登录时间受限时收到“无法联系本地安全机构”错误消息

Question

我正在尝试为 Windows Server 2012 上的远程桌面用户定义登录时间；远程连接需要网络级身份验证。当登录时间受限的帐户（在 ActiveDirectory 中定义）尝试在被拒绝的时间进行连接时，客户端（远程桌面连接）会响应：

An authentication error has occurred.
The Local Security Authority cannot be contacted.

如果该帐户尝试在允许的时间登录，则一切正常。如果不需要网络级身份验证，则客户端连接到服务器，服务器拒绝登录，但会显示更好的错误消息“您的帐户有时间限制...”

是否有某种方法仍然需要 NLA，但提出有关时间限制的更友好的通知？我是否缺少策略设置或其他一些配置？

Answer 1

如果您从加入信任域的计算机运行 RDP 客户端，则 RDP 客户端将显示一条友好且可用的错误消息，并且 RDP 客户端必须能够解析 RDP 服务器（会话主机）的主机名。

• RDP 客户端必须加入信任 RDP 服务器所在域的域
• 日期和时间必须同步
• 使用主机名或 FQDN（而不是其 IP 地址）连接到 RDP 服务器

如果不满足上述任何一个要求，就会出现此错误。

在这种情况下，这实际上是由 NLA 提供的额外安全性造成的。这是一个特点。不受 RDP 服务器域信任的计算机不应获得有关正在使用的帐户的任何类型的信息。

错误消息“无法联系本地安全机构”可防止有关用户帐户是否无效、过期、不受信任、有时间限制或攻击者可能用来识别有效帐户的其他内容的信息泄露到运行 RDP 客户端的不受信任计算机。