- Lỗi 0xC000000D xuất hiện do tính năng Bảo vệ quản trị viên trong các phiên bản Windows 11 gần đây sau khi cài đặt một số bản cập nhật nhất định.
- Vấn đề này chủ yếu ảnh hưởng đến người dùng không có quyền quản trị khi cố gắng kết nối với máy tính được quản lý bởi Intune hoặc GPO.
- Giải pháp tạm thời là thay đổi chế độ phê duyệt của quản trị viên sang chế độ Legacy và khởi động lại hệ thống.
Nếu bạn đột nhiên phát hiện ra rằng Windows 11 Remote Desktop ngừng hoạt động và hiển thị lỗi 0xC000000D đáng sợ , đừng tuyệt vọng. Lỗi này, thường đi kèm với thông báo cho biết mã thông báo được truyền cho hàm không hợp lệ , đã trở thành một vấn đề đau đầu lớn đối với nhiều người, đặc biệt là sau một số bản cập nhật hệ thống gần đây đã thay đổi một số tính năng bảo mật.
Điều kỳ lạ nhất là, trong hầu hết các trường hợp, nó không liên quan gì đến việc bạn nhập sai mật khẩu hoặc bộ định tuyến của bạn bị lỗi. Đó là một xung đột kỹ thuật nội bộ liên quan đến quản lý quyền và bảo vệ tài khoản, chủ yếu ảnh hưởng đến môi trường doanh nghiệp hoặc các hệ thống được quản lý chuyên nghiệp, mặc dù nó cũng có thể xuất hiện trong các thiết lập tại nhà nếu một số cài đặt đã bị thay đổi.
Thủ phạm: Chế độ bảo vệ quản trị viên
Vấn đề chính bắt nguồn từ một tính năng gọi là Bảo vệ Quản trị viên . Công cụ bảo mật này được thiết kế để ngay cả khi bạn đang sử dụng tài khoản có quyền quản trị cao, Windows vẫn buộc bạn phải hoạt động như một người dùng thông thường. Chỉ khi bạn cần thực hiện một tác vụ "nghiêm trọng", chẳng hạn như cài đặt phần mềm hoặc sửa đổi registry, hệ thống mới yêu cầu bạn xác minh danh tính bằng Windows Hello để tạo mã thông báo tạm thời. Đây là một biện pháp tuyệt vời để ngăn chặn phần mềm độc hại, nhưng nó lại gây ra một tác dụng phụ khá khó chịu với RDP.
Lỗi này xảy ra khi ba yếu tố cụ thể cùng xuất hiện: máy tính bạn đang cố gắng truy cập đang chạy Windows 11 (phiên bản 24H2, 25H2 hoặc 26H2) , đã cài đặt bản cập nhật KB5124010 trở lên và chế độ bảo vệ quản trị viên được bật. Chi tiết quan trọng là lỗi chỉ xảy ra nếu người cố gắng kết nối không có quyền quản trị viên trên máy tính từ xa. Nếu bạn là quản trị viên, rất có thể bạn sẽ kết nối được mà không gặp vấn đề gì.
Đối với các doanh nghiệp sử dụng Microsoft Intune hoặc Group Policy Objects (GPO) , rủi ro càng lớn hơn, vì các thiết lập bảo mật cơ bản của Microsoft thường kích hoạt tính năng bảo vệ này theo mặc định. Do đó, nhiều người dùng đã bị khóa khỏi máy tính của mình mà không hề thay đổi bất cứ điều gì, chỉ đơn giản bằng cách áp dụng các bản vá bảo mật được khuyến nghị .
Hướng dẫn cách khắc phục lỗi 0xC000000D từng bước một
Trong khi chờ Microsoft phát hành bản vá lỗi chính thức, giải pháp duy nhất là sử dụng thủ thuật kỹ thuật để vô hiệu hóa tính năng gây lỗi. Nếu bạn quản lý máy tính văn phòng, bạn có hai lựa chọn tùy thuộc vào công cụ quản trị bạn đang sử dụng:
- Thông qua Lệnh Chính sách Nhóm (GPO): Bạn cần truy cập vào Cấu hình máy tính > Cài đặt Windows > Cài đặt bảo mật > Chính sách cục bộ > Tùy chọn bảo mật. Tại đó, hãy tìm tùy chọn đó. Cấu hình loại Chế độ phê duyệt quản trị viên và thay đổi nó thành Chế độ phê duyệt quản trị viên cũ (Mặc định)Nếu bạn thực hiện việc này trên một máy tính cá nhân độc lập, bạn có thể sử dụng lệnh sau: secpol.msc.
