Windows XP SP3 啟用 NLA（網路層級驗證）支援遠端桌面：登錄檔修改完整教學

Windows Vista/Server 2008 起，遠端桌面協定（RDP）支援網路層級驗證（NLA，Network Level Authentication）。啟用 NLA 後，用戶端必須在建立完整 RDP 連線前完成身分驗證，不再顯示遠端登入畫面，有效防止惡意窮舉攻擊與資訊洩漏。Windows XP SP3 透過修改登錄檔即可啟用 NLA 客戶端支援，連接已啟用 NLA 的遠端主機。

NLA 優勢

• 驗證前置：減少未驗證連線佔用伺服器資源。
• 資訊隱藏：不暴露遠端系統登入介面（版本、修補狀態等）。
• 防暴力破解：大幅降低 RDP 暴力破解成功率。

驗證目前 RDC 版本與 NLA 支援

1. 開啟「遠端桌面連線」（mstsc.exe）。
2. 左上角圖示→「關於」。
3. 確認版本 ≥ 6.1（支援 RDP 6.1 即支援 NLA）。

登錄檔修改步驟（建議先備份登錄檔）

1. 「執行」輸入 regedit 開啟登錄編輯程式。
2. 定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa。
3. 右側雙擊 Security Packages（多重字串值），在數據末尾新增一行 tspkg，確定。
4. 定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders。
5. 右側雙擊 SecurityProviders（字串值），在數值末尾加入 , credssp.dll（注意：半形逗號後接一個空格），確定。
6. 重新啟動電腦使設定生效。

常見問題與排解

• 重開機前嘗試連線會出現 0x507 錯誤：必須完成重新啟動，credssp.dll 才會正確載入。
• 連線仍失敗：確認遠端主機已啟用「只允許執行網路層級驗證的遠端桌面連線」（系統內容→遠端索引標籤）。
• 用戶端為 Vista/7/8/10：原生支援 NLA，無需額外設定。
• 不想暴露伺服器版本：啟用 NLA 後，未驗證連線無法取得開機畫面資訊，提升資安。

安全性建議

• 生產環境伺服器強烈建議啟用 NLA，並搭配防火牆限制 RDP 連接埠（預設 3389）來源 IP。
• 考慮更改 RDP 預設連接埠、啟用帳號鎖定原則、使用強式密碼/憑證驗證。
• XP SP3 為客戶端支援 NLA，若 XP 作為遠端主機（被連線端），無法提供 NLA 保護，建議升級至支援中的作業系統。