Loi khi remote desktop vao windows server 2012

Xử lý lỗi RDP “This could be due to CredSSP encryption oracle…”

By

Quách Chí Cường

-

08/08/2018

11450

Xử lý lỗi RDP “This could be due to CredSSP encryption oracle…” – Cuongquach.com  | Vào tháng 3/2018, Microsoft đã phát hành bản cập nhật bảo mật liên quan đến giao thức Credential Security Support Provider protocol (CredSSP) được sử dụng bởi kết nối Remote Desktop Protocol (RDP) giữa Windows Client và Windows Server.

Vô hình chung điều này ảnh hưởng đến ứng dụng Remote Desktop của Windows. Khi bạn mở ứng dụng Remote Desktop client để kết nối đến Server hay VPS Windows bạn có thể sẽ gặp phải thông báo lỗi về ‘CredSSP encryption oracle remediation error ‘ như hình dưới đây khi cố gắng kết nối Remote Desktop đến Windows Server :

[Content] An authentication error has occurred. The function requested is not supported Remote computer: XXX.XXX.XXX.XXX This could be due to CredSSP encryption oracle remediation. For more information, see https://go.microsoft.com/fwlink/?linkid=866660

1 2 3 4 5 6 7

[Content] An authentication error has occurred. The function requested is not supported   Remote computer: XXX.XXX.XXX.XXX This could be due to CredSSP encryption oracle remediation. For more information, see https://go.microsoft.com/fwlink/?linkid=866660

Trước đây, khi chưa có bản update này, bạn dễ dàng kết nối máy chủ Windows bằng RDP, nhưng sau khi Microsoft bắt Windows Server update patch mới thì không dễ để client kết nối RDP Windows Server nữa. Trường hợp này xảy ra khi mà kết nối RDP được tạo ra giữa 1 bên đã được cập nhật patch (thường là RDP Client) và 1 bên chưa được cập nhật patch (thường là Windows Server).

Có thể bạn quan tâm chủ đề khác
– Video Quản trị Windows Server 2016 – Itech
– Hướng dẫn thay đổi port Remote Desktop trên Windows Server
– Ebook Lab MCSA 2016 Tiếng Việt – NewStar
– Ebook Quản trị mạng Windows Server 2012 – BachKhoa Aptech

Nguyên nhân

Điều này là do lỗ hổng bảo mật CVE-2018-0886 | CredSSP Remote Code Execution Vulnerability. Vào tháng 3/2018 Microsoft đã phát hành bản cập nhật để thực hiện 2 vấn đề :

• Thay đổi cách thức giao thức CredSSP xác thực các request trong suốt quá trình chứng thực.
• Thay đổi cấu hình chính sách “Encryption Oracle Remediation” từ Vulnerable sang Mitigated .

Vấn đề chứng thực RDP có thể phát sinh khi mà local client và máy chủ remote Windows Server khác nhau về thông số cấu hình “Encryption Oracle Remediation” nhằm định nghĩa cách thức xây dựng session RDP với CredSSP.
Vậy sẽ có 3 trường hợp như sau:

• Nếu phía client đã tự động update patch, và tiến hành kết nối RDP tới Windows Server chưa được update patch, thì sẽ bị khoá kết nối và hiển thị lỗi như trên.
• Nếu phía client chưa được update patch, trong khi Windows Server đã update patch thì RDP vẫn hoạt động. Chỉ là session dễ bị tấn công.
• Nếu cả phía client và windows server đã update patch, thì kết nối RDP hoàn toàn an toàn với tiêu chuẩn mới.

Hướng dẫn xử lý

Cách xử lý tốt nhất đó là hãy tiến hành cập nhật bản vá mới liên quan CredSSP trên Windows Server và cả RDP Client. Nhưng nếu bạn muốn có thể kết nối Remote Desktop vào một máy chủ Windows Server chưa cập nhật bản vá lỗ hổng CredSSP, thì trên máy tính Windows Client bạn có thể sử dụng cách thức hạ mức độ bảo vệ ứng dụng trong chính sách (policy) ‘Encryption Oracle Remediation‘ xuống cấp ‘Vulnerable‘ thông qua Group Policy.

