- www.SAMURAJ-cz.com
- Категория статьи
- Инструменты
- Поиск
- Статьи
- Проблемы с новой версией Windows и Windows Server
- RDP-подключение от старого клиента в Windows 10 и Server 2016
- Ошибка RDP и CredSSP
- Windows Server 2016 и доступ к папкам требуют разрешения для администраторов домена
- Служба узла синхронизации — OneSyncSvc на сервере
- Удаление Защитника Windows с сервера
- Комментарии
www.SAMURAJ-cz.com
Категория статьи
Инструменты
Поиск
Статьи
Проблемы с новой версией Windows и Windows Server
Пока у меня есть две ситуации, с которыми можно столкнуться довольно часто. Я могу добавить больше со временем.
RDP-подключение от старого клиента в Windows 10 и Server 2016
Подключение к удаленному рабочему столу Подключение к удаленному рабочему столу используется для отображения экрана входа в систему. Это позволяло проводить различные атаки. Поэтому Microsoft придумала Аутентификацию на уровне сети (NLA), при которой аутентификация выполняется до установления сеанса.
В Windows Sever 2008 R2 и 2012 мы можем разрешать подключения только от клиентов, которые поддерживают NLA в настройках.
Если мы разрешили подключение любой версии, мы разрешили подключение старых клиентов или приложений, отличных от MS. Этот параметр изменяет значение UserAuthentication (1 для включенного NLA) в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp .
Если мы снимем флажок, ограничивающий RDP только NLA, в случае Windows Sever 2016 , мы, вероятно, по-прежнему не будем подключаться из старого клиента и получим сообщение об ошибке:
Решение состоит в том, чтобы изменить значение SecurityLayer в реестре по пути HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. В Интернете обычно рекомендуется вводить 0 . В старых версиях Windows установлено значение 1 , и мне это подходит. Windows Server 2016 увеличил значение до 2 . Интересно то, что иногда настройки срабатывали у меня сразу, а иногда требовался перезапуск.
Ошибка RDP и CredSSP
NLA использует протокол поставщика поддержки безопасности учетных данных (CredSSP) в качестве поставщика поддержки безопасности , который выполняетаутентификация пользователя. В CredSSP была обнаружена уязвимость, которую исправил Microsoft. И теперь в определенных ситуациях и определенной комбинации фиксированных библиотек мы можем получить ошибку:
при попытке подключения
Правильное решение — установить обновления везде. Другой вариант — отключить NLA на сервере . Или мы можем использовать Групповую политику (требуются административные шаблоны для Win10 1803).
В пути Конфигурация компьютера > Административные шаблоны > Система> Credentials Delegation мы устанавливаем для Encryption Oracle Remediation значение Protection Level на Vulnerable .
Windows Server 2016 и доступ к папкам требуют разрешения для администраторов домена
Очень странное поведение при доступе к папкам, для которых у нас самые высокие разрешения. Об этом говорится в ряде дискуссий в Интернете. Я не знаю, происходит ли это только в ситуации, описанной ниже, или это происходит и при других условиях. Это связано с Контролем учетных записей пользователей (UAC), но даже если мы установим его на минимум в графическом интерфейсе, это не повлияет на это поведение.
У нас есть рядовой сервер домена, где группа Администраторы домена является членом локальной группы Администраторы (поведение по умолчанию) . Войдите на сервер как администратор домена. На сервере есть еще один диск в дополнение к системному диску (C:). На втором диске D создается папка : из которой удалена группа Пользователи , но все еще есть Администраторы группы полные права. Когда мы пытаемся открыть эту папку, мы получаем сообщение:
Если мы нажмем Продолжить , наша учетная запись будет иметь права на папку (и подпапки по умолчанию). Тогда папка откроется, но мы, вероятно, не хотим изменять права доступа к папке (и иметь там определенного пользователя вместо групп).
Единственный функциональныйрешение, которое мы нашли, состоит в том, чтобы полностью отключить UAC с помощью групповой политики . Это не идеально, но для конкретного сервера мы можем использовать .
В пути Конфигурация компьютера > Настройки Windows> Настройки безопасности > Локальные политики > Установите для параметров безопасности Контроль учетных записей пользователей: запуск всех администраторов в режиме одобрения администратором на Отключено . После этого сервер необходимо перезапустить.
Служба узла синхронизации — OneSyncSvc на сервере
В GUI Services мы видим Sync Host_number . На сервере этот сервис бесполезен и часто дает сбои. Его нельзя установить в Отключено в графическом интерфейсе, но мы можем сделать это в командной строке (не в PowerShell). Описание службы Эта служба синхронизирует почту, контакты, календарь и различные другие пользовательские данные. Почта и другие приложения, зависящие от этой функции, не будут работать должным образом, если эта служба не запущена.
Удаление Защитника Windows с сервера
На практике мы несколько раз сталкивались с проблемой, что сервер (или определенное приложение на нем, например Exchange) работал очень медленно. После удаления приложения Защитник Windows , которое автоматически активируется после установки сервера, производительность увеличилась в несколько раз.
Защитник должен быть удален по умолчанию как Функция системы. Но иногда элемент отображается серым цветом, тогда его можно удалить с помощью PowerShell . Мы можем убедиться, что служба запущена с помощью PowerShell или командной строки:
Впоследствии вам необходимо перезапустить сервер .
просмотрено: 8276 раз
Если вы хотите прокомментировать эту статью, используйте комментарии ниже.
Комментарии
Я только что решил похожую проблему. Но в качестве RDP-клиента Terminal Server 2016 был терминалом с WinCE 5.0
.
Я нашел это руководство, оно для 2012 года, но работает и для 2016 года :