Lỗi CredSSP trên Remote Desktop: Tính năng được yêu cầu không được hỗ trợ.

Thông điệp Thông báo "Chức năng được yêu cầu không được hỗ trợ" trong Remote Desktop. Thông báo này có thể xuất hiện kèm theo tham chiếu đến bản vá lỗi mã hóa CredSSP. Trong trường hợp đó, bạn nên xem xét lại các bản cập nhật và chính sách bảo mật của cả máy khách và máy từ xa.

Một số hướng dẫn khuyên nên chỉnh sửa trực tiếp. AllowEncryptionOracle và gán giá trị 2Thay đổi này có thể cho phép một số kết nối nhất định, nhưng nó kích hoạt một chế độ gọi là Dễ bị tổn thươngTrước khi sử dụng, hãy xác định lỗi và kiểm tra xem bạn có thể giải quyết sự không tương thích bằng cách cập nhật cả hai phía hay không.

Cách xác định lỗi CredSSP trong Remote Desktop

Microsoft mô tả một trường hợp trong đó kết nối RDP hiển thị lỗi xác thực, cho biết chức năng được yêu cầu không được hỗ trợ và thêm một tham chiếu đến... Khắc phục lỗi mã hóa Oracle CredSSP.

CredSSP cho phép bạn ủy quyền thông tin xác thực để xác thực từ xa. Các tùy chọn tương thích của nó có thể ngăn chặn các kết nối dựa trên các phiên bản dễ bị tổn thương của giao thức.

Trước khi thay đổi bất kỳ cài đặt nào, hãy sao chép toàn bộ thông báo và bất kỳ mã nào xuất hiện. Những trường hợp này yêu cầu các phương pháp chẩn đoán khác nhau:

Thông báo hoặc triệu chứng	Những điều bạn nên kiểm tra
Chức năng được yêu cầu không được hỗ trợ và thông báo đề cập đến CredSSP.	Chỉ thị cập nhật và sửa lỗi Oracle mật mã.
Mã thông báo được truyền vào hàm không hợp lệ, với mã lỗi 0xC000000D.	Tác động cụ thể của RDP và Bảo vệ quản trị viên, nếu phù hợp với điều kiện của bạn.
Cảnh báo về thông tin nhận dạng hoặc giấy chứng nhận của thiết bị.	Tên kết nối, độ tin cậy và hiệu lực của chứng chỉ.
Thiết bị không phản hồi hoặc kết nối bị ngắt quãng.	Tính khả dụng của điểm đến, khả năng kết nối và các quy tắc truy cập.

Việc đề cập rõ ràng đến CredSSP rất quan trọng đối với chẩn đoán này. Đừng quy kết bất kỳ lỗi xác thực nào cho chỉ thị đó chỉ vì nó chứa từ "function".

Cập nhật thông tin cho khách hàng và nhóm làm việc từ xa.

Đối với trường hợp không tương thích đã được ghi nhận, Microsoft khuyến nghị: Cài đặt bản cập nhật CredSSP trên cả máy khách và máy chủ.để có thể thiết lập kết nối một cách an toàn.

Máy khách là máy tính mà bạn dùng để thiết lập kết nối. Máy chủ hoặc máy chủ lưu trữ là máy tính mà bạn đang cố gắng truy cập.

1. Xác định phiên bản và bản dựng Windows của cả hai máy tính bằng cách sử dụng winver.
2. Kiểm tra lịch sử cập nhật của nó.
3. Cài đặt các bản cập nhật phù hợp với từng phiên bản thông qua Windows Update hoặc hệ thống quản lý của tổ chức bạn.
4. Hoàn tất các thao tác khởi động lại được yêu cầu trong quá trình cài đặt.
5. Hãy kiểm tra lại kết nối trước khi thay đổi cài đặt tương thích CredSSP.

Lỗ hổng bảo mật dẫn đến các tùy chọn này được xác định là CVE-2018-0886Một số hướng dẫn chính thức bao gồm các bản vá lỗi cũ cho các hệ thống cũ hơn: các mã định danh đó không nên được tự động chuyển sang bản cài đặt Windows 11 hiện tại.

