Windows XPからWindows 10／Windows Server 2012 R2／2016 RDSへRDP接続できない原因と解決策

Windows XPのサポート終了から4年以上が経過しましたが、依然として多くの企業やユーザーがこのOSを使い続けており、近い将来状況が大きく変わる様子もありません。最近、次のような問題が確認されました。Windows XPのRDPクライアントから、新しく構築したWindows Server 2012 R2のリモートデスクトップサービス（RDS）ファームへ、リモートデスクトップ経由で接続できないという問題です。同様の問題は、Windows XPからWindows 10（1803）へのRDP接続時にも発生します。

Windows XPからWindows Server 2016/2012 R2およびWindows 10へリモートデスクトップ接続できない

Windows XPユーザーからは、以下のようなRDPクライアントのエラーが報告されています。

• 「セキュリティ上のエラーのため、クライアントはリモートコンピューターに接続できませんでした。ネットワークにログオンしていることを確認し、再接続を試みてください」
• 「このコンピューターから無効なライセンスメッセージが受信されたため、リモートセッションが切断されました」
• 「リモートコンピューターにはネットワークレベル認証（NLA）が必要ですが、お使いのコンピューターは対応していません。ヘルプが必要な場合は、システム管理者またはテクニカルサポートにお問い合わせください」

この問題を解決するには、まずWindows XPが稼働するコンピューターに最新バージョンのRDPクライアントがインストールされているかどうかを確認してください。現在、Windows XPにインストールできるRDPクライアントの最大バージョンはRDP 7.0です（KB969084）。なお、この更新プログラムはWindows XP SP3にのみインストール可能で、RDPクライアント8.0以降はWindows XPではサポートされていません。この更新プログラムの適用により、半数のXPクライアントでは問題が解決しました。しかし、残りの半数のクライアントでは依然として問題が発生していました…。

RDS（Windows Server 2016/2012 R2）でRDPのネットワークレベル認証（NLA）を無効化する

Windows 2012 R2ベースのRDSサーバーに関する問題を調査した結果、Windows Server 2012以降ではNLA（Network Level Authentication：ネットワークレベル認証）への対応が必須となっていることが判明しました。クライアント側がNLAに対応していない場合、RDSサーバーには接続できません。同様に、Windows 10でリモートデスクトップを有効にすると、NLAが既定で有効になります。

以上のことから、残りのWindows XPクライアントからWindows Server 2016/2012 R2のRDSファームやWindows 10へRDP接続できるようにするには、次のいずれかの方法を選択する必要があります。

• RDS 2012 R2/2016ファームのサーバーまたはWindows 10ワークステーション側でNLAチェックを無効にする
• または、Windows XPクライアント側でNLA対応を有効にする

Windows Server 2012 R2のRDSにおいて、クライアントによるNLAの使用を必須としない設定に変更するには、サーバーマネージャーコンソールを開き、「リモートデスクトップサービス」→「コレクション」→「QuickSessionCollection」の順に移動します。次に「タスク」→「プロパティの編集」を選択し、「セキュリティ」をクリックして、「ネットワークレベル認証でリモートデスクトップを実行しているコンピューターからのみ接続を許可する」のチェックを外します。

Windows 10の場合は、システムのプロパティ（システム → リモートの設定）からネットワークレベル認証を無効化できます。「ネットワークレベル認証を持つリモートデスクトップを実行しているコンピューターからのみ接続を許可する（推奨）」のチェックを外してください。

もちろん、サーバーレベルでNLAを無効化するとシステム全体のセキュリティが低下するため、一般的には推奨されない点に注意が必要です。可能であれば、次に紹介する2つ目の方法（クライアント側でNLAを有効化する）を採用することをお勧めします。

Windows XP SP3クライアントでNLAを有効にする

RDPクライアントとして正しく動作させるには、Windows XPにService Pack 3をインストールしておく必要があります。未適用の場合は、事前にダウンロードしてインストールしてください。Service Pack 3は、RDPクライアントをバージョン6.1から7.0へアップグレードし、後述のCredential Security Service Provider（CredSSP）を含む必要なコンポーネントすべてをサポートするための必須要件です。

CredSSPおよびNLAに対応していない状態で、Windows XPから新しいバージョンのWindowsへRDP接続を試みると、次のエラーが発生します。

• 「認証エラーが発生しました。0x80090327」

NLAサポートはWindows XP SP3から搭載されましたが、既定では無効になっています。NLAおよびCredSSP認証のサポートは、レジストリを編集することでのみ有効化できます。手順は以下の通りです。

• レジストリキー HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders を開き、SecurityProviders の値を編集して、末尾に credssp.dll を追加します（既存の値との間はカンマで区切ります）。
• 次に、キー HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa の Security Packages の値に tspkg を追加します。
• これらの変更を加えた後、コンピューターを再起動します。

これらの作業を完了すると、Windows XP SP3のコンピューターから、Windows Server 2016/2012のターミナルファームやWindows 10へ、リモートデスクトップ経由でスムーズに接続できるようになるはずです。ただし、Windows XPクライアントではRDP接続のパスワードを保存できないため、接続のたびにパスワードを入力する必要がある点に留意してください。

ヒント： それとは別に、Easy Printによる印刷にも問題が発生することがあります。RDS 2012環境でWindows XPのコンピューターにEasy Printを使用して印刷させるには、クライアントが以下の要件を満たしている必要があります。

• OS：Windows XP SP3以降
• RDPクライアントのバージョン：6.1以降
• .NET Framework 3.5（インストールされている.NET Frameworkのバージョンを確認する方法）

エラー：CredSSP暗号化オラクルの修復（Encryption Oracle Remediation）

2018年、CredSSPプロトコルに深刻な脆弱性（CVE-2018-0886）が発見され、マイクロソフトのセキュリティ更新プログラムによって修正されました。さらに2018年5月、マイクロソフトは追加の更新プログラムを公開し、脆弱なバージョンのCredSSPを搭載したRDPコンピューターやサーバーへのクライアントからの接続を禁止しました（関連記事：「CredSSP Encryption Oracle RemediationによりRDP接続できない場合の対処法」参照）。この更新プログラムを適用した後に、更新プログラムがインストールされていないリモートコンピューターへRDP接続すると、次のエラーが表示されます。「認証エラーが発生しました。要求された関数はサポートされていません。」

マイクロソフトはWindows XPおよびWindows Server 2003向けにセキュリティ更新プログラムを提供していないため、これらの旧OSからサポート対象のWindowsバージョンへ接続することはできません。

Windows XPから更新済みのWindows 10/8.1/7およびWindows Server 2012/2012 R2/2008 R2へのRDP接続を有効にするには、RDPサーバー側で「暗号化オラクルの修復（Encryption Oracle Remediation）」ポリシーを有効にする必要があります（コンピューターの構成 → 管理用テンプレート → システム → 資格情報の委任）。ポリシーの値を「緩和（Mitigated）」に変更してください。ただし、ご理解の通り、この設定は安全性を損なうものである点に注意しましょう。

ヒント： Windows XPには、サポート対象バージョンであるWindows Embedded POSReady 2009向けに、CredSSPのリモートコード実行の脆弱性に対する個別の更新プログラムが存在します（KB4056564：WindowsXP-KB4056564-x86-Embedded-ENU.exe）。理論上は、Embedded POSReady向けの更新プログラムを通常版のWindows XP（x86）やWindows Server 2003にインストールすることも可能です。