رفض تسجيل الدخول إلى VPN: افحص إصدار البنية قبل السجل
قيمة مفقودة في السجل قد تكون هي التي تفرض قيمتها الافتراضية بعد تحديث. اقرأ أولًا مستوى البنية والسياسة الفعّالة وحدثًا واحدًا مطابقًا.
يُرفض تسجيل الدخول على جهاز لم يحرّر فيه أحد السجل، ويقول جواب المنتدى إن عليك إضافة قيمة غير موجودة. الغياب ليس هو النتيجة. يطبّق Windows القيم الافتراضية، ويمكن أن تتغيّر القيمة الافتراضية مع تحديث مثبّت، ولذلك قد تكون السياسة الفعّالة على الجهاز أشدّ مما يوحي به السجل.
ابدأ بالخطأ الذي عرضه العميل فعليًا
اقرأ الرسالة لا الملخّص الذي وصل إليك من طرف ثانٍ. مطالبة تعود فورًا، ومهلة تنتهي بعد تشكّل النفق، وفشل لا يظهر إلا حين يحاول الاتصال إعادة استخدام الحساب المسجّل، ثلاث حالات مختلفة. الثالثة وحدها تتعلق بتسجيل الدخول الموحّد أصلًا، والأوليان لن يصلحهما شيء في هذا المقال.
الطبقة التي اتخذت القرار تحدّد أي سجل يجيب عليه. هذه الملاحظات الأربع تشير إلى أربعة مالكين مختلفين:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
اكتب النص الدقيق والدقيقة وسياق الحساب في التذكرة. كون المحاولة تفاعلية أو تلقائية يحدّد أي مكوّن في Windows أجرى النداء، والتقرير الذي يقول إن VPN معطّل غالبًا يصف موقعًا داخليًا مفقودًا لا بيانات اعتماد مرفوضة.
اقرأ السياسة الفعّالة، لا القيمة المفقودة
حدّد مستوى البنية والتحديث أولًا، لأن الافتراضي لتوليد بيانات الاعتماد المشتقة من NTLMv1 تغيّر في إصدارات Windows 11 وWindows Server 2025 المذكورة. مع إيقاف Credential Guard وعدم ضبط BlockNtlmv1SSO، فإن تحديثًا صدر في 13 أكتوبر 2026 أو بعده ينقل السلوك من التدقيق إلى الإنفاذ دون أن ينشئ تلك القيمة أبدًا. لا يظهر شيء في السجل، ويصبح الجهاز أشدّ مما قصده آخر مسؤول. وهذا هو السبب الكامل وراء أن البحث في السجل يثبت القليل جدًا هنا.
أبقِ الحدود منفصلة أثناء قراءة المخرجات. LmCompatibilityLevel هو مستوى استجابة المصادقة الشبكية، ويحدّد أي تحدٍّ واستجابة سيرسلهما الجهاز إلى خادم؛ وليس هو الضابط الذي يحكم توليد بيانات الاعتماد لتسجيل الدخول الموحّد، لذا فإن خفضه لا يعيد تسجيل الدخول. أما ما إذا كان الجهاز سيتحدّث NTLMv1 كبروتوكول شبكة أصلًا فهو حدّ ثالث، وإصدارات Windows 11 وServer 2025 الحالية أسقطته بالفعل. وCredential Guard، وهو الرابع، يحمي الأسرار على الجهاز.
اربط محاولة واحدة بحدث واحد
أعد إنتاج الفشل مرة واحدة، ودوّن الدقيقة، ثم اسحب الأدلة المحلية في جلسة واحدة. ثلاثة أوامر تغطي البنية والقيمة الفعّالة وسجل NTLM التشغيلي حيث يُسجَّل توليد بيانات اعتماد موحّد محظور:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Messageحدث في اللحظة نفسها التي وقع فيها الفشل هو دليل. أما حدث من الأمس، أو من حساب آخر، أو سجل بلا أي إدخال فليس دليلًا، والحالة الفارغة تستحق أن تُسجَّل فارغة لا كدليل غائب. إرشادات Microsoft لتغييرات NTLMv1 تسمّي معرّف الحدث لتوليد بيانات اعتماد موحّد محظور، فقارن Id به بدلًا من التخمين من نص الرسالة.
أبقِ رسالة العميل ورؤية البوابة للمحاولة نفسها معًا. حظر محلي لتوليد بيانات الاعتماد، ورفض حساب بعيد، ومسار خاص مفقود بعد تسجيل دخول ناجح لها ثلاثة مالكين مختلفين، والأول وحده مسألة سياسة Windows. نظّف الحدث قبل أن يغادر الفريق: الطابع الزمني ومعرّف الحدث يجيبان عادة عن السؤال دون تفاصيل الحساب.
انتقل إلى طريقة تسجيل دخول مدعومة
إذا كانت السياسة الفعّالة هي الحظر، فالجواب مسار مصادقة مدعوم لا عكس هادئ للافتراضي. المصادقة المستندة إلى الشهادات هي الوجهة المعتادة حيث يدعمها النشر، وهي تحتاج إلى تسجيل وتوزيع ثقة وبوابة تقبل الشهادات. إرشادات Microsoft بشأن تغييرات NTLMv1 المقبلة هي الوثيقة التي تُقتبس عند مراجعة الحالة.
تعطيل Credential Guard كتجربة يزيل الحماية دون تقديم تسجيل دخول بديل، والقيود الموثّقة على بيانات الاعتماد القابلة لإعادة الاستخدام هي سبب كون ذلك قرار تصميم لا خطوة تشخيصية. إذا سُمح باستثناء مؤقت، فأعطه نطاقًا ومالكًا وتاريخ إحالة، واحتفظ بمسار إدارة مستقل إلى الجهاز تحسّبًا لأن يقفل التغيير عليك الاتصال الذي تحتاجه. اختبار القبول هو المصادقة المقصودة والموارد خلفها، لا اختفاء رمز خطأ محلي واحد.