу важливе чітке посилання на CredSSP. Не приписуйте жодної помилки автентифікації цій директиві лише тому, що вона містить слово "function".

Оновлення клієнта та віддаленої команди

Для задокументованого сценарію несумісності Microsoft рекомендує Встановлення оновлень CredSSP на клієнті та серверіщоб з’єднання можна було безпечно встановити.

Клієнт – це комп’ютер, з якого ви відкриваєте з’єднання. Сервер або хост – це комп’ютер, до якого ви намагаєтеся отримати доступ.

1. Визначте версію та збірку Windows на обох комп’ютерах за допомогою winver.
2. Перевірте історію його оновлень.
3. Інсталюйте оновлення, що застосовуються до кожної версії, через службу Windows Update або систему керування вашої організації.
4. Виконайте перезавантаження, запитані інсталяцією.
5. Перед зміною сумісності CredSSP перевірте з’єднання ще раз.

Вразливість, яка призвела до цих опцій, визначена як CVE-2018-0886Деякі офіційні інструкції містять історичні патчі для старіших систем: ці ідентифікатори не повинні автоматично переноситися на поточну інсталяцію Windows 11.

Якщо ви не можете оновити місце призначення, оскільки RDP заблоковано, скористайтеся локальним доступом або доступною консоллю керування. Для віртуальних машин зверніться до параметрів відновлення, що надаються вашою платформою.

Що означають значення AllowEncryptionOracle?

Директива Виправлення шифрування Oracle, або виправлення оракула шифрування, контролює сумісність з вразливими версіями CredSSP.

Вартість	Режим	Поведінка
0	Примусово оновлювати клієнтів.	Це запобігає використанню незахищених версій та відхиляє клієнтів без оновлень.
1	Пом'якшено.	Клієнт не повертається до незахищеної версії, але сервер може приймати клієнтів без оновлення.
2	Вразливий.	Це забезпечує сумісність із незахищеними версіями та приймає неоновлені клієнти.

Ці значення не представляють три еквівалентні рівні для усунення помилки. Вони змінюють умови безпеки та сумісності з'єднань.

Перш ніж вимагати оновлення клієнтів за допомогою найбільш обмежувального варіанту, перевірте, чи всі пристрої, які потребують зв'язку, мають відповідні оновлення.

Як ознайомитися з директивою, не змінюючи її

На комп’ютерах із редактором групової політики ви можете переглянути налаштування за цим шляхом:

Конфігурація комп'ютера > Адміністративні шаблони > Система > Делегування облікових даних > Виправлення шифрування Oracle.

На керованому комп’ютері також перевірте, який об’єкт групової політики або профіль керування встановлює значення. Локальна конфігурація може підпадати під дію політик організації.

Щоб перевірити значення реєстру, не змінюючи його, відкрийте консоль і виконайте команду:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Якщо значення існує, запишіть результат і порівняйте його із застосованою політикою. Якщо воно не відображається, перевірте фактичну конфігурацію та поведінку цієї версії Windows, перш ніж створювати запис вручну.

Попередній запит не змінює конфігурацію. Його метою є виявлення, наприклад, чи залишається старий виняток встановленим у режимі Vulnerable.

Чому AllowEncryptionOracle=2 не повинно бути постійним масивом

Microsoft документує вразливий режим як тимчасове рішення для певних сценаріїв несумісності. Компанія також попереджає, що він дозволяє незахищені з'єднання та наражає віддалений комп'ютер на ризик атак.

Те, що з'єднання працює після встановлення значення 2, не означає, що вразливість виправлено. Перевірку сумісності було послаблено.

Якщо організації потрібно застосувати цей виняток, вона повинна спочатку задокументувати попередні налаштування, обмежити їхню область застосування та підготуватися до оновлення обладнання. Потім вона повинна видалити виняток та перевірити, чи RDP функціонує відповідно до запланованої політики захисту.

Ви можете перевірити сценарії та їхні умови в Офіційна документація Microsoft щодо помилки CredSSP.

Коли перевіряти підключення та налаштування RDP

Якщо повідомлення не відповідає помилці CredSSP або пункт призначення взагалі не відповідає, спочатку перевірте, чи комп’ютер увімкнено, підключено та чи ввімкнено віддалений робочий стіл.

У Windows 11 ця опція знаходиться в Налаштування > Система > Віддалений робочий стілДомашні версії не можуть виступати в ролі хоста для інтегрованої служби RDP, хоча вони можуть підключатися як клієнти до інших сумісних комп'ютерів.

Увімкнення віддаленої допомоги – це інший параметр, який не замінює ввімкнення віддаленого робочого столу.

Для прямого RDP-з'єднання з використанням звичайного порту можна перевірити TCP-з'єднання за допомогою PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Замінює PC-OFICINA за назвою або адресою призначення та використовує його фактичний порт, якщо він змінився.

TcpTestSucceeded: True вказує на те, що TCP-з’єднання з цим портом успішно встановлено. Це не підтверджує правильність облікових даних або завершення автентифікації RDP.

Якщо ви використовуєте шлюз RDS, перевірте маршрутизацію та конкретні вимоги цієї реалізації. Перегляньте правила брандмауера для передбачуваного доступу, уникаючи безладного ввімкнення мережевих профілів або відкриття порту для Інтернету.

Як перевірити наявність неправильно збережених облікових даних

Якщо повідомлення вказує на те, що обліковий запис або пароль неправильні, перевірте, яку ідентифікаційну особу використовує клієнт. Старі облікові дані можуть бути пов’язані з іменем або адресою віддаленого комп’ютера.

1. Відкрийте Менеджер облікових даних з пошукової системи Windows.
2. Введіть Облікові дані Windows.
3. Знайдіть запис, що відповідає відповідному пункту призначення.
4. Якщо вам потрібно замінити його, і у вас є поточні облікові дані, видаліть лише цей запис.
5. Підключіться знову та введіть правильний обліковий запис.

Також перевірте, чи потрібен вам обліковий запис локального комп’ютера, чи обліковий запис домену. Перейменуйте користувачів за допомогою netplwiz Це не процедура виправлення пароля, збереженого на клієнтській машині.

Ця перевірка стосується проблем з ідентифікацією. Вона не замінює оновлення CredSSP, коли попередження виявляє цю несумісність.

Що перевірити, перш ніж вважати проблему вирішеною

Після оновлення систем та перегляду політик розпочніть новий сеанс із користувачем, у якого виникла проблема. Переконайтеся, що ви можете пройти автентифікацію, не створюючи непотрібного винятку у вразливому режимі.

Якщо проблема не зникає, зберіть повне повідомлення, версію обох систем, будь-які встановлені оновлення та застосовані налаштування. Якщо з’являється попередження щодо сертифіката, перегляньте цей сертифікат, дотримуючись процедур вашої реалізації.

Зміна сертифікатів, зменшення роздільної здатності або оновлення мережевих драйверів не повинні бути частиною автоматичної послідовності для кожної помилки автентифікації. Наступний крок має усунути постійний симптом.