Pagkatapos i-install ang update KB4103718 sa aking Windows 7 computer, hindi ako makakonekta nang malayuan sa isang server na nagpapatakbo ng Windows Server 2012 R2 sa pamamagitan ng RDP. Pagkatapos kong tukuyin ang address ng RDP server sa mstsc.exe client window at i-click ang "Kumonekta", lilitaw ang error:

Remote na Koneksyon sa Desktop

May naganap na error sa pagpapatotoo.

Ang tinukoy na function ay hindi suportado.
Remote na computer: pangalan ng computer

Pagkatapos kong i-uninstall ang update ng KB4103718 at i-reboot ang computer, nagsimulang gumana nang maayos ang RDP connection. Kung naiintindihan ko nang tama, ito ay pansamantalang solusyon lamang, sa susunod na buwan ay darating ang isang bagong pinagsama-samang pakete ng pag-update at babalik ang error? May mairerekomenda ka ba?

Sagot

Talagang tama ka na walang kabuluhan na lutasin ang problema, dahil sa gayo'y inilalantad mo ang iyong computer sa panganib ng pagsasamantala sa iba't ibang mga kahinaan na sakop ng mga patch sa update na ito.

Hindi ka nag-iisa sa problema mo. Maaaring lumitaw ang error na ito sa anumang operating system ng Windows o Windows Server (hindi lang sa Windows 7). Para sa mga user ng English na bersyon ng Windows 10, kapag sinusubukang kumonekta sa isang RDP/RDS server, ganito ang hitsura ng isang katulad na error:

May naganap na error sa pagpapatotoo.

Ang function na hiniling ay hindi suportado.

Remote na computer: pangalan ng computer

Ang error sa RDP na "Naganap ang isang error sa pagpapatotoo" ay maaari ding lumabas kapag sinusubukang ilunsad ang mga application ng RemoteApp.

Bakit ito nangyayari? Ang katotohanan ay ang iyong computer ay may mga pinakabagong update sa seguridad (inilabas pagkatapos ng Mayo 2018), na nagwawasto ng isang malubhang kahinaan sa CredSSP (Credential Security Support Provider) na protocol na ginagamit para sa pagpapatunay sa mga RDP server (CVE-2018-0886) (Inirerekomenda kong basahin ang artikulo). Gayunpaman, sa gilid ng RDP / RDS server kung saan ka kumonekta mula sa iyong computer, ang mga update na ito ay hindi naka-install, at ang NLA (Network Level Authentication) protocol ay pinagana para sa RDP access. Gumagamit ang NLA protocol ng mga mekanismo ng CredSSP upang paunang patunayan ang mga user sa pamamagitan ng TLS/SSL o Kerberos. Ang iyong computer, dahil sa mga bagong setting ng seguridad na ipinakilala ng update na iyong na-install, ay hinaharangan lang ang koneksyon sa isang malayuang computer na gumagamit ng isang masusugatan na bersyon ng CredSSP.

Ano ang maaari mong gawin upang ayusin ang error na ito at kumonekta sa iyong RDP server?

1. Karamihan tama Ang paraan upang malutas ang problema ay ang pag-install ng pinakabagong mga update sa seguridad ng Windows sa computer/server kung saan ka kumonekta sa pamamagitan ng RDP;
2. Pansamantalang paraan 1 . Maaari mong hindi paganahin ang Network Level Authentication (NLA) sa gilid ng server ng RDP (inilarawan sa ibaba);
3. Pansamantalang paraan 2 . Maaari mong, sa panig ng kliyente, payagan ang mga koneksyon sa mga server ng RDP na may hindi secure na bersyon ng CredSSP, tulad ng inilarawan sa artikulong naka-link sa itaas. Upang gawin ito kailangan mong baguhin ang registry key AllowEncryptionOracle(Utos ng REG ADD
   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2) o baguhin ang mga setting ng lokal na patakaran Encryption Oracle Remediation/ Ayusin ang encryption oracle vulnerability), pagtatakda ng halaga nito = Vulnerable / Leave vulnerability).

   Ito ang tanging paraan upang ma-access ang isang malayong server sa pamamagitan ng RDP kung wala kang kakayahang mag-log in sa server nang lokal (sa pamamagitan ng ILO console, virtual machine, cloud interface, atbp.). Sa mode na ito, magagawa mong kumonekta sa isang malayuang server at mag-install ng mga update sa seguridad, kaya lumipat sa inirerekomendang paraan 1. Pagkatapos i-update ang server, huwag kalimutang i-disable ang patakaran o ibalik ang key value na AllowEncryptionOracle = 0: REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d REG_DWORD

Hindi pagpapagana ng NLA para sa RDP sa Windows

Kung naka-enable ang NLA sa gilid ng RDP server kung saan ka kumukonekta, nangangahulugan ito na ang CredSPP ay ginagamit upang paunang patotohanan ang RDP user. Maaari mong i-disable ang Network Level Authentication sa mga katangian ng system sa tab Malayong pag-access(Remote) , alisan ng check ang checkbox na "Pahintulutan lamang ang koneksyon mula sa mga computer na tumatakbo sa Remote Desktop na may Network Level Authentication (inirerekomenda)" (Windows 10 / Windows 8).

