عملکرد مشخص شده پشتیبانی نمی شود. یک خطای احراز هویت رخ داد

امنیت و سرعت سرورها همیشه یک مشکل بوده است و هر سال ارتباط آنها در حال افزایش است. به همین دلیل، مایکروسافت از مدل اصلی احراز هویت سمت سرور به احراز هویت در سطح شبکه منتقل شده است.

تفاوت این مدل ها چیست؟
قبلاً، هنگام اتصال به ترمینال خدمات، کاربر یک جلسه با سرور ایجاد می کرد که از طریق آن سرور صفحه ای را برای وارد کردن اعتبار برای کاربر بارگذاری می کرد. این روش حتی قبل از اینکه کاربر مشروعیت آنها را تأیید کند، منابع سرور را مصرف می کند و به کاربر غیرقانونی اجازه می دهد تا با چندین درخواست ورود به سیستم، منابع سرور را کاملاً غرق کند. سروری که قادر به پردازش این درخواست‌ها نیست، درخواست‌های کاربران قانونی را رد می‌کند (حمله DoS).

احراز هویت در سطح شبکه (NLA) کاربر را مجبور می کند تا اعتبارنامه ها را در کادر محاوره ای سمت کلاینت وارد کند. به‌طور پیش‌فرض، اگر در سمت کلاینت گواهی تأیید اعتبار سطح شبکه وجود نداشته باشد، سرور اجازه اتصال را نخواهد داد و این اتفاق نخواهد افتاد. درخواست NLA کامپیوتر مشتریقبل از ایجاد جلسه با سرور، اعتبار احراز هویت خود را ارائه دهید. به این فرآیند احراز هویت front-end نیز گفته می شود.

NLA دوباره در RDP 6.0 معرفی شد و در ابتدا پشتیبانی شد ویندوز ویستا. از نسخه RDP 6.1 - در سرورهایی که سیستم عامل Windows Server 2008 و بالاتر را اجرا می کنند، پشتیبانی می شود و پشتیبانی مشتری در سیستم عامل های Windows XP SP3 (شما باید ارائه دهنده امنیتی جدید را در رجیستری فعال کنید) و بالاتر ارائه می شود. این روش از ارائه دهنده امنیتی CredSSP (Credential Security Support Provider) استفاده می کند. هنگام استفاده از یک کلاینت دسکتاپ راه دور برای سیستم عامل دیگری، باید در مورد پشتیبانی NLA آن اطلاعاتی کسب کنید.

مزایای NLA:

• به منابع سرور قابل توجهی نیاز ندارد.
• لایه اضافی برای محافظت در برابر حملات DoS.
• روند میانجیگری بین مشتری و سرور را سرعت می بخشد.
• به شما امکان می دهد فناوری NT "single login" را برای کار با یک سرور ترمینال گسترش دهید.

معایب NLA:

• سایر ارائه دهندگان امنیتی پشتیبانی نمی شوند.
• توسط نسخه های سرویس گیرنده پایین تر از Windows XP SP3 و نسخه های سرور پایین تر از Windows Server 2008 پشتیبانی نمی شود.
• ضروری تنظیم دستیرجیستری در هر کدام کلاینت ویندوز XP SP3.
• مانند هر طرح «ورود واحد»، در برابر سرقت «کلیدهای کل قلعه» آسیب پذیر است.
• هیچ گزینه ای برای استفاده از ویژگی "نیاز به تغییر رمز عبور در ورود بعدی" وجود ندارد.

ویرایشگر رجیستری را باز کنید.

شعبه HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

پارامتر بسته های امنیتی را باز کنید و کلمه tspkg را در آنجا جستجو کنید. اگر وجود ندارد، آن را به پارامترهای موجود اضافه کنید.

شعبه HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders

پارامتر SecurityProviders را باز کنید و credssp.dll را در صورت عدم وجود آن به ارائه دهندگان موجود اضافه کنید.

ویرایشگر رجیستری را ببندید.

