讓 Windows XP SP3 支援網路層級驗證（NLA）連線 Vista/Win7 遠端桌面

背景與問題

XP SP3 內建遠端桌面更新至 6.1 版，理論支援 NLA（Network Level Authentication，連線前驗證）。但預設未啟用，導致連線 Vista/Win7（預設僅允許 NLA 連線）失敗。網路常見解法是降級 Vista 設為「允許任意版本連線」，但這屬於倒退做法。微軟工程師確認 SP3 確實支援 NLA，需透過註冊表啟用。

啟用 NLA 註冊表步驟（參考 KB951608）

1. 開啟 regedit，定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa。
2. 右鍵修改 SecurityProviders，在數值資料末尾加入 tspkg（保留原有資料）。
3. 定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders。
4. 右鍵修改 SecurityProviders，在數值資料末尾加入 credssp.dll（保留原有資料）。
5. 關閉編輯器，重新開機。

實測與後續問題

重開機後 XP 遠端桌面確認顯示「支援網路層級驗證」。輸入 Vista 主機 IP 連線，提示驗證，但出現錯誤 0x80090303。經微軟工程師協助抓包分析，發現原因在於：

• Vista 加入網域，XP 未加域且 DNS 不同、不在同網段。
• 使用 IP 直連導致 Kerberos 驗證失敗（SPN 以電腦名稱註冊，必須用電腦名稱連線）。

最終解決方案

在 XP 的 C:\Windows\System32\drivers\etc\hosts 加入網域控制站與 Vista 主機的網域名稱解析，改用電腦名稱（而非 IP）連線，即可成功建立 NLA 遠端桌面連線。

核心結論

1. XP SP3 需修改兩處 SecurityProviders 註冊表啟用 NLA 元件。
2. 跨網域/工作群組環境下，NLA 強制要求使用電腦名稱（FQDN）而非 IP 連線，以滿足 Kerberos SPN 機制。