LmCompatibilityLevel Windows siyasətidir, VPN həlli deyil

Kimsə VPN üzərindən fayl paylaşımına çata bilmir, LmCompatibilityLevel səviyyəsini aşağı salmağın NTLM problemlərini həll etdiyini oxuyur və onu ortaq serverdə dəyişir. Növbəti səhər başqa tətbiqlər sıradan çıxır və ilkin problem hələ də qalır. Bu parametr heç vaxt tunel üzrə açar olmayıb; o, bu sistemin hansı autentifikasiya cavablarını göndərəcəyi və qəbul edəcəyi barədə maşın səviyyəsində bəyanatdır. Onu bir girişi düzəltmək üçün dəyişmək maşının həyata keçirdiyi hər giriş üçün qaydaları yenidən yazır.

Sənədləşdirilmiş səviyyələri oxumaq siyasət dəyərinə sehrli rəqəm kimi baxmaqdan qurtulmağın ən sürətli yoludur.

Üç səviyyə, üç fərqli vəd

Səviyyə 1 müştərini LM və NTLM cavabları göndərməyə məcbur edir və danışıqlar imkan verdikdə NTLMv2 sessiya təhlükəsizliyindən istifadə edir. Səviyyə 3 müştərini yalnız NTLMv2 cavabları göndərməyə məcbur edir ki, bu da qəbul edən tərəfdə hər köhnə cavabı rədd etməklə eyni şey deyil. Səviyyə 5 müştərini NTLMv2-də saxlayır və LM ilə NTLMv1-in domen nəzarətçisi tərəfindən sənədləşdirilmiş rəddini əlavə edir. Üç rəqəm və onların arasındakı fərq seçim deyil, siyasət qərarıdır.

Bu fərqlər işləyən bir halda dəyəri kopyalamağın niyə etibarsız olduğunu izah edir. Səhv konfiqurasiya olunmuş müştərini 1-dən təsdiqlənmiş əsas xəttə keçirmək düzgün ola bilər. Sərtləşdirilmiş bir quraşdırmanı 5-dən 3-ə endirmək, sadəcə forum mövzusunda 3-ün qeyd olunması səbəbindən, kiminsə qəsdən seçdiyi sərhədi yumşaldır və bunu maşının danışdığı hər xidmət üçün edir.

Bir registr dəyərini deyil, qüvvədə olan siyasəti oxuyun

Yerli dəyərə yalnız oxuma rejimində baxmaq münasib başlanğıc nöqtəsidir: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Dəyərin olmaması qüvvədə olan siyasətin sıfır olduğu anlamına gəlmir, çünki domen və ya yerli təhlükəsizlik siyasəti onu başqa yerdə təyin edə bilər və maşının rolu bu rəqəmlə nə etdiyini dəyişir.

Nəticə çıxarmazdan əvvəl idarə olunan siyasəti, sistem rolunu və faktiki buraxılışı yoxlayın. Eyni dəyərə malik iş stansiyası və domen nəzarətçisi yuxarı sərhəddə fərqli davranır və iki maşını müqayisə edərkən insanların unutduğu hissə məhz budur.

Hansı autentifikasiyanın həqiqətən uğursuz olduğunu müəyyənləşdirin

Kerberos bileti problemləri, NTLM rəddləri və VPN qəbul uğursuzluqları fərqli dəlil tələb edir. Hədəf xidməti, hesabı və dəqiq xətanı bir qeyddə birlikdə saxlayın, sonra müştərinin nəyə üstünlük verdiyinə deyil, xidmətin nə tələb etdiyinə baxın. Həmin bir qeyd ən çox rast gəlinən səhv addımın qarşısını alır: server tərəfindəki rəddə cavab olaraq müştəri tərəfindəki dəyəri dəyişmək.

Ümumi giriş xətası yox olana qədər siyasəti dəfələrlə aşağı salmaq diaqnoz deyil; dəlili gizlədən bir dəyişiklikdir. Əgər tətbiq Kerberos istifadə edirsə, NTLM uyğunluq səviyyəsi ümumiyyətlə aidiyyəti olan nəzarət deyil və siz boş yerə bir sərhədi yumşaltmısınız.

Bəzi protokol dəstəyi bərpa oluna bilməz

Windows 11 24H2 və Windows Server 2025 artıq NTLMv1 şəbəkə autentifikasiyasını ümumiyyətlə daxil etmir. Heç bir uyğunluq rəqəmi buraxılışın artıq tətbiq etmədiyi protokolu geri qaytarmır, ona görə də köhnə buraxılışda kömək edən geriləmə yeni buraxılışda sadəcə uğursuz olacaq. Microsoft həmin çıxarılmanı siyasət parametrindən ayrı sənədləşdirir və ikisini qarışdırmaq işləyə bilməyən məsləhət yaradır.

MSCHAPv2 əsaslı vahid girişin istifadə etdiyi NTLMv1-dən törəmə etimadnamələrə əlaqəli, lakin fərqli bir məhdudiyyət tətbiq olunur. Bu, törəmə etimadnamə məsələsidir, şəbəkə protokolunun özü deyil və bu bir registr dəyəri deyil. Üçünü eyni mövzu kimi qəbul etmək təşkilatların bir nəzarəti zəiflədib digərini düzəltməyə çalışarkən düşdüyü vəziyyətdir.

Onu sahibi vasitəsilə dəyişin, sonra hər iki istiqaməti sınaqdan keçirin

Əgər düzəliş həqiqətən lazımdırsa, əsas xəttin bütöv qalması üçün onu siyasətin sahibi vasitəsilə edin və səbəbini qeyd edin. Sonra yeni parametr altında icazəli bir tətbiqi və qəsdən qadağan edilmiş autentifikasiya halını sınaqdan keçirin, çünki bir paylaşımı düzəldib başqa yerdə köhnə cavablara səssizcə icazə verən dəyişiklik uğur deyil. İşləyən VPN bağlantısı qəbulun uğurlu olduğunu sübut edir. O, maşının autentifikasiya siyasətini təsdiqləmir və arxasındakı hər xidmətin hələ də dizayn edildiyi kimi davrandığını qətiyyən göstərmir.

Uğursuz xidmət Kerberos əsaslıdırsa, bu parametrə baxmağı tamamilə dayandırın. Əgər o, həqiqətən daha yaxşısını edə bilməyən köhnə bir cihazdırsa, bu istisnanı sənədləşdirin və əhatəsini müəyyənləşdirin, çünki alternativ heç kimin təsdiq etdiyini xatırlamadığı səssizcə zəiflədilmiş əsas xəttdir.