حالا باید ریبوت کنید. اگر این کار انجام نشود، کامپیوتر از ما نام کاربری و رمز عبور می خواهد، اما به جای دسکتاپ راه دور با موارد زیر پاسخ می دهد:

همین.

مدیران سرور در مبتنی بر ویندوز 2008 ممکن است با مشکل زیر روبرو شود:

اتصال از طریق پروتکل rdp به سرور مورد علاقه خود از ایستگاه Windows XP SP3 با خطای زیر انجام نمی شود:

دسکتاپ از راه دور غیرفعال است.

کامپیوتر از راه دورنیاز به احراز هویت سطح شبکه دارد که این کامپیوترپشتیبانی نمی کند. برای کمک تماس بگیرید مدیر سیستمیا با پشتیبانی فنی تماس بگیرید.

و اگر چه Win7 امیدوار کننده تهدید می کند که در نهایت جایگزین WinXP مادربزرگ خود می شود، اما این مشکل تا یک یا دو سال دیگر مرتبط باقی خواهد ماند.

برای فعال کردن احراز هویت لایه شبکه باید چه کاری انجام دهید:

ویرایشگر رجیستری را باز کنید.

شاخه HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

پارامتر را باز کنید بسته های امنیتی و در آنجا به دنبال کلمه بگردید tspkg. اگر وجود ندارد، آن را به پارامترهای موجود اضافه کنید.

شاخه HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders

پارامتر را باز کنید تامین کنندگان امنیت و به ارائه دهندگان موجود اضافه کنید credssp.dll، اگر وجود ندارد.

ویرایشگر رجیستری را ببندید.

حالا باید ریبوت کنید. اگر این کار انجام نشد، وقتی می‌خواهیم وصل شویم، رایانه از ما نام کاربری و رمز عبور می‌خواهد، اما به جای دسک‌تاپ راه دور با موارد زیر پاسخ می‌دهد:

اتصال به کامپیوتر از راه دور

خطای احراز هویت (کد 0x507)

همین.

پس از نصب به‌روزرسانی KB4103718 در رایانه ویندوز 7 خود، نمی‌توانم از راه دور به سروری که Windows Server 2012 R2 را اجرا می‌کند از طریق RDP متصل شوم. بعد از اینکه آدرس سرور RDP را در پنجره مشتری mstsc.exe مشخص کردم و روی "اتصال" کلیک کردم، خطا ظاهر می شود:

اتصال به کامپیوتر از راه دور

یک خطای احراز هویت رخ داد.

عملکرد مشخص شدهپشتیبانی نشده.
کامپیوتر راه دور: نام کامپیوتر

پس از حذف به‌روزرسانی KB4103718 و راه‌اندازی مجدد رایانه، اتصال RDP به خوبی شروع به کار کرد. اگر درست متوجه شده باشم، این فقط یک راه حل موقت است، در ماه آیندهآیا بسته به روز رسانی تجمعی جدید می رسد و خطا برمی گردد؟ آیا می توانید چیزی را توصیه کنید؟

پاسخ

کاملاً درست می گویید که حل مشکل بی معنی است، زیرا از این طریق رایانه خود را در معرض خطر سوء استفاده از آسیب پذیری های مختلف قرار می دهید که توسط وصله های این به روز رسانی پوشش داده شده است.

شما در مشکل خود تنها نیستید. این خطا می تواند در هر اتاق عمل ظاهر شود. سیستم ویندوزیا ویندوز سرور (نه تنها ویندوز 7). برای کاربران انگلیسی نسخه های ویندوز 10، هنگام تلاش برای اتصال به یک سرور RDP/RDS، یک خطای مشابه به این صورت است:

یک خطای احراز هویت رخ داده است.

عملکرد درخواستی پشتیبانی نمی شود.

کامپیوتر راه دور: نام کامپیوتر

خطای RDP "یک خطای احراز هویت رخ داده است" نیز ممکن است هنگام تلاش برای راه اندازی برنامه های RemoteApp ظاهر شود.

