Windows XP не может использовать RDP для Windows 10/Server 2012R2/2016 RDS

Несмотря на то, что поддержка ОС Windows XP прекращена более 4 лет назад, многие клиенты продолжают использовать эту ОС, и похоже, что в ближайшее время ничего кардинально не изменится :(. Недавно обнаружил проблему: клиенты Windows XP RDP не могут подключиться через удаленный рабочий стол к недавно развернутой ферме служб удаленных рабочих столов в Windows Server 2012 R2. Аналогичная проблема возникает при подключении по RDP из Windows XP в Windows 10 1803.

Невозможно подключить удаленный рабочий стол из Windows XP к Windows Server 2016/2012R2 и Windows 10

Пользователи Windows XP жаловались на такие ошибки RDP-клиента, как:

Чтобы решить эту проблему, проверьте, установлена ли последняя версия клиента RDP на компьютерах под управлением Windows XP. В настоящее время максимальная версия клиента RDP, которую можно установить в Windows XP, — RDP 7.0 (KB969084 - https://blogs.msdn.microsoft.com/scstr/2012/03/16/download- удаленный-рабочий-клиент-rdc-7-0-or-7-1-download-remote-desktop-protocol-rdp-7-0-or-7-1/). Это обновление можно установить только в Windows XP SP3. Установка клиента RDP версии 8.0 или более поздней не поддерживается в Windows XP. Проблема решилась после установки этого обновления для половины клиентов XP. Вторая половина клиентов все еще сталкивалась с этой проблемой….

Отключение аутентификации на уровне сети RDP (NLA) на RDS Windows Server 2016/2012 R2

Изучив проблемы RDS-сервера на базе Windows 2012 R2, мы обнаружили, что Windows Server 2012 (и более поздних версий) требует обязательной поддержки NLA (аутентификация на уровне сети). Если клиент не поддерживает NLA, он не сможет подключиться к серверу RDS. Аналогично, NLA включается по умолчанию при включении удаленного рабочего стола в Windows 10.

Из вышесказанного следует два вывода - чтобы разрешить остальным WinXP-клиентам подключаться к ферме RDS на Windows Server 2016/2012 R2 или Windows 10 по RDP, необходимо:

• Отключите проверку NLA на серверах фермы Службы удаленных рабочих столов 2012 R2/2016 или на рабочей станции Windows 10;

• Или включите поддержку NLA на клиентах Windows XP.

Чтобы отключить обязательное использование NLA клиентами в Windows Server 2012 R2 RDS, откройте консоль диспетчера сервера и перейдите в раздел Службы удаленных рабочих столов -> Коллекции -> QuickSessionCollection<, затем выберите Задачи -> Изменить свойства, нажмите Безопасность и снимите флажок Разрешить подключения только с компьютеров, на которых работает удаленный рабочий стол с помощью Аутентификация на уровне сети.

В Windows 10 вы можете отключить проверку подлинности на уровне сети в свойствах системы (Система -> Удаленные настройки). Снимите флажок «Разрешить подключения только с компьютеров, на которых работает удаленный рабочий стол с проверкой подлинности на уровне сети (рекомендуется)».

Конечно, нужно понимать, что отключение NLA на уровне сервера снижает безопасность системы и в целом не рекомендуется. Предпочтительнее использовать второй метод.

Включение NLA на клиентах Windows XP SP3

Вам необходимо установить пакет обновления 3 в Windows XP для правильной работы в качестве клиента RDP. Если нет, вам необходимо загрузить и установить это обновление. Пакет обновления 3 является обязательным требованием для обновления клиента RDP с версии 6.1 до 7.0 и поддержки всех необходимых компонентов, включая поставщика службы безопасности учетных данных (CredSS), который описан ниже.

Без поддержки CredSSP и NLA для RDP-подключения из Windows XP к новым версиям Windows будет ошибка:

Поддержка NLA появилась в Windows XP, начиная с SP3, но по умолчанию она отключена. Включить поддержку аутентификации NLA и CredSSP можно только через реестр. Чтобы это сделать:

• В ключе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders отредактируйте значение атрибута SecurityProviders, добавив в конце credssp.dll (отдельно от текущего значения через запятую);

  

• Затем в ключе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa добавьте строку tspkg к значению атрибута Пакеты безопасности;

  

• После внесения этих изменений перезагрузите компьютер.

После выполнения этих действий компьютер с Windows XP SP3 должен легко подключиться к ферме терминалов на Windows Server 2016/2012 или к Windows через Удаленный рабочий стол. Однако вы не можете сохранить пароль для RDP-подключения на клиенте Windows XP (пароль необходимо вводить при каждом подключении).

Ошибка: CredSSP Encryption Oracle Remediation

В 2018 году была обнаружена серьезная уязвимость в протоколе CredSSP (бюллетень CVE-2018-0886), которая была исправлена в обновлениях безопасности Microsoft. В мае 2018 года Microsoft выпустила дополнительное обновление, запрещающее клиентам подключаться к RDP-компьютерам и серверам с уязвимой версией CredSSP (см. статью: https://active-directory.ru/unable-connect-rdp-credssp-encryption-oracle- исправление/). После установки этого обновления при подключении по RDP к удаленным компьютерам без этого обновления появляется сообщение об ошибке: Произошла ошибка аутентификации. Запрошенная функция не поддерживается.

Поскольку Microsoft не выпускает обновления безопасности для Windows XP и Windows Server 2003, вы не сможете подключиться к поддерживаемым версиям Windows из этих устаревших операционных систем.

Чтобы включить RDP-подключения из Windows XP к обновленным Windows 10/8.1/7 и Windows Server 2012/2012 R2/2012/2008 R2, необходимо включить политику шифрования Oracle Remediation на стороне сервера RDP (Конфигурация компьютера). -> Административные шаблоны -> Система -> Делегирование полномочий). Измените значение политики на Mitigated, что, как вы понимаете, небезопасно.