- Thông qua Microsoft Intune: Trong danh mục cấu hình, bạn phải đặt lại tham số. Kiểm soát tài khoản người dùng Loại quản trị viên Chế độ phê duyệt trong phạm vi các tùy chọn bảo mật chính sách địa phương.
Điều quan trọng cần nhớ là phải khởi động lại máy tính sau khi thực hiện thay đổi, nếu không hệ thống sẽ tiếp tục bỏ qua các sửa đổi. Hãy nhớ rằng bằng cách này, máy tính của bạn sẽ mất đi lớp bảo mật bổ sung, vì vậy tốt nhất bạn chỉ nên áp dụng nó cho các máy chủ nhận kết nối từ người dùng thông thường và kích hoạt lại khi bản cập nhật chính thức được phát hành.
Các nguyên nhân khác có thể gây ra lỗi truy cập máy tính từ xa
Nếu lỗi không chính xác là 0xC000000D, hoặc nếu các bước khắc phục sự cố trước đó không hiệu quả, bạn có thể đang gặp phải sự cố kết nối kinh điển hơn. Trước tiên, hãy đảm bảo máy tính từ xa đã bật Giao thức Máy tính Từ xa (RDP) trong Cài đặt > Hệ thống > Máy tính Từ xa. Đôi khi, việc tạm thời tắt Xác thực Cấp độ Mạng (NLA) giúp chẩn đoán xem sự cố có liên quan đến thông tin đăng nhập hay không.
Một tình huống rất phổ biến khác trong các công ty là trùng lặp mã định danh bảo mật (SID) . Điều này xảy ra khi các máy được tạo từ ảnh sao chép mà không chạy quy trình Sysprep với tùy chọn /generalize . Nếu hai máy tính có cùng SID, hệ thống xác thực Kerberos sẽ hoạt động sai và chặn kết nối. Giải pháp ở đây là chạy sysprep.exe trong C:\Windows\System32\Sysprep, chọn hộp generalize và khởi động lại, mặc dù điều này sẽ yêu cầu máy tính phải kết nối lại với miền.
Bạn cũng nên kiểm tra Tường lửa Windows hoặc phần mềm chống virus của bên thứ ba. Nếu bạn nghi ngờ cổng 3389 bị chặn, bạn có thể sử dụng công cụ psping để kiểm tra xem máy tính từ xa có phản hồi hay không. Nếu bạn thấy tỷ lệ mất kết nối 100%, rất có thể một quy tắc tường lửa đang chặn lưu lượng truy cập.
Kiểm tra kỹ thuật nâng cao
Đối với những người muốn truy cập trực tiếp vào Registry hoặc Console, có một số bước kiểm tra nhanh. Trong Registry Editor, hãy kiểm tra khóa fDenyTSConnections trong HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. Nếu giá trị là 1, RDP bị vô hiệu hóa; hãy thay đổi nó thành 0 để kích hoạt . Ngoài ra, hãy xác minh rằng các dịch vụ TermService (Remote Desktop Services) và UmRdpService đang chạy.
Trong trường hợp nghiêm trọng, vấn đề có thể nằm ở chứng chỉ tự ký RDP . Nếu chứng chỉ bị lỗi, bạn có thể xóa nó khỏi Bảng điều khiển Chứng chỉ (MMC) trong thư mục Máy tính từ xa và khởi động lại dịch vụ để Windows tự động tạo chứng chỉ mới . Ngoài ra, hãy đảm bảo kiểm tra xem thư mục MachineKeys có quyền truy cập chính xác để hệ thống có thể ghi các chứng chỉ này hay không.
Để giải quyết vấn đề này, bước đầu tiên là xác định xem sự cố bắt nguồn từ tính năng bảo vệ quản trị viên mới của Windows 11, vốn yêu cầu quay lại chế độ phê duyệt cũ, hay liên quan đến các vấn đề về mạng, chứng chỉ, hoặc SID trùng lặp do sao chép ảnh hệ thống. Mặc dù lỗi 0xC000000D có thể được khắc phục bằng cách điều chỉnh chính sách kiểm soát tài khoản người dùng, nhưng các lỗi kết nối chung được giải quyết bằng cách kiểm tra cổng 3389, bật dịch vụ trong registry và đảm bảo tường lửa không chặn truy cập.