چرا این اتفاق می افتد؟ واقعیت این است که شما روی رایانه خود نصب کرده اید به روز رسانی های فعلیامنیت (منتشر شده پس از می 2018)، که یک آسیب پذیری جدی در پروتکل CredSSP (Credential Security Support Provider) مورد استفاده برای احراز هویت در سرورهای RDP (CVE-2018-0886) را برطرف می کند (توصیه می کنم مقاله را بخوانید). با این حال، در سمت سرور RDP / RDS که از رایانه خود به آن متصل می‌شوید، این به‌روزرسانی‌ها نصب نمی‌شوند و پروتکل NLA (تأیید هویت سطح شبکه) برای دسترسی RDP فعال است. پروتکل NLA از مکانیسم های CredSSP برای احراز هویت از قبل از طریق TLS/SSL یا Kerberos استفاده می کند. رایانه شما، به دلیل تنظیمات امنیتی جدیدی که توسط به‌روزرسانی نصب شده ارائه شده است، به سادگی اتصال به رایانه راه دوری را که از نسخه آسیب‌پذیر CredSSP استفاده می‌کند، مسدود می‌کند.

برای رفع این خطا و اتصال به سرور RDP خود چه کاری می توانید انجام دهید؟

1. اکثر درستراه حل مشکل - نصب آخرین به روزرسانی ها امنیت ویندوزدر رایانه/سروری که از طریق RDP به آن متصل می شوید؛
2. روش موقت 1 . می توانید احراز هویت سطح شبکه (NLA) را در سمت سرور RDP غیرفعال کنید (در زیر توضیح داده شده است).
3. روش موقت 2 . همانطور که در مقاله لینک شده در بالا توضیح داده شده است، می توانید در سمت سرویس گیرنده، اجازه اتصال به سرورهای RDP با نسخه ناامن CredSSP را بدهید. برای این کار باید کلید رجیستری را تغییر دهید AllowEncryptionOracle(فرمان REG ADD
   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2) یا تنظیمات را تغییر دهید سیاست محلی رمزگذاری Oracle Remediation/ رفع آسیب پذیری رمزگذاری اوراکل)، تنظیم مقدار آن = آسیب پذیر / ترک آسیب پذیری).

   این تنها راه دسترسی است سرور راه دوراز طریق RDP، اگر توانایی ورود به سرور به صورت محلی را ندارید (از طریق کنسول ILO، ماشین مجازی، رابط ابری و غیره). در این حالت می‌توانید به یک سرور راه دور متصل شوید و به‌روزرسانی‌های امنیتی را نصب کنید، بنابراین به روش پیشنهادی ۱ بروید. پس از به روز رسانی سرور، فراموش نکنید که خط مشی را غیرفعال کنید یا مقدار کلید را برگردانید AllowEncryptionOracle = 0: REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle/t/t

غیرفعال کردن NLA برای RDP در ویندوز

اگر NLA در سمت سرور RDP که به آن متصل می شوید فعال باشد، به این معنی است که CredSPP برای احراز هویت از قبل کاربر RDP استفاده می شود. می‌توانید احراز هویت سطح شبکه را در ویژگی‌های سیستم در برگه غیرفعال کنید دسترسی از راه دور (از راه دور) ، علامت کادر "مجاز بودن اتصال فقط از رایانه هایی که از راه دور دسکتاپ با احراز هویت سطح شبکه (توصیه می شود)" (ویندوز 10 / ویندوز 8) را بردارید.

در ویندوز 7 این گزینه به شکل دیگری نامیده می شود. روی برگه دسترسی از راه دورباید گزینه " را انتخاب کنید اجازه دادن به اتصالات از رایانه‌هایی که هر نسخه از دسکتاپ از راه دور را اجرا می‌کنند (خطرناک)/ اجازه دادن به اتصالات از رایانه هایی که هر نسخه از دسکتاپ از راه دور را اجرا می کنند (کمتر ایمن)».