Nếu bạn không thể cập nhật đích đến vì RDP bị chặn, hãy sử dụng truy cập cục bộ hoặc bảng điều khiển quản lý khả dụng. Đối với máy ảo, hãy tham khảo các tùy chọn khôi phục do nền tảng của bạn cung cấp.

Các giá trị của AllowEncryptionOracle có ý nghĩa gì?

Chỉ thị Khắc phục sự cố mã hóa Oracle, hay việc sửa lỗi oracle mã hóa, kiểm soát khả năng tương thích với các phiên bản CredSSP dễ bị tổn thương.

Đáng giá	Cách thức	Hành vi
0	Buộc cập nhật máy khách.	Nó ngăn chặn việc sử dụng các phiên bản không an toàn và từ chối các máy khách không được cập nhật.
1	Đã giảm thiểu.	Ứng dụng khách không tự động quay lại phiên bản không an toàn, nhưng máy chủ có thể chấp nhận các ứng dụng khách mà không cần cập nhật.
2	Dễ bị tổn thương.	Nó cho phép tương thích với các phiên bản không an toàn và chấp nhận các máy khách không cần cập nhật.

Các giá trị này không đại diện cho ba cấp độ tương đương để khắc phục sự cố. Chúng thay đổi các điều kiện bảo mật và tương thích của các kết nối.

Trước khi yêu cầu cập nhật máy khách bằng tùy chọn hạn chế nhất, hãy kiểm tra xem tất cả các thiết bị cần giao tiếp đã có các bản cập nhật tương ứng hay chưa.

Làm thế nào để tham khảo chỉ thị mà không cần sửa đổi nó?

Trên các máy tính có Trình chỉnh sửa Chính sách Nhóm, bạn có thể xem lại cài đặt từ đường dẫn này:

Cấu hình máy tính > Mẫu quản trị > Hệ thống > Ủy quyền thông tin xác thực > Sửa lỗi mã hóa Oracle.

Trên máy tính được quản lý, hãy kiểm tra xem GPO hoặc hồ sơ quản lý nào thiết lập giá trị đó. Cấu hình cục bộ có thể chịu sự chi phối của các chính sách tổ chức.

Để kiểm tra giá trị Registry mà không thay đổi nó, hãy mở cửa sổ dòng lệnh và chạy lệnh sau:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Nếu giá trị tồn tại, hãy ghi lại kết quả và so sánh với chính sách đã áp dụng. Nếu giá trị không xuất hiện, hãy tham khảo cấu hình và hoạt động thực tế của phiên bản Windows đó trước khi tạo mục nhập thủ công.

Truy vấn trước đó không thay đổi cấu hình. Mục đích của nó là để phát hiện, ví dụ, liệu một ngoại lệ cũ có còn được thiết lập ở chế độ Dễ bị tổn thương hay không.

Vì sao AllowEncryptionOracle=2 không nên là mảng cố định

Microsoft mô tả Chế độ Dễ bị tổn thương (Vulnerable Mode) như một giải pháp tạm thời cho một số trường hợp không tương thích nhất định. Hãng cũng cảnh báo rằng chế độ này cho phép các kết nối không an toàn và khiến máy tính từ xa dễ bị tấn công.

Việc kết nối hoạt động sau khi đặt giá trị thành 2 không có nghĩa là lỗ hổng đã được khắc phục. Việc kiểm tra tính tương thích đã được nới lỏng.

Nếu một tổ chức cần áp dụng ngoại lệ này, trước tiên họ phải ghi lại thiết lập trước đó, giới hạn phạm vi của nó và chuẩn bị cập nhật thiết bị. Sau đó, họ phải loại bỏ ngoại lệ và xác minh rằng RDP đang hoạt động theo chính sách bảo vệ dự định.

Bạn có thể kiểm tra các kịch bản và điều kiện của chúng trong phần... Tài liệu chính thức của Microsoft về lỗi CredSSP.

