Windows XP 无法 RDP 到 Windows 10/Server 2012R2/2016 RDS

尽管 Windows XP 操作系统支持已经超过 4 年了，但许多客户仍在继续使用该操作系统，并且在不久的将来似乎不会发生任何重大变化:(。最近我发现一个问题：Windows XP RDP 客户端无法通过远程桌面连接到 Windows Server 2012 R2 上新部署的远程桌面服务场。通过 RDP 从 Windows XP 连接到 Windows 10 1803 时，也会出现类似的问题。

无法将远程桌面从 Windows XP 连接到 Windows Server 2016/2012R2 和 Windows 10

Windows XP 用户抱怨 RDP 客户端错误如下：

由于安全错误，客户端无法连接到远程计算机。验证您是否已登录到网络，然后再次尝试重新连接

远程会话已断开，因为远程计算机从该计算机收到无效的许可消息

远程计算机需要网络级身份验证，而您的计算机不支持。如需帮助，请联系您的系统管理员或技术支持。

要解决此问题，请验证运行 Windows XP 的计算机上是否安装了最新版本的 RDP 客户端。目前，Windows XP 上可安装的 RDP 客户端最高版本为 RDP 7.0 （KB969084 - https://blogs.msdn.microsoft.com/scstr/2012/03/16/download-remote-desktop-client-rdc-7-0-or-7-1-download-remote-desktop-protocol-rdp-7-0-or-7-1/）。您只能在 Windows XP SP3 上安装此更新。 Windows XP 不支持安装 RDP 客户端版本 8.0 或更高版本。一半的 XP 客户端安装此更新后问题得到解决。下半年的客户仍然面临这个问题......

在 RDS Windows Server 2016/2012 R2 上禁用 RDP 网络级身份验证 (NLA)

经过研究基于Windows 2012 R2的RDS服务器的问题，我们发现Windows Server 2012（及更高版本）需要强制支持NLA（网络级身份验证）。如果客户端不支持NLA，它将无法连接到RDS服务器。同样，当您在 Windows 10 中打开远程桌面时，NLA 默认处于启用状态。

从上面可以得出两个结论 - 要允许其余 WinXP 客户端通过 RDP 连接到 Windows Server 2016/2012 R2 或 Windows 10 上的 RDS 场，您必须：

• 在远程桌面服务 2012 R2/2016 场的服务器或 Windows 10 工作站中禁用 NLA 检查；

• 或者在 Windows XP 客户端上启用 NLA 支持。

要禁止 Windows Server 2012 R2 RDS 上的客户端强制使用 NLA，请打开服务器管理器控制台并转至远程桌面服务 -> 集合 -> QuickSessionCollection，然后选择任务 -> 编辑属性，单击安全并取消选中仅允许运行具有网络级身份验证的远程桌面的计算机的连接。

在 Windows 10 上，您可以在系统属性（系统 -> 远程设置）中禁用网络级身份验证。取消选中“仅允许来自运行具有网络级身份验证的远程桌面的计算机的连接（推荐）”。

当然，您需要了解，在服务器级别禁用 NLA 会降低系统安全性，一般不建议这样做。最好使用第二种方法。

在 Windows XP SP3 客户端上启用 NLA

您需要在 Windows XP 上安装 Service Pack 3 才能作为 RDP 客户端正常工作。如果没有，您必须下载并安装此更新。 Service Pack 3 是将 RDP 客户端从版本 6.1 升级到 7.0 并支持所有必要组件（包括凭据安全服务提供程序 (CredSS)）的强制要求，如下所述。

如果没有 CredSSP 和 NLA 支持从 Windows XP 到新版本 Windows 的 RDP 连接，将会出现错误：

发生身份验证错误，0x80090327

从 SP3 开始，Windows XP 中就出现了 NLA 支持，但默认情况下它是禁用的。您只能通过注册表启用 NLA 和 CredSSP 身份验证支持。去做吧：

• 在注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders 中，编辑 SecurityProviders 属性的值，在末尾添加 credssp.dll（与当前值用逗号分隔）；

  

• 然后在键HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa中将行tspkg添加到Security Packages属性的值中；

  

• 进行这些更改后，重新启动计算机。

执行这些操作后，装有 Windows XP SP3 的计算机应该可以轻松连接到 Windows Server 2016/2012 上的终端场或通过远程桌面连接到 Windows。但是，您无法在Windows XP客户端上保存RDP连接的密码（每次连接时都必须输入密码）。

提示。除此之外，通过 Easy Print 打印还出现了另一个问题。要让 RDS 2012 上的 Windows XP 计算机使用 Easy Print 进行打印，客户端应满足以下要求：

• 操作系统 - Windows XP SP3 或更高版本；

• RDP 客户端版本 - 6.1 或更高版本；

• .NET Framework 3.5（如何检查安装了哪个版本的 .Net Framework）。

错误：CredSSP 加密 Oracle 修复

2018年，CredSSP协议中发现了一个严重漏洞（CVE-2018-0886公告），该漏洞已在微软安全更新中修复。 2018 年 5 月，Microsoft 发布了一个附加更新，禁止客户端连接到具有易受攻击版本的 CredSSP 的 RDP 计算机和服务器（请参阅文章：https://a-d.site/unable-connect-rdp-credssp-encryption-oracle-remediation/）。安装此更新后，当您通过 RDP 连接到没有此更新的远程计算机时，您会收到错误：发生身份验证错误。不支持请求的功能。

由于 Microsoft 没有发布 Windows XP 和 Windows Server 2003 的安全更新，因此您将无法从这些过时的操作系统连接到受支持的 Windows 版本。

要启用从 Windows XP 到更新的 Windows 10/8.1/7 和 Windows Server 2012/2012 R2/2012/2008 R2 的 RDP 连接，必须在 RDP 服务器端启用加密 Oracle 修复策略（计算机配置 -> 管理模板 -> 系统 -> 凭据委派）。将策略值更改为缓解，正如您所知，这并不安全。

提示。对于 Windows XP（受支持的版本称为 Windows Embedded POSReady 2009），有针对 CredSSP 远程代码执行漏洞的单独更新 - https://support.microsoft.com/en-us/help/4056564/security-update-for-vulnerability-in-windows-server-2008 (WindowsXP-KB4056564-x86-Embedded-ENU.exe)，理论上可以安装 Embedded POSReady 的更新Windows XP x86 和 Windows Server 2003 的常规版本。