समाधान: RDP प्रमाणीकरण त्रुटि - अनुरोधित फ़ंक्शन समर्थित नहीं है

मेरे विंडोज 10 डेस्कटॉप पर नवीनतम सुरक्षा अपडेट इंस्टॉल करने के बाद, मैं अपने नए VDS सर्वर (विंडोज सर्वर 2012 R2 चल रहा है) से रिमोट डेस्कटॉप का उपयोग करके कनेक्ट नहीं कर सकता। जब मैं mstsc.exe क्लाइंट विंडो में RDP सर्वर नाम निर्दिष्ट करता हूं और "कनेक्ट" पर क्लिक करता हूं, तो एक त्रुटि दिखाई देती है:

जब मैंने नवीनतम अपडेट अनइंस्टॉल किए और अपने कंप्यूटर को रीबूट किया, तो मैं RDP के माध्यम से रिमोट सर्वर से कनेक्ट करने में सक्षम था। जैसा कि मैं समझता हूं, यह एक अस्थायी समाधान है। अगले महीने एक नया संचयी विंडोज अपडेट पैकेज आएगा और इंस्टॉल होगा, और RDP प्रमाणीकरण त्रुटि वापस आ जाएगी। क्या आप मुझे कुछ सलाह दे सकते हैं?

उत्तर

आप बिल्कुल सही हैं। इस समस्या को इंस्टॉल किए गए विंडोज अपडेट को हटाकर हल करना व्यर्थ है क्योंकि आप अपने कंप्यूटर को विभिन्न कमजोरियों के शोषण के जोखिम में डाल रहे हैं जिन्हें यह अपडेट ठीक करता है। RDP त्रुटि "एक प्रमाणीकरण त्रुटि हुई है" रिमोटऐप एप्लिकेशन चलाने का प्रयास करते समय भी दिखाई दे सकती है।

यह क्यों हो रहा है? तथ्य यह है कि नवीनतम सुरक्षा अपडेट (मई 2018 के बाद जारी) आपके विंडोज 10 डेस्कटॉप पर इंस्टॉल हैं। ये अपडेट CredSSP प्रोटोकॉल (क्रेडेंशियल सिक्योरिटी सपोर्ट प्रोवाइडर) में एक गंभीर भेद्यता को ठीक करते हैं जिसका उपयोग RDP सर्वर्स पर प्रमाणीकरण के लिए किया जाता है (CVE-2018-0886 - लेख RDP प्रमाणीकरण त्रुटि: CredSSP एन्क्रिप्शन ओरेकल रेमेडिएशन को ध्यान से पढ़ें)। ये अपडेट आपके RDP/RDS सर्वर साइड पर इंस्टॉल नहीं हैं, और रिमोट डेस्कटॉप एक्सेस के लिए NLA (नेटवर्क लेवल ऑथेंटिकेशन) सक्षम है। NLA TLS/SSL या केर्बेरोस पर RDP उपयोगकर्ताओं को पूर्व-प्रमाणित करने के लिए CredSSP तंत्र का उपयोग करता है। आपका कंप्यूटर केवल एक ऐसे सर्वर से रिमोट डेस्कटॉप कनेक्शन को ब्लॉक करता है जो CredSSP के कमजोर संस्करण का उपयोग करता है।

इस समस्या को ठीक करने और अपने RDP सर्वर से कनेक्ट करने के लिए आप क्या कर सकते हैं?

