- Грешка 0xC000000D се причинява от функцията за защита на администратора в последните версии на Windows 11 след инсталиране на специфични актуализации.
- Това засяга главно потребители без администраторски права, които се опитват да се свържат с компютри, управлявани от Intune или GPO.
- Временното решение е да промените режима на одобрение от администратора на Legacy режим и да рестартирате системата.
Ако внезапно сте установили, че функцията за отдалечен работен плот на Windows 11 е спряла да работи и хвърля ужасяващата грешка 0xC000000D , не се отчайвайте. Тази грешка, която обикновено е придружена от съобщение, показващо, че токенът, предаден на функцията, е невалиден , се превърна в голямо главоболие за мнозина, особено след някои скорошни системни актуализации, които промениха някои функции за сигурност.
Най-странното е, че в повечето случаи това няма нищо общо с въвеждането на грешна парола или неизправността на рутера ви. Това е вътрешен технически конфликт, свързан с управлението на разрешенията и защитата на акаунта, който засяга главно корпоративни среди или професионално управлявани системи, въпреки че може да се появи и в домашни условия, ако са променени определени настройки.
Виновникът: Защита на администратора
Основният проблем произтича от функция, наречена „Администраторска защита“ . Този инструмент за сигурност е проектиран така, че дори ако използвате акаунт с повишени привилегии, Windows ви принуждава да работите като стандартен потребител. Само когато трябва да направите нещо „сериозно“, като например инсталиране на софтуер или промяна на системния регистър, системата ви моли да потвърдите самоличността си, използвайки Windows Hello, за да генерира временен токен. Това е чудесна мярка за ограничаване на зловредния софтуер, но се оказа, че има доста досаден страничен ефект с RDP.
Тази грешка възниква, когато съвпадат три специфични фактора: компютърът, до който се опитвате да получите достъп, работи с Windows 11 (версии 24H2, 25H2 или 26H2) , има инсталирана актуализация KB5124010 или по-нова и е активирана защитата на администратора. Ключовият детайл е, че грешката възниква само ако лицето, което се опитва да се свърже, няма администраторски права на отдалечения компютър. Ако сте администраторът, най-вероятно ще можете да се свържете без никакви проблеми.
За фирми, използващи Microsoft Intune или обекти с групови правила (GPO) , рискът е по-голям, тъй като базовите стандарти за сигурност на Microsoft обикновено активират тази защита по подразбиране. Поради това много потребители са се оказвали заключени от компютрите си, без да са променили нищо, просто като са приложили препоръчителните корекции за сигурност .
Как да поправите грешка 0xC000000D стъпка по стъпка
Въпреки че Microsoft пуска окончателен пач, единственото решение е да се използва техническо заобиколно решение за деактивиране на проблемната функция. Ако управлявате офисните си компютри, имате две възможности в зависимост от вашия инструмент за администриране:
- Чрез групови правила (GPO): Трябва да отидете в Конфигурация на компютъра > Настройки на Windows > Настройки за сигурност > Локални политики > Опции за сигурност. Там потърсете опцията Конфигуриране на типа режим на одобрение от администратора и го променете на Режим на одобрение от администратор (по подразбиране)Ако правите това на самостоятелен компютър, можете да използвате командата secpol.msc.
- Чрез Microsoft Intune: В каталога с конфигурации трябва да нулирате параметъра Тип на контрол на потребителските акаунти - режим на одобрение от администратор в рамките на локалните опции за сигурност на политиката.
Важно е да не забравяте да рестартирате компютъра си след като направите промяната, в противен случай системата ще продължи да игнорира модификацията. Имайте предвид, че по този начин компютърът ви губи този допълнителен слой сигурност, така че в идеалния случай трябва да го прилагате само към хостове , които получават връзки от обикновени потребители, и да го активирате отново, когато бъде пусната официалната актуализация.
Други възможни причини за неуспехи на отдалечения работен плот
Ако грешката не е точно 0xC000000D или ако предишните стъпки за отстраняване на неизправности не са проработили, може да се сблъсквате с по-класически проблем с връзката. Първо, уверете се, че отдалеченият компютър има активиран протокол за отдалечен работен плот (RDP) в Настройки > Система > Отдалечен работен плот. Понякога временното деактивиране на удостоверяването на мрежово ниво (NLA) помага да се диагностицира дали проблемът е свързан с идентификационни данни.
Друг много често срещан сценарий в компаниите са дублиращите се идентификатори за сигурност (SID) . Това се случва, когато машини се създават от клонирано изображение, без да се изпълнява процесът Sysprep с опцията /generalize . Ако два компютъра имат един и същ SID, системата за удостоверяване Kerberos не работи правилно и блокира връзката. Решението тук е да стартирате sysprep.exe в C:\Windows\System32\Sysprep, да поставите отметка в квадратчето „generalize“ и да рестартирате, въпреки че това ще изисква повторно присъединяване на машината към домейна.
Струва си също да проверите защитната си стена на Windows или антивирусен софтуер на трета страна. Ако подозирате, че порт 3389 е блокиран, можете да използвате инструмента psping , за да проверите дали отдалеченият компютър отговаря. Ако видите 100% загуба, много вероятно е правило на защитната стена да блокира трафика.
Разширени технически проверки
За тези, които искат да стигнат директно до същината с системния регистър или конзолата, има бързи проверки. В редактора на системния регистър проверете ключа fDenyTSConnections в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. Ако стойността е 1, RDP е деактивиран; променете я на 0, за да го активирате . Също така, проверете дали услугите TermService (Remote Desktop Services) и UmRdpService работят.
В екстремни случаи проблемът може да е в самоподписания RDP сертификат . Ако сертификатът е повреден, можете да го изтриете от конзолата за сертификати (MMC) в папката „Отдален работен плот“ и да рестартирате услугата, така че Windows автоматично да генерира нов . Също така, не забравяйте да проверите дали папката MachineKeys има правилните разрешения, за да може системата да записва тези сертификати.
За да разрешите този проблем, първата стъпка е да определите дали проблемът произтича от новата защита на администратора на Windows 11, която изисква връщане към режим на одобрение от предишни версии, или е свързан с мрежови проблеми, сертификати или дублирани SID-ове поради клониране на образи. Докато грешка 0xC000000D може да бъде смекчена чрез коригиране на политиките за контрол на потребителските акаунти, общите проблеми с връзката се разрешават чрез проверка на порт 3389, активиране на услугата в системния регистър и гарантиране, че защитната стена не блокира достъпа.