Sa Windows 7 iba ang tawag sa opsyong ito. Sa tab Malayong pag-access kailangan mong piliin ang opsyon " Payagan ang mga koneksyon mula sa mga computer na nagpapatakbo ng anumang bersyon ng Remote Desktop (mapanganib)/ Payagan ang mga koneksyon mula sa mga computer na nagpapatakbo ng anumang bersyon ng Remote Desktop (hindi gaanong secure)".

Maaari mo ring i-disable ang Network Level Authentication (NLA) gamit ang Local Group Policy Editor - gpedit.msc(sa Windows 10 Home, maaaring ilunsad ang gpedit.msc policy editor) o gamit ang domain policy management console - GPMC.msc. Upang gawin ito, pumunta sa seksyon Computer Configuration -> Administrative Templates -> Mga BahagiWindows-> Mga Serbisyo sa Remote Desktop - Host ng Session ng Remote Desktop -> Seguridad(Computer Configuration -> Administrative Templates -> Windows Components -> Remote Desktop Services - Remote Desktop Session Host -> Security), patayin patakaran (Nangangailangan ng pagpapatunay ng user para sa mga malalayong koneksyon sa pamamagitan ng paggamit ng Network Level Authentication).

Kailangan din sa pulitika" Nangangailangan ng espesyal na antas ng seguridad para sa mga malayuang koneksyon sa RDP» (Kailangan ang paggamit ng partikular na layer ng seguridad para sa mga remote (RDP) na koneksyon) piliin ang Security Layer - RDP.

Upang ilapat ang mga bagong setting ng RDP, kailangan mong i-update ang mga patakaran (gpupdate /force) o i-restart ang computer. Pagkatapos nito, dapat mong matagumpay na kumonekta sa remote desktop server.

Buksan ang registry editor.

Branch HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Buksan ang parameter ng Security Packages at hanapin ang salitang tspkg doon. Kung wala ito, idagdag ito sa mga umiiral nang parameter.

Branch HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders

Buksan ang parameter ng SecurityProviders at magdagdag ng credssp.dll sa mga kasalukuyang provider kung nawawala ito.

Isara ang registry editor.

Ngayon ay kailangan mong i-reboot. Kung hindi ito nagawa, hihilingin sa amin ng computer ang isang username at password, ngunit sa halip na ang remote desktop ay tutugon ito ng sumusunod:

Iyon lang.

Maaaring makatagpo ng mga sumusunod na problema ang mga administrator ng Windows 2008 server:

Nabigo ang pagkonekta sa pamamagitan ng rdp protocol sa iyong paboritong server mula sa istasyon ng Windows XP SP3 sa sumusunod na error:

Naka-disable ang Remote Desktop.

Ang malayong computer ay nangangailangan ng network-level authentication, na hindi sinusuportahan ng computer. Makipag-ugnayan sa iyong system administrator o teknikal na suporta para sa tulong.

At kahit na ang promising Win7 ay nagbabanta na sa kalaunan ay palitan ang lola nitong WinXP, ang problema ay mananatiling may kaugnayan sa isa o dalawang taon.

Narito ang kailangan mong gawin upang paganahin ang pagpapatunay ng layer ng network:

Buksan ang registry editor.

Sangay HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Buksan ang parameter Mga Pakete ng Seguridad at hanapin ang salita doon tspkg. Kung wala ito, idagdag ito sa mga umiiral nang parameter.

Sangay HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders

Buksan ang parameter Mga Tagabigay ng Seguridad at idagdag sa mga kasalukuyang provider credssp.dll, kung wala.

Isara ang registry editor.

Ngayon ay kailangan mong i-reboot. Kung hindi ito nagawa, pagkatapos ay kapag sinubukan naming kumonekta, hihilingin sa amin ng computer ang isang username at password, ngunit sa halip na ang remote na desktop ay tutugon ito ng mga sumusunod:

Remote na Koneksyon sa Desktop

Error sa pagpapatunay (code 0x507)

Iyon lang.

Ang seguridad at bilis ng mga server ay palaging isang problema, at bawat taon ang kanilang kaugnayan ay lumalaki lamang. Dahil dito, lumipat ang Microsoft mula sa orihinal na modelo ng pagpapatunay sa panig ng server patungo sa pagpapatotoo sa antas ng network.

Ano ang pagkakaiba sa pagitan ng mga modelong ito?
Dati, kapag kumokonekta sa Mga Serbisyo ng Terminal, gumawa ang user ng session sa server kung saan maglo-load ang huli ng screen para maglagay ng mga kredensyal para sa user. Ang pamamaraang ito ay gumagamit ng mga mapagkukunan ng server bago pa man na-verify ng user ang kanilang pagiging lehitimo, na nagpapahintulot sa isang ilegal na gumagamit na ganap na mapuno ang mga mapagkukunan ng server na may maraming mga kahilingan sa pag-login. Ang isang server na hindi maproseso ang mga kahilingang ito ay tumatanggi sa mga kahilingan sa mga lehitimong user (pag-atake ng DoS).