Khi nào cần kiểm tra kết nối và cài đặt RDP?

Nếu thông báo không khớp với lỗi CredSSP hoặc máy chủ đích không phản hồi, trước tiên hãy kiểm tra xem máy tính đã được bật nguồn, kết nối mạng và đã bật tính năng Remote Desktop chưa.

Trong Windows 11, tùy chọn này nằm ở vị trí sau: Cài đặt > Hệ thống > Máy tính từ xaCác phiên bản dành cho gia đình không thể hoạt động như máy chủ cho dịch vụ RDP tích hợp, mặc dù chúng có thể kết nối như máy khách với các máy tính tương thích khác.

Việc kích hoạt Hỗ trợ từ xa là một thiết lập khác và không thay thế việc kích hoạt Máy tính từ xa.

Để thiết lập kết nối RDP trực tiếp bằng cổng thông thường, bạn có thể kiểm tra kết nối TCP từ PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Thay thế PC-OFICINA Dựa vào tên hoặc địa chỉ đích và sử dụng cổng thực tế nếu cổng đó đã thay đổi.

TcpTestSucceeded: True Điều này cho thấy kết nối TCP đến cổng đó đã được thiết lập thành công. Điều này không xác nhận rằng thông tin đăng nhập là chính xác hoặc quá trình xác thực RDP sẽ hoàn tất.

Nếu bạn đang sử dụng cổng RDS, hãy kiểm tra định tuyến và các yêu cầu cụ thể của việc triển khai đó. Xem lại các quy tắc tường lửa cho quyền truy cập dự định, tránh việc kích hoạt cấu hình mạng một cách bừa bãi hoặc để lộ cổng ra internet.

Cách kiểm tra thông tin đăng nhập đã lưu không chính xác

Nếu thông báo cho biết tài khoản hoặc mật khẩu không chính xác, hãy kiểm tra xem máy khách đang sử dụng thông tin đăng nhập nào. Thông tin đăng nhập cũ có thể vẫn còn liên kết với tên hoặc địa chỉ của máy tính từ xa.

1. Mở Quản lý chứng chỉ Từ công cụ tìm kiếm của Windows.
2. Đi vào Thông tin đăng nhập Windows.
3. Tìm mục tương ứng với điểm đến bị ảnh hưởng.
4. Nếu bạn cần thay thế nó và bạn có thông tin đăng nhập hiện tại, chỉ cần xóa mục đó.
5. Hãy kết nối lại và nhập đúng tài khoản.

Kiểm tra xem bạn cần tài khoản máy tính cục bộ hay tài khoản miền. Đổi tên người dùng bằng cách sử dụng netplwiz Đây không phải là quy trình để sửa mật khẩu đã lưu trên máy khách.

Việc kiểm tra này liên quan đến các vấn đề về định danh. Nó không thay thế việc cập nhật CredSSP khi cảnh báo xác định sự không tương thích này.

Những điều cần kiểm tra trước khi cho rằng vấn đề đã được giải quyết

Sau khi cập nhật hệ thống và xem xét lại các chính sách, hãy bắt đầu một phiên làm việc mới với người dùng gặp sự cố. Xác minh rằng bạn có thể xác thực mà không duy trì ngoại lệ không cần thiết ở chế độ Dễ bị tổn thương.

Nếu sự cố vẫn tiếp diễn, hãy thu thập toàn bộ thông báo, phiên bản của cả hai hệ thống, bất kỳ bản cập nhật nào đã được cài đặt và các thiết lập đã áp dụng. Nếu xuất hiện cảnh báo liên quan đến chứng chỉ, hãy xem xét lại chứng chỉ đó theo quy trình triển khai của bạn.

Việc sửa đổi chứng chỉ, giảm độ phân giải hoặc cập nhật trình điều khiển mạng không nên là một phần của quy trình tự động xử lý mọi lỗi xác thực. Bước tiếp theo cần giải quyết triệu chứng dai dẳng.