Bước 1:
– Mở Local Group Policy Editor : gõ gpedit.msc vào Start Menu

Bước 2:
– Di chuyển đến đường dẫn chính sách như sau : Computer Configuration > Administrative Templates > System > Credentials Delegation
– Click chuột để cấu hình chính sách ‘Encryption Oracle Remediation’.

Bước 3:
– Kích hoạt ‘Enabled‘.
– Thiết lập ‘Protection Level’ là ‘Vulnerable‘.

Nguồn: https://cuongquach.com/

Windows Server 2012 R2

Kích hoạt bằng key KMS
Yêu cầu máy tính được kết nối mạng
Windows Server 2012 R2 Datacenter
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk W3GGN-FT8W3-Y4M27-J84CP-Q3VJ9
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Windows Server 2012 R2 Standard
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk D2N9P-3P6X9-2R39C-7RTCD-MDVJX
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Windows Server 2012 R2 Essentials
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk KNC87-3J2TX-XB4WP-VCPJV-M4FWM
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Windows Server 2012 Datacenter
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk 48HP8-DN98B-MYWDG-T2DCC-8W83P
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Windows Server 2012 Standard
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk XC9B7-NBPP2-83J2H-RHMBY-92BT4
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Windows Server 2012
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk BN3D2-R7TKB-3YPBD-8DRP2-27GG4
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Hướng dẫn nâng cấp Windows 2012 R2 evaluation lên Windows 2012 R2 full

1./ xác định phiên bản hệ điều hành hiện tại

DISM /online /Get-CurrentEdition

ServerStandardEval

2./ xác định phiên bản hệ điều hành có thể nâng cấp lên

DISM /online /Get-TargetEditions

ServerStandard

ServerDatacenter

3./ chạy lệnh Converting existing Windows Server 2012 versions tương ứng từng phiên bản muốn lên

DISM /online /Set-Edition:ServerStandard /ProductKey:NB4WH-BBBYV-3MPPC-9RCMV-46XCB /AcceptEula

DISM /online /Set-Edition:ServerDatacenter /ProductKey:BH9T4-4N7CW-67J3M-64J36-WW98Y /AcceptEula

sau đó restart máy chủ — done

Hướng dẫn active Windows 2016, How to Upgrade Windows Server 2016 Evaluation to Full

dism /online /set-edition:ServerStandard /productkey:WC2BQ-8NRM3-FDDYY-2BFGV-KHKQY /accepteula

Hướng dẫn Kích hoạt bằng key KMS
Yêu cầu máy tính được kết nối mạng
Windows Server 2016 Datacenter
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk CB7KF-BWN84-R7R2Y-793K2-8XDDG
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Windows Server 2016 Standard
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk WC2BQ-8NRM3-FDDYY-2BFGV-KHKQY
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Windows Server 2016 Essentials
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk JCKRF-N37P4-C2D82-9YXRT-4M63B
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Windows Server 2016 Cloud Storage
1. Chạy CMD (admin)
2. Nhập lệnh:
slmgr.vbs /ipk QN4C6-GBJD2-FB422-GHWJK-GJG2R
3. Nhập lệnh:
slmgr.vbs /skms kms.digiboy.ir
4. Nhập lệnh:
slmgr.vbs /ato

Các bạn chú ý : nếu gõ lần lượt lần đầu windows chưa được active thì gõ lại là sẽ ok

Nếu bạn ban chạy bản Standard Evaluation thì bạn chỉ cần chạy lệnh sau để chuyển từ Evaluation qua Full và Active key luôn


dism /online /set-edition:ServerStandard /productkey:WC2BQ-8NRM3-FDDYY-2BFGV-KHKQY /accepteula




If you have installed Windows Server 2016 StandardEvaluation or DatacenterEvaluation (you can download it here after signup) to try the features of the new version of MSFT server platform, you have 180 days to test it. During this period, all features of Windows Server 2016 are available to you. After the trial period is over, the system starts to ask for activation and turns off every hour. The notification Windows License is expired is shown on your desktop. If you have found nothing better to do than to run productive tasks on the evaluation Windows Server 2016 version and want to upgrade it to full Windows Server edition, while keeping your data and without any need to completely reinstall the system, this article is for you.
If you try to specify the KMS key or the Retail/MAK activation key for the RTM version in the Evaluation edition, the following warning appears: “This edition cannot be upgraded”. But not everything is so sad.