Pinipilit ng Network-Level Authentication (NLA) ang user na magpasok ng mga kredensyal sa isang dialog box sa panig ng kliyente. Bilang default, kung walang network-level certificate of authentication check sa client side, hindi papayagan ng server ang koneksyon at hindi ito mangyayari. Hinihiling ng NLA sa computer ng kliyente na ibigay ang mga kredensyal sa pagpapatunay nito bago gumawa ng session sa server. Ang prosesong ito ay tinatawag ding front-end authentication.

Ang NLA ay ipinakilala pabalik sa RDP 6.0 at sa simula ay suportado ng Windows Vista. Mula sa bersyon RDP 6.1 - suportado sa mga server na nagpapatakbo ng Windows Server 2008 operating system at mas mataas, at ang suporta ng kliyente ay ibinibigay sa Windows XP SP3 operating system (dapat mong paganahin ang bagong security provider sa registry) at mas mataas. Ginagamit ng pamamaraan ang tagapagbigay ng seguridad ng CredSSP (Credential Security Support Provider). Kapag gumagamit ng remote desktop client para sa isa pang operating system, kailangan mong malaman ang tungkol sa suporta nito sa NLA.

• Hindi nangangailangan ng makabuluhang mapagkukunan ng server.
• Karagdagang antas para sa proteksyon laban sa mga pag-atake ng DoS.
• Pinapabilis ang proseso ng pamamagitan sa pagitan ng kliyente at server.
• Binibigyang-daan kang palawigin ang teknolohiyang "single login" ng NT upang gumana sa isang terminal server.

• Ang iba pang mga tagapagbigay ng seguridad ay hindi suportado.
• Hindi suportado ng mga bersyon ng kliyente na mas mababa kaysa sa Windows XP SP3 at mga bersyon ng server na mas mababa kaysa sa Windows Server 2008.
• Kinakailangan ang manu-manong pagsasaayos ng pagpapatala sa bawat kliyente ng Windows XP SP3.
• Tulad ng anumang pamamaraan ng "iisang pag-login", mahina ito sa pagnanakaw ng "mga susi sa buong kuta."
• Walang opsyon na gamitin ang tampok na "Hilingin ang pagbabago ng password sa susunod na pag-log in."

Kung gumagamit ka ng Windows XP kapag kumokonekta sa server, maaari kang makatanggap ng error: "Ang remote na computer ay nangangailangan ng network-level authentication, na hindi sinusuportahan ng computer na ito."

Ang error na ito ay nangyayari dahil sa ang katunayan na ang pagpapatunay sa antas ng network sa una ay hindi ipinatupad sa Windows XP na ipinatupad ng mga developer ang tampok na ito sa kasunod na mga operating system. Ang isang update file ay inilabas din sa ibang pagkakataon KB951608 na nagtama sa error na ito at pinahintulutan ang Windows XP na ipatupad ang pagpapatunay sa antas ng network.

Upang makakonekta ka sa isang malayuang desktop server mula sa iyong computer na nagpapatakbo ng Windows XP, kailangan mong i-install ang Service Pack 3 (SP3), at pagkatapos ay gawin ang sumusunod:

Sa opisyal na website ng Microsoft sa pahina ng Russia https://support.microsoft.com/ru-ru/kb/951608 i-download ang awtomatikong pag-aayos ng file. Mag-scroll pababa sa pahina at i-click ang pindutang "I-download" sa seksyong "Tulong sa paglutas ng problema".

Available din sa iyo ang English page. https://support.microsoft.com/en-us/kb/951608 kung saan maaari mong i-download ang file na ito sa pamamagitan ng pag-click sa pindutang "I-download" sa seksyong "Paano i-on ang CredSSP"

Matapos makumpleto ang pag-download ng file, patakbuhin ito para sa pagpapatupad. Pagkatapos patakbuhin ang file na ito makakakita ka ng window ng program. Sa unang hakbang, lagyan ng check ang kahon na "Tinatanggap Ko". Sa pangalawang hakbang, i-click ang "Next" button

Kapag nakumpleto na ang pag-install, makikita mo ang sumusunod na window na may notification na "Naproseso na ang Microsoft Fix na ito." Ang kailangan mo lang gawin ay i-click ang "Isara."

Pagkatapos mong i-click ang pindutang "Isara", sasabihin sa iyo ng program na kailangan mong i-restart ang iyong computer para magkabisa ang mga pagbabago, i-click ang "Oo" upang i-restart.

Lutasin ang problema nang hindi nagda-download ng file

Kung mayroon kang mga kasanayang pang-administratibo, maaari kang gumawa ng mga pagbabago sa registry ng iyong computer nang manu-mano nang hindi kinakailangang mag-download ng patch file.

1. I-click ang button Magsimula, piliin ang item Takbo, ipasok ang command regedit at pindutin ang key Pumasok