遠端桌面 CredSSP 錯誤：請求的功能不受支援

資訊 遠端桌面中顯示「請求的功能不支援」。 它可能同時提及 CredSSP 加密 Oracle 修復程式。在這種情況下，您應該檢查客戶端和遠端電腦的更新和安全性原則。

有些指南建議直接修改。 AllowEncryptionOracle 並賦值 2這項改變或許能允許某些連接，但它會啟動一種叫做…的模式 易受傷害的使用前，請先找出錯誤，並檢查是否可以透過更新兩端來解決不相容問題。

如何識別遠端桌面中的 CredSSP 錯誤

微軟文件中記錄了一個場景，在該場景中，RDP 連線顯示身份驗證錯誤，表明請求的功能不受支持，並添加了對以下內容的引用： CredSSP 加密預言機修復.

CredSSP 允許您委託憑證進行遠端驗證。其相容性選項可以阻止依賴存在漏洞的協定版本的連線。

在更改任何設定之前，請複製整個訊息及其出現的所有程式碼。這些情況需要不同的診斷方法：

資訊或症狀	你應該檢查哪些內容
請求的功能不受支持，並且通知中提到了 CredSSP。	加密Oracle更新和修正指令。
傳遞給函數的令牌無效，代碼為 0xC000000D。	RDP 和管理員保護的具體影響，取決於它是否符合您的條件。
關於設備身份或證書的警告。	連線名稱、信任關係和憑證有效期限。
設備無回應或連線逾時。	目的地可用性、連線性和存取規則。

明確提及 CredSSP 對於此診斷至關重要。 不要因為指令中包含“function”一詞就將任何身份驗證錯誤歸咎於該指令。

向客戶和遠端團隊更新訊息

針對已記錄的不相容情況，微軟建議： 在客戶端和伺服器上都安裝 CredSSP 更新以便能夠安全地建立連線。

客戶端是指您用來啟動連線的電腦。伺服器或主機是指您嘗試存取的電腦。

1. 使用下列命令確定兩台電腦的 Windows 版本和內部版本號： winver.
2. 查看其更新記錄。
3. 透過 Windows 更新或貴組織的管理系統安裝適用於各個版本的更新。
4. 完成安裝程序要求的重啟操作。
5. 在修改 CredSSP 相容性之前，請再次測試連線。

導致這些選擇的漏洞被認定為 CVE-2018-0886一些官方說明包含針對舊系統的歷史修補程式：這些識別碼不應自動轉移到目前的 Windows 11 安裝。

如果由於 RDP 被封鎖而無法更新目標位置，請使用本機存取或可用的管理控制台。有關虛擬機，請參閱平台提供的復原選項。

AllowEncryptionOracle 的值分別代表什麼意義？

該指令 加密 Oracle 修復，或者說加密預言機校正，控制與易受攻擊的 CredSSP 版本的兼容性。

值得	模式	行為
0	強制更新客戶端。	它可以防止使用不安全的版本，並拒絕未更新的客戶端。
1	已緩解。	客戶端不會回滾到不安全的版本，但伺服器可以接受未更新的客戶端。
2	易受傷害的。	它允許與不安全的版本相容，並接受未更新的客戶端。

這些值並不代表用於故障排除的三個等效等級。它們會改變連接的安全性和相容性條件。

在採用最嚴格的選項要求客戶端更新之前，請檢查所有需要通訊的設備是否都已進行相應的更新。

如何在不修改指令的情況下查閱它

在安裝了群組原則編輯器的電腦上，您可以從下列路徑查看設定：

電腦設定 > 管理範本 > 系統 > 憑證委派 > 加密 Oracle 修復.

在受管電腦上，也要檢查是哪個群組原則物件 (GPO) 或管理設定檔設定了該值。本地配置可能受組織策略的約束。

要在不更改註冊表值的情況下檢查它，請打開控制台並運行：

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

如果該值存在，請記錄結果並與已應用的策略進行比較。如果該值不存在，請在手動建立條目之前，請參閱該 Windows 版本的實際配置和行為。

之前的查詢不會修改配置。它的目的是檢測，例如，在易受攻擊模式下是否仍然設定了舊的異常。

為什麼 AllowEncryptionOracle=2 不應該是永久數組

微軟將「易受攻擊模式」描述為針對某些不相容情況的臨時解決方案。但同時警告稱，該模式會建立不安全的連接，使遠端電腦容易受到攻擊。

即使將值設為 2 後連線有效，也不代表漏洞已被修復。 相容性檢查已放寬。

如果組織需要應用此例外，則必須先記錄先前的設置，限制其範圍，並準備更新設備。然後，必須移除此例外，並驗證 RDP 是否按照預期的保護策略運作。

您可以在此處查看各種場景及其條件。 關於 CredSSP 錯誤的官方微軟文檔.

何時檢查 RDP 連接和設置

如果訊息與 CredSSP 錯誤不匹配，或者目標根本沒有回應，請先檢查電腦是否已開啟、已連線並已啟用遠端桌面。

在 Windows 11 中，此選項位於 設定 > 系統 > 遠端桌面家庭版雖然可以作為客戶端連接到其他相容的計算機，但不能作為整合 RDP 服務的主機。

啟用遠端協助是不同的設置，它不能替代啟用遠端桌面。

對於使用常規連接埠的直接 RDP 連接，您可以從 PowerShell 檢查 TCP 連接性：

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

替換 PC-OFICINA 按目標名稱或位址，如果連接埠已更改，則使用實際連接埠。

TcpTestSucceeded: True 表示已成功建立到該連接埠的 TCP 連線。 它並不能確認憑證是否正確，也不能確認 RDP 身份驗證是否會完成。

如果您使用的是 RDS 網關，請檢查其路由配置和特定要求。檢查防火牆規則，確保允許相應的訪問，避免隨意啟用網路設定檔或將連接埠暴露在網際網路上。

如何檢查已儲存的憑證是否錯誤

如果訊息提示帳戶或密碼錯誤，請檢查用戶端正在使用的身份。舊的憑證可能仍然與遠端電腦的名稱或位址關聯。

1. 打開 憑證管理器 來自 Windows 搜尋引擎。
2. 進入 Windows 憑證.
3. 找到與受影響目的地對應的條目。
4. 如果需要替換，並且您擁有當前的憑證，則只需刪除該條目即可。
5. 重新連線並輸入正確的帳戶。

也要檢查您需要的是本機電腦帳戶還是網域帳戶。使用以下命令重命名用戶 netplwiz 這不是更正客戶端上保存的密碼的正確方法。

此檢查與身份驗證問題相關。當警告指出存在此不相容性時，它並不能取代更新 CredSSP。

在認為問題已解決之前，需要檢查哪些內容？

更新系統並檢查策略後，使用遇到問題的使用者啟動新會話。驗證您是否可以在不維護不必要的「易受攻擊模式」例外的情況下進行身份驗證。

如果問題仍然存在，請收集完整的錯誤資訊、兩個系統的版本、所有已安裝的更新以及應用程式的設定。如果出現與證書相關的警告，請依照您實施流程檢查該證書。

修改憑證、降低解析度或更新網路驅動程式不應作為每次驗證錯誤自動處理的步驟。下一步應該解決持續存在的問題。