Let’s make sure that you are using the evaluation edition. Start the command prompt with the administrator privileges and run the following command:


DISM /online /Get-CurrentEdition





Get the list of editions you can convert your current Eval edition to:
DISM /online /Get-TargetEditions





As you can see, now we have ServerStandardEval edition, and it can be upgraded to the following Windows Server 2016 editions: ServerDatacenter or ServerStandard.


Using the public KMS key for Windows Server 2016, upgrade your Eval edition to Retail version of Windows Server 2016 Standard:


dism /online /set-edition:ServerStandard /productkey:WC2BQ-8NRM3-FDDYY-2BFGV-KHKQY /accepteula




Note. To upgrade to Datacenter edition, you need another key. The command will look like this:

DISM /online /Set-Edition:ServerDatacenter /ProductKey:CB7KF-BWN84-R7R2Y-793K2-8XDDG /AcceptEula



After you run this command, wait for it to finish (in some cases it may take several hours !!!). After that restart your server and make sure you have full Standard edition installed.
winver.exe



If you have got a KMS server in your network, you can use it for activation with the following commands:


slmgr /ipk WC2BQ-8NRM3-FDDYY-2BFGV-KHKQY
slmgr /ato


Or you can enter the MAK / Retail key and activate your OS online or by phone.
Here are some restrictions of these conversion means:

• You can convert only the full GUI version of Windows Server. Server Core or Nano Server can’t be converted this way.
• You cannot upgrade a server with a role of a domain controller (Active Directory Domain Services role). You must uninstall this role first.

ĐỔI PASSWORD CỦA USER ROOT TRONG UBUNTU VÀ FEDORA

Việc đầu tiên sau khi cài đặt xong các Linux là nên thay đổi password của user root. Việc này giúp bảo mật, mặc dù user khai báo trong quá trình cài đặt đã có quyền quản trị. Vì đối với hệ thống Unix hay Linux thì user root có quyền quản trị hệ thống giống như user Administrator của Windows. Mặc định trong quá trình cài đặt Ubuntu và Fedora hoặc CentOS sẽ không yêu cầu đổi password cuẢ user root. Vì vậy bên dưới là cách thực hiện.

Cách thực hiện thay đổi password cho user root trong Ubuntu và Fedora:

1. HĐH Ubuntu:

• Mở Terminal (Ctrl+Alt+t).
• Gõ lệnh sudo -i và gõ password của user hiện tại vào để chuyển qua user root.

• Tiếp đến gõ lệnh passwd  để đổi password cho user root.

• Gõ password mới của root vào, vậy là xong.

2. HĐH Fedora và CentOS:

• Mở Terminal (Ctrl+Alt+t) và gõ vào su –
• Các bước còn lại giống như làm ở trên đối với HĐH Ubuntu.

Như vậy chỉ với vài thao tác đã giúp máy tính chạy Linux của bạn được bảo mật hơn khi đã đổi password của user root.

cấu-hình-vpn-client-to-site-trên-cisco-asa.156

Xin chào các bạn, trong bài viết sau đây mình sẽ thực hiện cài đặt VPN Client to Site trên Firewall Cisco ASA, cho phép các Client truy cập từ xa đến mạng nội bộ của cơ quan thông qua đường truyền internet.



Đầu tiên, các bạn đăng nhập vào giao diện quản trị của ASA như hình bên dưới.



Các bạn chọn Wizards >> VPN Wizards >> Ipsec (IKEv1) Remote Access VPN Wizard… để mở cửa sổ cài đặt VPN.



Trong màn hình VPN Wizard, các bạn chọn VPN Tunnel Interface là outsite, check vào ô tùy chọn như hình bên dưới, click Next.



Tiếp theo, các bạn chọn loại VPN Client sẽ sử dụng, ở đây tôi sẽ chọn Cisco VPN Client, Release 3.x or higher…, sau đó click Next.