همچنین می‌توانید احراز هویت سطح شبکه (NLA) را با استفاده از ویرایشگر محلی غیرفعال کنید خط مشی گروه - gpeditmsc(در Windows 10 Home، ویرایشگر خط مشی gpedit.msc را می توان راه اندازی کرد) یا با استفاده از کنسول مدیریت خط مشی دامنه - GPMC.msc. برای این کار به بخش مراجعه کنید پیکربندی کامپیوتر –> قالب های اداری –> اجزاءپنجره ها–> خدمات دسکتاپ از راه دور – میزبان جلسه دسکتاپ از راه دور –> امنیت(پیکربندی کامپیوتر –> قالب های اداری –> اجزای ویندوز –> خدمات دسکتاپ از راه دور – میزبان جلسه دسکتاپ از راه دور –> امنیت)، خاموش کردنخط مشی (الزام احراز هویت کاربر برای اتصالات راه دور با استفاده از احراز هویت سطح شبکه).

در سیاست هم لازم است نیاز به استفاده از یک سطح امنیتی خاص برای اتصالات از راه دوراز طریق پروتکل RDP» (نیاز به استفاده از لایه امنیتی خاص برای اتصالات از راه دور (RDP)) لایه امنیتی را انتخاب کنید - RDP.

برای اعمال تنظیمات جدید RDP، باید خط‌مشی‌ها (gpupdate /force) را به‌روزرسانی کنید یا رایانه را مجدداً راه‌اندازی کنید. پس از این، باید با موفقیت به سرور دسکتاپ راه دور متصل شوید.

اگر هنگام اتصال به سرور از Windows XP استفاده می کنید، ممکن است این خطا را دریافت کنید: "رایانه راه دور به احراز هویت در سطح شبکه نیاز دارد، که این رایانه از آن پشتیبانی نمی کند."

این خطا به دلیل این واقعیت است که در ابتدا احراز هویت در سطح شبکه در ویندوز XP پیاده سازی نشده بود، توسعه دهندگان این ویژگی را در سیستم عامل های بعدی پیاده سازی کردند. یک فایل به روز رسانی نیز بعدا منتشر شد KB951608که اصلاح شد این خطاو به ویندوز XP اجازه داد تا احراز هویت در سطح شبکه را پیاده سازی کند.

برای اینکه بتوانید از کامپیوتر خود با ویندوز XP به سرور دسکتاپ راه دور متصل شوید، باید Service Pack 3 (SP3) را نصب کنید و سپس موارد زیر را انجام دهید:

در وب سایت رسمی مایکروسافت در صفحه روسی https://support.microsoft.com/ru-ru/kb/951608فایل رفع خودکار را دانلود کنید. صفحه را به پایین اسکرول کنید و روی دکمه «دانلود» در بخش «راهنما در حل مشکل» کلیک کنید.

یک صفحه انگلیسی نیز در دسترس شماست. https://support.microsoft.com/en-us/kb/951608با کلیک بر روی دکمه "دانلود" در بخش "چگونه CredSSP را روشن کنیم" می توانید این فایل را دانلود کنید.

پس از اتمام دانلود فایل، آن را برای اجرا اجرا کنید. پس از راه اندازی این فایلیک پنجره برنامه را مشاهده خواهید کرد. در مرحله اول، کادر "I Accept" را علامت بزنید. در مرحله دوم روی دکمه Next کلیک کنید

پس از اتمام نصب، پنجره زیر را با اعلان «این مایکروسافت رفع شد پردازش شده است» را مشاهده خواهید کرد.

پس از کلیک بر روی دکمه "بستن"، برنامه نشان می دهد که برای اعمال تغییرات باید رایانه را مجددا راه اندازی کنید، برای راه اندازی مجدد روی "بله" کلیک کنید.

خودتان بدون دانلود فایل مشکل را حل کنید

اگر مهارت‌های مدیریتی دارید، می‌توانید بدون نیاز به دانلود فایل پچ، تغییراتی را در رجیستری رایانه خود به صورت دستی ایجاد کنید.

1. روی دکمه کلیک کنید شروع کنید، مورد را انتخاب کنید اجرا کن، دستور را وارد کنید regeditو کلید را فشار دهید وارد