تسجيل الدخول يعمل بالأمس. اليوم، يتوقف سطح المكتب البعيد بسبب خطأ في مصادقة NTLM، أو رسالة ابن العم حول معالجة أوراكل لتشفير CredSSP. لم يتم تعطل أي شيء في تثبيت Windows الخاص بك - قامت Microsoft بإيقاف NTLM عمدًا، والإصلاح هو ترتيب الإعدادات، وليس إعادة التثبيت.
NTLM هو بروتوكول مصادقة Windows القديم من عصر Windows NT. إنه ضعيف ضد هجمات الترحيل وتمرير التجزئة، لذلك قامت Microsoft بإيقاف NTLM وتقوم بإيقاف تشغيله على مراحل. تمت إزالة NTLMv1 بالفعل من إصدار Windows 11 24H2 وWindows Server 2025، وفي يناير 2026، نشرت Microsoft خطة من ثلاث مراحل تنتهي بتعطيل NTLM للشبكة افتراضيًا في إصدار Windows Server مستقبلي. عندما يستمر جهاز الكمبيوتر أو الخادم الخاص بك في محاولة استخدام NTLM ولم يعد الجانب الآخر يقبله، فإنك تحصل على مجموعة الأخطاء هذه بالضبط. في الفيديو أعلاه، يقوم Anshu بإصلاح إصدار Remote Desktop من هذا الخطأ في حوالي دقيقة - إليك ترتيب الإصلاح الكامل خلفه، بدءًا من الفحص الأكثر أمانًا وحتى الإعداد الذي يغيره على الشاشة.
الخطأ تمامًا كما يراه المستخدمون في الاتصال بسطح المكتب البعيد. الصياغة هي مثال لمربع حوار Windows الحقيقي.
لا شيء في التثبيت الخاص بك تالف. لا يزال أحد جانبي الاتصال يقدم NTLM - أو إصدار CredSSP القديم - وتم تحديث الجانب الآخر أو تشديده لرفضه. هناك ثلاثة محفزات تسبب كل حالة تقريبًا:
نظرًا لأن السبب هو عدم تطابق السياسة أو البروتوكول، فإن إعادة تثبيت Windows لا تغير شيئًا سوى تضييع يومك - حيث تعود نفس السياسات ونفس الإعدادات الافتراضية المحدثة مباشرة.
BlockNtlmv1SSO من Audit إلى Enforce، والذي يحظر تسجيل الدخول الموحد المشتق من NTLMv1 لاتصالات Wi-Fi و802.1X السلكية وVPN.هذا هو أسرع إصلاح حقيقي ولا يحتاج إلى إعدادات على الإطلاق. Kerberos، البديل الحديث لـ NTLM، يعمل فقط عندما تقوم بمخاطبة جهاز باسمه، لأنه يتم إصدار التذكرة بهذا الاسم.
إذا كان الاسم يتصل حيث فشل عنوان IP، فإن مشكلتك كانت تكمن في الإجراء الاحتياطي لـ NTLM طوال الوقت - وقد تم حلها بالفعل بطريقة آمنة.
mstscSERVER01 أو SERVER01.office.local - وليس 192.168.1.50إن نصف عائلة الأخطاء CredSSP هذه عبارة عن عدم تطابق على مستوى التصحيح تمامًا: يرفض الجانب المصحح التحدث إلى الجانب غير المصحح لحماية بيانات الاعتماد الخاصة بك (يوجد هذا السلوك بسبب ثغرة CredSSP CVE-2018-0886). يعد الإصلاح الموصى به من Microsoft بسيطًا وغالبًا ما يتم تخطيه:
يختفي هنا عدد مذهل من هذه الأخطاء. تابع فقط إذا تم تحديث كلا الجانبين بالكامل وظل الخطأ قائمًا.
هذه هي الطريقة التي يوضحها Anshu على الشاشة. على الجهاز الذي تحاول الوصول إليه، تتم إعادة تحديد الإعدادات عن بعد حتى يقبل المضيف الاتصال بشكل نظيف:
لماذا تعمل: تقوم ميزة المصادقة على مستوى الشبكة (NLA) بتسجيل الدخول قبل فتح الجلسة، باستخدام CredSSP - وهو المكان الذي يتم فيه حظر NTLM بالضبط. يؤدي إيقاف تشغيل NLA إلى نقل تسجيل الدخول إلى شاشة تسجيل الدخول العادية لنظام Windows، بحيث يتم الاتصال.
mstsc باستخدام اسم المستخدم وكلمة المرور الصحيحينفي المكاتب، يأتي الحظر عادةً من "نهج المجموعة" بدلاً من علامة التبويب "بعيد". سياسة CredSSP موجودة في Computer Configuration - Administrative Templates - System - Credentials Delegation - Encryption Oracle Remediation. يتم أيضًا تخزين مستوياتها الثلاثة كقيمة التسجيل AllowEncryptionOracle ضمن HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters:
قم بتطبيق التغيير باستخدام gpupdate /force وأعد التشغيل. الإجابة الصحيحة على المدى الطويل هي دائمًا: قم بإصلاح الجهاز غير المصحح، ثم ارجع إلى المستوى 0 أو 1.
0 - فرض تحديث العملاء: الحالة النهائية الآمنة. عملاء مصححة فقط.1 - مخفف: مستوى متوسط معقول بينما لا تزال بعض الأجهزة قيد التحديث.2 - ضعيف: يسمح بالسلوك القديم. استخدمه فقط كجسر قصير للوصول إلى جهاز غير مُصحح، ثم قم بإزالته.إذا كان الجهاز الهدف نفسه يرفض تسجيلات الدخول إلى NTLM، فانظر إلى اثنين من الإعدادات الإضافية ضمن Computer Configuration - Windows Settings - Security Settings - Local Policies - Security Options:
قم بتغيير إعداد واحد في كل مرة واختبره بعد كل تغيير. تغييرات البندقية تجعل المشكلة التالية مستحيلة التتبع.
العملية الكاملة مع العرض المباشر - كل إعداد يظهر على الشاشة، خطوة بخطوة.
Watch Full Videoلأن أحد جانبي الاتصال حاول المصادقة باستخدام NTLM ولم يعد الجانب الآخر يقبلها. يتم الاتصال بالمشغلات المعتادة عن طريق عنوان IP بدلاً من اسم الكمبيوتر، أو جهاز مستهدف تم تقويته بواسطة السياسة أو التحديث الأخير، أو إزالة NTLMv1 من Windows 11 24H2 وWindows Server 2025.
لا، يأتي الحظر من إعدادات البروتوكول وسياساته الافتراضية، وليس من ملفات النظام التالفة. تؤدي عملية إعادة التثبيت إلى استعادة نفس الإعدادات الافتراضية المحدثة، وبالتالي يعود الخطأ. اعمل من خلال ترتيب الإصلاح بدلاً من ذلك: اسم الكمبيوتر، والتحديثات على كلا الطرفين، ومستخدمي علامة التبويب البعيدة وNLA، ثم سياسات CredSSP وNTLM.
إنه حل مؤقت ومشروع وهو بالضبط ما يعيد العديد من الأشخاص مرة أخرى، لأن تبادل NTLM المحظور يحدث أثناء مرحلة NLA. لكن NLA موجود للمصادقة قبل فتح الجلسة، لذا فإن تركه متوقفًا بشكل دائم يعرض شاشة تسجيل الدخول إلى الشبكة. أعد تمكينه بمجرد إصلاح السبب الحقيقي.