Cómo evitar problemas de autenticación de escritorio remoto después de una actualización reciente de Windows Server

El problema parece estar causado por la actualización de mayo de 2023 y afecta las conexiones a los sistemas virtuales de Windows.

Mientras trabajaba en el sitio de un cliente el otro día, noté que las conexiones de escritorio remoto de un grupo de servidores de Windows 2008 R2 a varios sistemas virtuales de Windows 7 dejaron de funcionar repentinamente. El error que se genera al intentar iniciar sesión es sencillo: «El nombre de usuario o la contraseña no son correctos».

Cobertura de Windows de lectura obligada

Excepto que estoy seguro de que no es cierto. Buscar en Google este problema ha arrojado un montón de distracciones y callejones sin salida, ninguno de los cuales proporciona una idea del problema. Entonces, tuve que arremangarme y sacar mi kit de herramientas de detective de administrador de sistemas, por así decirlo.

problema de triangulación

La primera y más obvia suposición es que alguien cambió la contraseña de alguna manera, pero esto parece poco probable ya que la contraseña en cuestión existe desde hace varios años y es compartida por muchas personas. Sin embargo, algo extraño sucedió.

Inmediatamente lo descarté iniciando sesión en estas máquinas virtuales directamente a través de la consola VMWare. El ID y la contraseña funcionan bien, así que sé que debe haber algún problema con la comunicación del escritorio remoto.

Mi siguiente paso es intentar conectarme a estas máquinas desde un sistema diferente; otra máquina con Windows 7 en la red, desde la cual puedo acceder a ella desde un escritorio remoto. Esto funciona bien, por lo que sé que el problema debe estar en el servidor de origen, donde intento acceder al sistema Windows 7 en cuestión.

Afortunadamente, había cuatro servidores involucrados, así que probé sistemáticamente las conexiones de escritorio remoto a todos ellos y descubrí que el acceso funcionaba en uno de los cuatro servidores.

¡Ajá! Luego traté de determinar qué era diferente en ese sistema en funcionamiento y qué había cambiado en los tres servidores que no funcionaban.

VER: Trabajar en TI: por qué nos encanta y por qué lo odiamos (PDF gratuito) (Tecnopedia)

determinar lo que ha cambiado

Lo primero que busco son las últimas actualizaciones de Windows en el servidor problemático. Veo que se han instalado varias actualizaciones hace unos días:

El servidor de trabajo no recibió las actualizaciones de mayo enumeradas anteriormente, por lo que me parece una sugerencia muy fuerte de que una de esas actualizaciones rompió la conexión de escritorio remoto.

Luego enumero las actualizaciones instaladas recientemente e investigo para qué sirven:

Soluciones de aislamiento paso a paso

Si bien podría haber desinstalado todas las actualizaciones para ver si el problema se resolvió, quería pasar más tiempo tratando de averiguar qué actualización específicamente causó el problema; de lo contrario, es muy probable que el problema reaparezca en la próxima ronda de parches. Elegí desinstalar las actualizaciones una por una, luego reiniciar cada vez y probar la conexión de escritorio remoto.

¿Pero cómo? Después de revisar la lista anterior, quedó claro que algunas de estas actualizaciones no tenían nada que ver con el problema: los parches de .NET y de zona horaria no merecían mi atención. Creo que la fuente probable del problema es KB4103712, ya que menciona específicamente problemas con las conexiones de escritorio remoto. Irónicamente, está destinado a resolver problemas, no a causarlos, pero el desordenado mundo de los retoques a menudo conduce a lo contrario.

Desinstalé KB4103712, reinicié el servidor, luego probé una conexión de escritorio remoto y ¡funcionó!

VER: Cómo administrar TI durante fusiones y adquisiciones (PDF gratuito) (Tecnopedia)

Aplicar arreglos a largo plazo

El trabajo no está hecho, todo lo contrario. Ahora que sé qué actualización está causando el problema, tengo que averiguar cómo aplicarla y mantener una conexión de escritorio remoto a estos sistemas Windows 7.

Hablé con mi amigo Mike Catalano, ingeniero técnico sénior de Worldpay, quien me proporcionó más información sobre lo que está pasando aquí. Me señaló un artículo de soporte de Microsoft que explicaba que el problema involucraba una actualización de marzo del Protocolo de proveedor de soporte de seguridad de credenciales (CredSSP) que maneja las solicitudes de autenticación. Otro síntoma de este problema es el error: «Se ha producido un error de autenticación. La función solicitada no es compatible».

Específicamente, pueden surgir problemas de conexión cuando los clientes parcheados intentan conectarse a sistemas sin parches, que es exactamente el caso aquí. La conexión es de un cliente sin parches a un sistema sin parches, por lo que está claro que el parche de escritorio remoto KB4103712 debe estar presente en ambos sistemas. Una solución a corto plazo por servidor es aplicar esta configuración de registro:

Ruta del registro: HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters

Valor: AllowEncryptionOracle (DWORD): 2

El artículo de soporte de Microsoft al que se hace referencia anteriormente explica la gama completa de configuraciones disponibles, y señala que una configuración de «2» representa una configuración de política «Vulnerable» que permite conexiones inseguras:

Este artículo explica cómo lograr el mismo resultado en la directiva de grupo.

Es importante recordar que esta configuración se considera una mala idea porque elude los controles de seguridad. Aplique esta configuración como una solución a corto plazo, pero asegúrese de que todos los sistemas involucrados reciban todas las actualizaciones disponibles (obviamente, lo siguiente que haría es determinar por qué el sistema de destino no se revisó recientemente y remediar) y deshaga esta configuración – O cambie el valor a «0» para «forzar la actualización del cliente» después de la siguiente ronda de aplicación de parches, luego verifique la funcionalidad del escritorio remoto. Con suerte, entonces todo debería funcionar como se esperaba.

Ver también: