fix-DAK-PC/docs/TROUBLESHOOTING.md

Troubleshooting — RDP / TLS / сертификаты

События

ID	Источник	Значение
1057	RemoteConnectionManager / System	Ошибка SSL/TLS RDP; часто «неправильный алгоритм» или «не удалось создать самозаверяющий сертификат»
36870	Schannel	SEC_E_ALGORITHM_MISMATCH (0x8009030d) — нет общего алгоритма с клиентом или нет валидного cert
258	Operational	Прослушиватель RDP-Tcp запущен (норма)
261	Operational	Входящее соединение на listener (норма)

Hash BEFORE есть, Hash AFTER пустой

TermService отверг сертификат при старте. Возможные причины:

• Просроченный cert (лечится заменой).
• Нет доступа к приватному ключу → фаза ACL в Fix-RdpTls.ps1.
• CNG vs CSP — скрипт пробует RSA\MachineKeys.
• Повреждение Schannel → repair install.

Нативный cert не создаётся после reboot

Store Remote Desktop пустой после цикла «выкл RDP → очистка → вкл RDP → reboot»:

• Запустите Fix-RdpTls.ps1 фазы 4–6 локально.
• Если не помогло — repair install.

GPO Terminal Services

Путь: HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services

На DAK-PC и рабочих ПК может быть:

• LicenseServers = 192.168.160.150
• LicensingMode = 4

RDP при этом работал на других ПК — не единственная причина отказа DAK-PC. Убирать из GPO для Win10 Pro всё равно желательно (задача админа AD).

Локальное удаление откатывается gpupdate /force.

Клиент «внутренняя ошибка»

1. Сброс кэша cert на клиенте (см. RETURN-TO-TLS.md).
2. Проверка 1057/36870 на сервере в момент подключения.
3. Сравнение SecurityLayer с рабочим ПК.

WinRM vs RDP

WinRM может работать при сломанном RDP TLS — это нормально. Починка RDP не требует локальной консоли, но локальный запуск скриптов надёжнее для cert/ACL.

Логи скриптов

• %ProgramData%\RdpRepair\report-*.txt — диагностика
• %ProgramData%\RdpRepair\repair-*.log — ход ремонта