远程桌面 CredSSP 错误：请求的功能不受支持

信息 远程桌面中显示“请求的功能不受支持”。 它可能同时提及 CredSSP 加密 Oracle 修复程序。在这种情况下，您应该检查客户端和远程计算机的更新和安全策略。

有些指南建议直接修改。 AllowEncryptionOracle 并赋值 2这一改变或许能允许某些连接，但它会激活一种叫做……的模式 易受伤害的使用前，请先找出错误，并检查是否可以通过更新两端来解决不兼容问题。

如何识别远程桌面中的 CredSSP 错误

微软文档中记录了一个场景，在该场景中，RDP 连接显示身份验证错误，表明请求的功能不受支持，并添加了对以下内容的引用： CredSSP 加密预言机修复.

CredSSP 允许您委托凭据进行远程身份验证。其兼容性选项可以阻止依赖于存在漏洞的协议版本的连接。

在更改任何设置之前，请复制整条消息及其出现的所有代码。这些情况需要不同的诊断方法：

信息或症状	你应该检查哪些内容
请求的功能不受支持，并且通知中提到了 CredSSP。	加密Oracle更新和修正指令。
传递给函数的令牌无效，代码为 0xC000000D。	RDP 和管理员保护的具体影响，取决于它是否符合您的条件。
关于设备身份或证书的警告。	连接名称、信任关系和证书有效期。
设备无响应或连接超时。	目的地可用性、连接性和访问规则。

明确提及 CredSSP 对于此诊断至关重要。 不要仅仅因为指令中包含“function”一词就将任何身份验证错误归咎于该指令。

向客户和远程团队更新信息

针对已记录的不兼容情况，微软建议： 在客户端和服务器上都安装 CredSSP 更新以便能够安全地建立连接。

客户端是指您用来发起连接的计算机。服务器或主机是指您尝试访问的计算机。

1. 使用以下命令确定两台计算机的 Windows 版本和内部版本号： winver.
2. 查看其更新历史记录。
3. 通过 Windows 更新或贵组织的管理系统安装适用于各个版本的更新。
4. 完成安装程序要求的重启操作。
5. 在修改 CredSSP 兼容性之前，请再次测试连接。

导致这些选择的漏洞被认定为 CVE-2018-0886一些官方说明包含针对旧系统的历史补丁：这些标识符不应自动转移到当前的 Windows 11 安装中。

如果由于 RDP 被阻止而无法更新目标位置，请使用本地访问或可用的管理控制台。对于虚拟机，请参阅平台提供的恢复选项。

AllowEncryptionOracle 的值分别代表什么含义？

该指令 加密 Oracle 修复，或者说加密预言机校正，控制与易受攻击的 CredSSP 版本的兼容性。

值得	模式	行为
0	强制更新客户端。	它可以防止使用不安全的版本，并拒绝未更新的客户端。
1	已缓解。	客户端不会回滚到不安全的版本，但服务器可以接受未更新的客户端。
2	易受伤害的。	它允许与不安全的版本兼容，并接受未更新的客户端。

这些值并不代表用于故障排除的三个等效级别。它们会改变连接的安全性和兼容性条件。

在采用最严格的选项要求客户端更新之前，请检查所有需要通信的设备是否都已进行相应的更新。

如何在不修改指令的情况下查阅它

在安装了组策略编辑器的计算机上，您可以从以下路径查看设置：

计算机配置 > 管理模板 > 系统 > 凭据委派 > 加密 Oracle 修复.

在受管计算机上，还要检查是哪个组策略对象 (GPO) 或管理配置文件设置了该值。本地配置可能受组织策略的约束。

要在不更改注册表值的情况下检查它，请打开控制台并运行：

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

如果该值存在，请记录结果并将其与已应用的策略进行比较。如果该值不存在，请在手动创建条目之前，查阅该 Windows 版本的实际配置和行为。

之前的查询不会修改配置。它的目的是检测，例如，在易受攻击模式下是否仍然设置了旧的异常。

为什么 AllowEncryptionOracle=2 不应该是永久数组

微软将“易受攻击模式”描述为针对某些不兼容情况的临时解决方案。但同时警告称，该模式会建立不安全的连接，使远程计算机容易受到攻击。

即使将值设置为 2 后连接有效，也不意味着漏洞已被修复。 兼容性检查已放宽。

如果组织需要应用此例外，则必须首先记录之前的设置，限制其范围，并准备更新设备。然后，必须移除此例外，并验证 RDP 是否按照预期的保护策略运行。

您可以在此处查看各种场景及其条件。 关于 CredSSP 错误的官方微软文档.

何时检查 RDP 连接和设置

如果消息与 CredSSP 错误不匹配，或者目标根本没有响应，请先检查计算机是否已开机、已连接并已启用远程桌面。

在 Windows 11 中，该选项位于 设置 > 系统 > 远程桌面家庭版虽然可以作为客户端连接到其他兼容的计算机，但不能作为集成 RDP 服务的主机。

启用远程协助是不同的设置，它不能替代启用远程桌面。

对于使用常规端口的直接 RDP 连接，您可以从 PowerShell 检查 TCP 连接性：

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

替换 PC-OFICINA 按目标名称或地址，如果端口已更改，则使用实际端口。

TcpTestSucceeded: True 表示已成功建立到该端口的 TCP 连接。 它并不能确认凭据是否正确，也不能确认 RDP 身份验证是否会完成。

如果您使用的是 RDS 网关，请检查其路由配置和具体要求。检查防火墙规则，确保允许相应的访问，避免随意启用网络配置文件或将端口暴露在互联网上。

如何检查已保存的凭据是否错误

如果消息提示帐户或密码错误，请检查客户端正在使用的身份。旧的凭据可能仍然与远程计算机的名称或地址关联。

1. 打开 凭证管理器 来自 Windows 搜索引擎。
2. 进入 Windows 凭据.
3. 找到与受影响目的地对应的条目。
4. 如果需要替换，并且您拥有当前的凭据，则只需删除该条目即可。
5. 重新连接并输入正确的帐户。

还要检查您需要的是本地计算机帐户还是域帐户。使用以下命令重命名用户 netplwiz 这不是更正客户端上保存的密码的正确方法。

此检查与身份验证问题相关。当警告指出存在此不兼容性时，它并不能替代更新 CredSSP。

在认为问题已解决之前，需要检查哪些内容？

更新系统并检查策略后，使用遇到问题的用户启动一个新会话。验证是否可以在不维护不必要的“易受攻击模式”例外的情况下进行身份验证。

如果问题仍然存在，请收集完整的错误信息、两个系统的版本、所有已安装的更新以及应用的设置。如果出现与证书相关的警告，请按照您实施流程检查该证书。

修改证书、降低分辨率或更新网络驱动程序不应作为每次身份验证错误自动处理的步骤。下一步应该解决持续存在的问题。