VPN-aanmelding verwerp: ondersoek eers die bouvlak voordat jy die register nagaan
’n Ontbrekende registerwaarde kan ná ’n opdatering sy eie verstekwaarde afdwing. Lees eers die bouvlak, die doeltreffende beleid en een ooreenstemmende gebeurtenis.
Die aanmelding word verwerp op ’n masjien waar niemand die register geredigeer het nie, en die forumantwoord sê jy moet ’n waarde byvoeg wat nie daar is nie. Afwesigheid is nie die bevinding nie. Windows pas verstekwaardes toe, ’n verstekwaarde kan met ’n geïnstalleerde opdatering verander, en die doeltreffende beleid op die toestel kan dus strenger wees as wat die register aandui.
Begin by die fout wat die kliënt werklik gewys het
Lees die boodskap, nie die opsomming wat jou tweedehands bereik het nie. ’n Aanvraag wat onmiddellik terugkeer, ’n tydsverloop nadat die tonnel gevorm is, en ’n fout wat eers verskyn wanneer die verbinding die aangemelde rekening probeer hergebruik, is drie verskillende situasies. Net die derde het enigsins met enkel-aanmelding te make, en die eerste twee sal nie deur enigiets in hierdie artikel reggemaak word nie.
Die laag wat die besluit geneem het, bepaal watter log dit beantwoord. Hierdie vier waarnemings wys na vier verskillende eienaars:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Skryf die presiese teks, die minuut en die rekeningkonteks in die kaartjie. Of die poging interaktief of outomaties was, bepaal watter Windows-komponent die oproep gedoen het, en ’n verslag wat sê die VPN is stukkend, blyk dikwels ’n ontbrekende interne webwerf te beskryf eerder as ’n verwerpte geloofsbrief.
Lees die doeltreffende beleid, nie die ontbrekende waarde nie
Stel eers die bou- en opdateringsvlak vas, want die verstek vir geloofsbriefgenerering afgelei van NTLMv1 het in die gelyste Windows 11- en Windows Server 2025-vrystellings verander. Met Credential Guard af en BlockNtlmv1SSO ongestel, skuif ’n opdatering wat op of ná 13 Oktober 2026 vrygestel is die gedrag van Oudit na Afdwing sonder om ooit daardie waarde te skep. Niks verskyn in die register nie, en die toestel word strenger as wat die laaste administrateur bedoel het. Dit is die hele rede waarom ’n registernaslaag hier so min bewys.
Hou die grense uitmekaar terwyl jy die uitset lees. LmCompatibilityLevel is die vlak van netwerk-verifikasierespons, wat bepaal watter uitdaging en respons die masjien na ’n bediener sal stuur; dit is nie die beheer wat geloofsbriefgenerering vir enkel-aanmelding bepaal nie, so om dit te verlaag herstel nie die aanmelding nie. Of die toestel NTLMv1 hoegenaamd as netwerkprotokol sal praat, is ’n derde grens, en die huidige Windows 11- en Server 2025-vrystellings het dit reeds laat vaar. Credential Guard, die vierde, beskerm geheime op die toestel.
Korreleer een poging met een gebeurtenis
Herhaal die fout een keer, noteer die minuut en haal dan die plaaslike bewyse in een sitting bymekaar. Drie opdragte dek die bouvlak, die doeltreffende waarde en die NTLM-bedryfslog waar ’n geblokkeerde generering van enkel-aanmeldingsgeloofsbriewe aangeteken word:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Message’n Gebeurtenis op dieselfde oomblik as die fout is bewys. ’n Gebeurtenis van gister, van ’n ander rekening, of ’n log sonder enige inskrywing is nie, en die leë geval is die moeite werd om as leeg aan te teken eerder as as afwesige bewys. Die Microsoft-riglyne vir die NTLMv1-veranderinge noem die gebeurtenisidentifiseerder vir geblokkeerde generering van enkel-aanmeldingsgeloofsbriewe, so vergelyk die Id daarmee eerder as om uit die boodskapteks te raai.
Hou die kliënt se eie boodskap en die gateway se siening van dieselfde poging saam. ’n Plaaslike blok vir geloofsbriefgenerering, ’n afgeleë rekeningverwerping en ’n ontbrekende private roete ná ’n suksesvolle aanmelding het drie verskillende eienaars, en net die eerste is ’n Windows-beleidsvraag. Saniteer die gebeurtenis voordat dit die span verlaat: ’n tydstempel en ’n gebeurtenis-Id beantwoord gewoonlik die vraag sonder die rekeningbesonderhede.
Stap oor na ’n ondersteunde aanmeldingsmetode
As die doeltreffende beleid die blok is, is die antwoord ’n ondersteunde verifikasiepad eerder as ’n stille terugdraai van die verstek. Sertifikaatgebaseerde verifikasie is die gewone bestemming waar die ontplooiing dit ondersteun, en dit vereis inskrywing, vertrouedistribusie en ’n gateway wat die sertifikaat aanvaar. Die Microsoft-riglyne oor die komende NTLMv1-veranderinge is die dokument om aan te haal wanneer die saak hersien word.
Om Credential Guard as ’n eksperiment te deaktiveer verwyder beskerming sonder om ’n plaasvervangende aanmelding te verskaf, en die gedokumenteerde beperkings op herbuikbare geloofsbriewe is die rede waarom dit ’n ontwerpbesluit is eerder as ’n diagnostiese stap. As ’n tydelike uitsondering goedgekeur word, gee dit ’n omvang, ’n eienaar en ’n aftreedatum, en hou ’n onafhanklike administrasieroete na die masjien ingeval die verandering jou uitsluit uit die verbinding wat jy nodig het. Die aanvaardingstoets is die beoogde verifikasie plus die hulpbron daarby, nie die verdwyning van een plaaslike foutkode nie.