VPN girişi rədd edildi: reyestrdən əvvəl buraxılış səviyyəsini yoxlayın
Çatışmayan reyestr dəyəri yeniləmədən sonra öz standart dəyərini tətbiq edə bilər. Əvvəlcə buraxılış səviyyəsini, qüvvədə olan siyasəti və uyğun bir hadisəni oxuyun.
Giriş heç kimin reyestri redaktə etmədiyi maşında rədd edilir və forum cavabı orada olmayan bir dəyərin əlavə edilməsini deyir. Olmamaq tapıntı deyil. Windows standart dəyərləri tətbiq edir, standart dəyər quraşdırılmış yeniləmə ilə dəyişə bilər və buna görə cihazdakı qüvvədə olan siyasət reyestrin göstərdiyindən daha sərt ola bilər.
Müştərinin həqiqətən göstərdiyi xətadan başlayın
Sizə ikinci əldən gələn xülasəni deyil, mesajı oxuyun. Dərhal qayıdan sorğu, tunel qurulandan sonra baş verən fasilə və yalnız bağlantı daxil olmuş hesabdan yenidən istifadə etməyə çalışanda görünən uğursuzluq üç fərqli vəziyyətdir. Yalnız üçüncüsü vahid girişlə bağlıdır və ilk ikisini bu məqalədəki heç nə düzəltməyəcək.
Qərarı verən qat onun hansı jurnalla cavablandığını müəyyən edir. Bu dörd müşahidə dörd fərqli sahibə işarə edir:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Dəqiq mətni, dəqiqəni və hesab kontekstini bilete yazın. Cəhdin interaktiv və ya avtomatik olması hansı Windows komponentinin zəng etdiyini müəyyən edir və VPN pozulub deyən hesabat çox vaxt rədd edilmiş etimadnamə deyil, çatışmayan daxili saytı təsvir edir.
Çatışmayan dəyəri deyil, qüvvədə olan siyasəti oxuyun
Əvvəlcə buraxılış və yeniləmə səviyyəsini müəyyən edin, çünki NTLMv1 əsaslı etimadnamə yaradılması üçün standart dəyər sadalanan Windows 11 və Windows Server 2025 buraxılışlarında dəyişdi. Credential Guard söndürülmüş və BlockNtlmv1SSO təyin edilməmiş halda, 13 oktyabr 2026 və ya sonrasında buraxılmış yeniləmə davranışı Auditdən Enforce-a keçirir və o dəyəri heç vaxt yaratmır. Reyestrdə heç nə görünmür və cihaz son administratorun niyyətindən daha sərt olur. Bu, reyestr axtarışının burada niyə bu qədər az sübut etdiyinin bütün səbəbidir.
Çıxışı oxuyarkən sərhədləri ayrı saxlayın. LmCompatibilityLevel şəbəkə autentifikasiyası cavab səviyyəsidir, maşının serverə hansı çağırış və cavabı göndərəcəyini müəyyən edir; vahid giriş etimadnaməsinin yaradılmasını idarə edən nəzarət deyil, ona görə onu aşağı salmaq girişi bərpa etmir. Cihazın NTLMv1-i ümumiyyətlə şəbəkə protokolu kimi danışıb-danışmayacağı üçüncü sərhəddir və mövcud Windows 11 və Server 2025 buraxılışları onu artıq çıxarıb. Credential Guard, dördüncü, cihazdakı sirləri qoruyur.
Bir cəhdi bir hadisə ilə əlaqələndirin
Uğursuzluğu bir dəfə təkrarlayın, dəqiqəni qeyd edin, sonra yerli sübutları bir oturuşda toplayın. Üç əmr buraxılışı, qüvvədə olan dəyəri və bloklanmış vahid giriş etimadnaməsi yaradılmasının qeydə alındığı NTLM əməliyyat jurnalını əhatə edir:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageUğursuzluqla eyni anda baş verən hadisə sübutdur. Dünəndən, başqa hesabdan gələn hadisə və ya heç bir qeydi olmayan jurnal sübut deyil və boş hal itkin sübut kimi deyil, boş kimi qeyd edilməyə dəyər. NTLMv1 dəyişiklikləri üçün Microsoft təlimatı bloklanmış vahid giriş etimadnaməsi yaradılması üçün hadisə identifikatorunu adlandırır, ona görə Id-ni onunla müqayisə edin, mesaj mətnindən təxmin etməyin.
Müştərinin öz mesajını və şlüzün eyni cəhdə baxışını birlikdə saxlayın. Yerli etimadnamə yaradılması bloku, uzaq hesab rəddi və uğurlu girişdən sonra çatışmayan şəxsi marşrutun üç fərqli sahibi var və yalnız birincisi Windows siyasəti məsələsidir. Hadisə komandanı tərk etməzdən əvvəl təmizləyin: vaxt möhürü və hadisə Id-si adətən sualı hesab detalları olmadan cavablandırır.
Dəstəklənən giriş metoduna keçin
Qüvvədə olan siyasət blokdursa, cavab standartın səssiz geri qaytarılması deyil, dəstəklənən autentifikasiya yoludur. Sertifikat əsaslı autentifikasiya yerləşdirmənin dəstəklədiyi yerlərdə adi hədəfdir və qeydiyyat, etimad paylanması və sertifikatları qəbul edən şlüz tələb edir. NTLMv1-də qarşıdan gələn dəyişikliklər üzrə Microsoft təlimatı işə baxılarkən sitat gətirilməli sənəddir.
Credential Guard-ın eksperiment kimi söndürülməsi əvəzedici giriş təqdim etmədən qorunmanı aradan qaldırır və təkrar istifadə edilə bilən etimadnamələrə dair sənədləşdirilmiş məhdudiyyətlər bunun diaqnostik addım deyil, dizayn qərarı olmasının səbəbidir. Müvəqqəti istisnaya icazə verilirsə, ona əhatə dairəsi, sahib və ləğv tarixi verin və dəyişiklik sizi lazım olan bağlantıdan kənarda qoyarsa, maşına müstəqil idarəetmə marşrutu saxlayın. Qəbul testi nəzərdə tutulan autentifikasiya və onun arxasındakı resursdur, bir yerli xəta kodunun yox olması deyil.