Messaggio di errore "Impossibile contattare l'autorità di sicurezza locale" quando l'accesso è limitato

Sto cercando di definire logonHours per gli utenti di Desktop remoto su Windows Server 2012; È richiesta l'autenticazione a livello di rete per le connessioni remote. Quando un account con accesso limitatoHours (definito in ActiveDirectory) tenta di connettersi in un momento negato, il client (Connessione desktop remoto) risponde con:

An authentication error has occurred.
The Local Security Authority cannot be contacted.

Se l'account tenta di accedere nei momenti consentiti, tutto funziona correttamente. Se non è richiesta l'autenticazione a livello di rete, il client si connette al server, il che nega l'accesso, ma visualizza il messaggio di errore molto più piacevole "Il tuo account ha limiti di tempo ..."

C'è un modo per richiedere ancora NLA, ma presentare l'avviso più amichevole sulle restrizioni temporali? Mi manca un'impostazione dei criteri o un'altra configurazione?

Il client RDP visualizzerà un messaggio di errore utile e utilizzabile se lo si esegue da una macchina collegata a un dominio di fiducia e il client RDP deve essere in grado di risolvere il nome host del server RDP (host di sessione).

• Il client RDP deve essere unito a un dominio che si fida del dominio in cui si trova il server RDP
• Data e ora devono essere sincronizzate
• Connettersi al server RDP utilizzando il nome host o FQDN, non il suo indirizzo IP

Questo errore si verificherà se uno dei requisiti di cui sopra non viene soddisfatto.

In questo caso, ciò è effettivamente causato dalla sicurezza aggiuntiva fornita da NLA. Questa è una caratteristica . Un computer non considerato attendibile dal dominio del server RDP non dovrebbe essere in grado di ottenere alcun tipo di informazione sull'account utilizzato.

Il messaggio di errore "Impossibile contattare l'autorità di sicurezza locale" impedisce la perdita di informazioni sull'account non valido, scaduto, non attendibile, limitato nel tempo o qualsiasi altra cosa che un utente malintenzionato può utilizzare per identificare account validi, su computer non attendibili che eseguono il client RDP .

Si richiede un messaggio di errore a livello di applicazione ma si desidera una funzionalità di sicurezza a livello di rete. Non puoi avere la tua torta e mangiarla anche tu.

Il livello di rete non può connettersi al livello applicazione. Quindi il messaggio che ricevi è completamente accurato.

Lo stesso messaggio trovato è apparso da una connessione RDP Win 7 non riuscita a un server Win 2012 R2. Ho testato una connessione allo stesso server utilizzando lo stesso account dal mio macbook utilizzando Royal TSX per RDP e ho ricevuto un avviso che la password era scaduta. Reimposta la password e l'utente è stato in grado di accedere tramite la sessione RDP di Win 7.

Ciò significa che il servizio Workstation è stato disabilitato. Riattivalo e dovresti essere pronto per partire.

Avvia una riga di comando con i privilegi di amministratore esegui il comando seguente:

sc config LanmanWorkstation start= auto
sc start LanmanWorkstation

Nota che c'è uno spazio dopo start = auto