Ở bước tiếp theo, các bạn nhập Pe-Share key và Tunnel Group Name, sau đó click Next.



Ở màn hìn tiếp theo, các bạn để nguyên theo mặc định, click Next.



Kế tiếp, các bạn tạo User Account cho VPN Client, click Add.



Sau khi tạo xong tài khoản cho VPN user, các bạn click Next.



Ở bước kế tiếp, các bạn click New và nhập các tham số để tạo dãy IP sẽ cấp phát cho VPN Client, click OK.


Sau khi tạo xong IP Pool, các bạn tiếp tục click Next.



Ở màn hình tiếp theo, các bạn nhập Primary DNS và Secondary DNS Server, Default Domain Name, ấn Next.



Ở bước chọn thuật toán mã hóa và chứng thực, các bạn giữ nguyên theo mặc định, click Next.


Kế tiếp, các bạn chọn Interface nội bộ và lớp mạng cục bộ của cơ quan, ở đây tôi chọn Interface là inside và lớp mạng là 192.168.1.0/24, check chọn 2 check box bên dưới, click Next.



Kế đến, các bạn xem lại phần tóm tắt các thông tin đã cấu hình ở các bước trên, nếu tất cả đã chính xác, các bạn click Finish để sang bước tiếp theo.



Màn hình Preview CLI Commands cho biết các lệnh được tự động tạo ra, các bạn click Send để áp dụng các lệnh này.



Các bước cài đặt trên ASA đã xong, các bạn tiến hành cài đặt Cisco VPN Client. Trong giao diện VPN Client, các bạn click New để tạo kết nối đến ASA.


Trong cửa sổ Create New VPN Connection Entry, các bạn nhập tên kết nối, Host là IP Public của ASA, Group Name và Preshare Key đã tạo ở trên, click Save.


Tiếp theo, các bạn nhấp phải chuột vào tên kết nối, chọn Connect.



Tiếp theo, các bạn nhập VPN Username và Pasword đã tạo ở phần trước, click OK.


Các bạn tiến hành kiểm tra kết nối bằng lệnh Ping đến 01 host trong mạng nội bộ của cơ quan, như hình bên dưới lệnh ping đến host 192.168.1.1 đã thành công.



Các bạn có thể dùng lệnh ipconfig để xem thông tin IP đường kết nối VPN của Client như hình bên dưới.


Đến đây, việc cài đặt VPN Client to Site trên Firewall Cisco ASA đã được thực hiện xong, chúc các bạn thành công.

Hướng dẫn cấu hình NAT trên Firewall Cisco ASA

Phần 3 đưa ra một số ví dụ cấu hình NAT.
1.Topology

Sơ đồ kết nối trên GNS3

2.Mô tả
Tại mỗi chi nhánh Chicago và New York có inside network, outside network và DMZ. Hai chi nhánh này kết nối với nhau bằng VPN site-to-site. Tại Chicago có triển khai VPN Remote access dành cho mobile users với subnet 192.168.50.0/24. Không may, DMZ network tại New York trùng lặp với inside network của Chicago.
3.Kịch bản 1
Cấu hình static NAT cho DMZ Web Server và dynamic PAT cho các host ở inside netwok sử dụng IP address của cổng outside (209.165.200.225).
3.1. Cấu hình dynamic PAT cho inside network
- Cấu hình bằng ASDM: chọn Add “Network Object” NAT Rule


Click Advanced

Click OK 2 lần để kết thúc.
- Cấu hình bằng CLI:
Chicago# show running-config object
object network Inside-Net
subnet 192.168.10.0 255.255.255.0
!
Chicago# show running-config nat
object network Inside-Net
nat (inside,outside) dynamic interface
!
3.2. Cấu hình static NAT cho Web Server
- Cấu hình bằng ASDM: chọn Add “Network Object” NAT Rule

Click Advanced

Click OK 2 lần để kết thúc.
- Cấu hình bằng CLI:
Chicago# show running-config object
object network Inside-Web
host 192.168.20.10
!
Chicago# show running-config nat
object network Inside-Web
nat (DMZ,outside) static 209.165.200.230
!
4.Kịch bản 2
Cấu hình static PAT cho Web Server sử dụng địa chỉ của cổng outside kết hợp với port 80.
- Cấu hình bằng ASDM: chọn Add “Network Object” NAT Rule