1. समस्या को हल करने का सबसे सही तरीका उस रिमोट कंप्यूटर या RDS सर्वर पर नवीनतम संचयी विंडोज सुरक्षा अपडेट इंस्टॉल करना है (जिससे आप RDP के माध्यम से कनेक्ट करने का प्रयास कर रहे हैं);
2. समाधान 1. आप RDP सर्वर साइड पर NLA (नेटवर्क लेवल ऑथेंटिकेशन) को अक्षम कर सकते हैं (जैसा कि नीचे वर्णित है);
3. समाधान 2. आप अपने डेस्कटॉप को असुरक्षित संस्करण के CredSSP के साथ रिमोट डेस्कटॉप से कनेक्ट करने की अनुमति देकर पुनः कॉन्फ़िगर कर सकते हैं (ऊपर दिए गए लिंक पर लेख में वर्णित अनुसार)। ऐसा करने के लिए, रजिस्ट्री पैरामीटर AllowEncryptionOracle बदलें (कमांड का उपयोग करें: REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2) या स्थानीय नीति एन्क्रिप्शन ओरेकल रेमेडिएशन को बदलकर इसका मान वल्नरेबल पर सेट करें। यदि आप सर्वर पर स्थानीय रूप से लॉग इन नहीं कर सकते (ILO, वर्चुअल मशीन कंसोल या क्लाउड प्रोवाइडर वेब-इंटरफेस के माध्यम से), तो RDP के माध्यम से रिमोट सर्वर तक पहुंचने का यह एकमात्र तरीका है। आप इस मोड में रिमोट सर्वर से कनेक्ट कर सकते हैं और नवीनतम सुरक्षा अपडेट इंस्टॉल कर सकते हैं। सर्वर को अपडेट करने के बाद, नीति को अक्षम करना न भूलें या रजिस्ट्री पैरामीटर AllowEncryptionOracle का मान 0 पर वापस करें (REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 0)।

विंडोज में रिमोट डेस्कटॉप के लिए NLA अक्षम करें

यदि आपके RDP सर्वर पर NLA सक्षम है, तो इसका मतलब है कि RDP उपयोगकर्ताओं के पूर्व-प्रमाणीकरण के लिए CredSSP का उपयोग किया जाता है। आप सिस्टम प्रॉपर्टीज में रिमोट टैब पर " केवल नेटवर्क लेवल ऑथेंटिकेशन के साथ रिमोट डेस्कटॉप चलाने वाले कंप्यूटर्स से कनेक्शन की अनुमति दें (अनुशंसित) " विकल्प को अनचेक करके नेटवर्क लेवल ऑथेंटिकेशन को अक्षम कर सकते हैं (विंडोज 10/8.1 या विंडोज सर्वर 2012R2/2016)।

विंडोज 7 (विंडोज सर्वर 2008 R2) में, इस विकल्प को अलग कहा जाता है। रिमोट टैब पर, विकल्प चुनें " रिमोट डेस्कटॉप के किसी भी संस्करण को चलाने वाले कंप्यूटर्स से कनेक्शन की अनुमति दें (कम सुरक्षित) "।

आप लोकल ग्रुप पॉलिसी एडिटर - gpedit.msc (आप विंडोज 10 होम एडिशन में gpedit.msc को इस तरह चला सकते हैं) या डोमेन ग्रुप पॉलिसी मैनेजमेंट कंसोल - GPMC.msc का उपयोग करके नेटवर्क लेवल ऑथेंटिकेशन (NLA) को भी अक्षम कर सकते हैं। पॉलिसी एडिटर में सेक्शन कंप्यूटर कॉन्फिगरेशन → एडमिनिस्ट्रेटिव टेम्पलेट्स → विंडोज कंपोनेंट्स → रिमोट डेस्कटॉप सर्विसेज → रिमोट डेस्कटॉप सेशन होस्ट → सिक्योरिटी पर जाएं, पॉलिसी "नेटवर्क लेवल ऑथेंटिकेशन का उपयोग करके रिमोट कनेक्शन के लिए उपयोगकर्ता प्रमाणीकरण की आवश्यकता है" ढूंढें और अक्षम करें।

आपको "रिमोट (RDP) कनेक्शन के लिए विशिष्ट सुरक्षा परत के उपयोग की आवश्यकता है" पॉलिसी सेटिंग्स में RDP सिक्योरिटी लेयर का चयन करने की भी आवश्यकता है।

नई RDP सेटिंग्स लागू करने के लिए, आपको स्थानीय कंप्यूटर पर ग्रुप पॉलिसीज़ को अपडेट करने की आवश्यकता है (gpupdate /force) या अपने डेस्कटॉप को रीबूट करें। उसके बाद, आपको रिमोट डेस्कटॉप से सफलतापूर्वक कनेक्ट करने में सक्षम होना चाहिए।