Click Advanced

Click OK 2 lần để kết thúc.
- Cấu hình bằng CLI:
Chicago# show running-config object
object network Inside-Web
host 192.168.20.10
!
Chicago# show running-config nat
object network Inside-Web
nat (DMZ,outside) static interface service tcp www www
!
5.Kịch bản 3
Cấu hình static NAT (sử dụng twice NAT) cho phép các host ở inside network (Chicago) truy nhập đến DMZ network (New York). Chú ý: 2 network này bị trùng địa chỉ, đều là 192.168.10.0/24. Chúng ta cần dùng địa chỉ thay thế, như sau: địa chỉ thay thế của DMZ network (New York) là 192.168.100.0/24; địa chỉ thay thế của inside network (Chicago) là 10.10.100.0/24. Bạn sử dụng 4 object, như sau:
Chicago-Real: chứa phần tử network là 192.168.10.0/24
Chicago-Mapped: 10.10.100.0/24
NewYork-Real: 192.168.10.0/24
NewYork-Mapped: 192.168.100.0/24





- Cấu hình bằng ASDM: chọn Add NAT Rule Before “Network Object” NAT Rule



Click OK để kết thúc.
- Cấu hình bằng CLI:
Chicago# show running-config object
object network Chicago-Mapped
subnet 10.10.100.0 255.255.255.0
object network Chicago-Real
subnet 192.168.10.0 255.255.255.0
object network NewYork-Mapped
subnet 192.168.100.0 255.255.255.0
object network NewYork-Real
subnet 192.168.10.0 255.255.255.0
!
Chicago# show running-config nat
nat (inside,outside) source static Chicago-Real Chicago-Mapped destination static NewYork-Mapped NewYork-Real
!
6.Kịch bản 4
Cấu hình Identity NAT cho kết nối VPN site-to-site. Với cấu hình này, traffic từ inside network (Chicago) gửi đến inside network (New York) sẽ không bị dịch địa chỉ. Bạn sử dụng 2 object sau:
Inside-Real: chứa phần tử network 192.168.10.0/24
Remote-Real: 10.10.10.0/24

Click Advanced


- Cấu hình bằng ASDM: chọn Add NAT Rule Before “Network Object” NAT Rule

Click OK để kết thúc.
- Cấu hình bằng CLI:
Chicago# show running-config object
object network Inside-Real
subnet 192.168.10.0 255.255.255.0
object network Remote-Real
subnet 10.10.10.0 255.255.255.0
!
Chicago# show running-config nat
nat (inside,outside) source static Inside-Real Inside-Real destination static Remote-Real Remote-Real
7.Kịch bản 5
Cấu hình dynamic PAT đối với Remote-Access VPN Clients. Để tăng cường bảo mật, trong cấu hình Remote-Access VPN không thực hiện tính năng split-tunnel. Tất cả kết nối từ VPN clients ra Internet đều được mã hóa và gửi qua firewall Chicago. Khi kết nối VPN, VPN clients được cấp địa chỉ thuộc network 192.168.50.0/24. Firewall Chicago không thực hiện NAT đối với traffic gửi từ VPN clients đến inside network. Tuy nhiên, traffic từ inside network gửi ra Internet vẫn được dịch địa chỉ. Bạn cần có 2 object sau:
Inside-Real: chứa phần tử 192.168.10.0/24
VPN-Real: 192.168.50.0/24

Click Advanced

- Cấu hình bằng ASDM: chọn Add NAT Rule Before “Network Object” NAT Rule

- Cấu hình bằng CLI:
Chicago# show running-config object
object network Inside-Real
subnet 192.168.10.0 255.255.255.0
object network VPN-Real
subnet 192.168.50.0 255.255.255.0
!
Chicago# show running-config nat
nat (inside,outside) source static Inside-Real Inside-Real destination static VPN-Real VPN-Real
!
- Note: bài viết đúng với hệ điều hành IOS ver 8.3 hoặc cao hơn

( hết phần 3)