LmCompatibilityLevel — гэта палітыка Windows, а не рашэнне для VPN

Нехта не можа дабрацца да файлавага рэсурсу праз VPN, чытае, што зніжэнне LmCompatibilityLevel выпраўляе праблемы NTLM, і змяняе яго на агульным серверы. Наступнай раніцай іншыя праграмы пачынаюць збойваць, а першапачатковая праблема застаецца. Гэты параметр ніколі не быў перамыкачом для асобнага тунеля; гэта заява на ўзроўні ўсёй машыны пра тое, якія адказы аўтэнтыфікацыі сістэма будзе адпраўляць і прымаць. Змена яго дзеля выпраўлення аднаго ўваходу перапісвае правілы для кожнага ўваходу, які выконвае машына.

Чытанне дакументаваных узроўняў — самы хуткі спосаб перастаць ставіцца да значэння палітыкі як да магічнага ліку.

Тры ўзроўні, тры розныя абяцанні

Узровень 1 прымушае кліент адпраўляць адказы LM і NTLM, выкарыстоўваючы бяспеку сеансу NTLMv2, калі гэта дазваляе перагавор. Узровень 3 прымушае кліент адпраўляць толькі адказы NTLMv2, што не тое ж самае, як адхіленне кожнага састарэлага адказу на баку атрымальніка. Узровень 5 трымае кліент на NTLMv2 і дадае дакументаванае адхіленне LM і NTLMv1 кантролерам дамена. Тры лікі, і розніца паміж імі — гэта рашэнне палітыкі, а не перавага.

Гэтыя адрозненні тлумачаць, чаму капіяванне значэння з працоўнага выпадку ненадзейнае. Перавесці няправільна наладжаны кліент з 1 на зацверджаны базавы ўзровень можа быць правільным. А вось перавесці ўзмоцненае разгортванне з 5 уніз да 3, таму што нейкая галіна форуму згадала 3, — гэта паслабленне мяжы, якую хтосьці абраў свядома, і яно дзейнічае для кожнай службы, з якой размаўляе машына.

Чытайце дзейную палітыку, а не адно значэнне рэестра

Погляд толькі для чытання на лакальнае значэнне — разумная адпраўная кропка: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Адсутнасць значэння не азначае, што дзейная палітыка роўная нулю, бо палітыка дамена або лакальная палітыка бяспекі можа задаць яго ў іншым месцы, а роля машыны змяняе тое, што яна робіць з гэтым лікам.

Праверце кіруемую палітыку, ролю сістэмы і фактычную зборку, перш чым рабіць высновы. Працоўная станцыя і кантролер дамена з аднолькавым значэннем паводзяць сябе па-рознаму на верхнім краі, і менавіта гэта людзі забываюць, калі параўноўваюць дзве машыны.

Вызначце, якая аўтэнтыфікацыя насамрэч не ўдалася

Праблемы з білетамі Kerberos, адхіленні NTLM і збоі допуску праз VPN патрабуюць розных доказаў. Трымайце мэтавую службу, уліковы запіс і дакладную памылку разам у адной нататцы, а затым глядзіце на тое, што запытала служба, а не на тое, што аддае перавагу кліент. Гэтая адна нататка прадухіляе самы распаўсюджаны няправільны крок — змену значэння на баку кліента ў адказ на адмову на баку сервера.

Пастаянна зніжаць палітыку, пакуль не знікне агульная памылка ўваходу, — гэта не дыягностыка; гэта змена, якая хавае доказы. Калі праграма выкарыстоўвае Kerberos, узровень сумяшчальнасці NTLM нават не з'яўляецца адпаведным элементам кіравання, і вы дарэмна паслабілі мяжу.

Некаторую падтрымку пратаколаў немагчыма аднавіць

Windows 11 24H2 і Windows Server 2025 больш не ўключаюць сеткавую аўтэнтыфікацыю NTLMv1 наогул. Ніякі лік сумяшчальнасці не верне пратакол, які зборка больш не рэалізуе, таму паніжэнне, якое дапамагло на старэйшым выпуску, проста не спрацуе на новым. Microsoft апісвае гэта выдаленне асобна ад налады палітыкі, і змешванне двух стварае парады, якія не могуць працаваць.

Звязанае, але асобнае абмежаванне датычыцца ўліковых даных, вытворных ад NTLMv1, якія выкарыстоўвае адзіны ўваход на аснове MSCHAPv2. Гэта пытанне вытворных уліковых даных, а не самога сеткавага пратаколу, і не гэтага аднаго значэння рэестра. Разглядаць усе тры як адну тэму — гэта шлях, якім арганізацыі аслабляюць адзін элемент кіравання, спрабуючы выправіць іншы.

Змяняйце праз уладальніка, затым праверце абодва кірункі

Калі выпраўленне сапраўды патрэбнае, зрабіце яго праз уладальніка палітыкі, каб базавы ўзровень заставаўся ўзгодненым, і запішыце прычыну. Затым праверце дазволеную праграму пры новым параметры і наўмысна забаронены выпадак аўтэнтыфікацыі, бо змена, якая выпраўляе адзін рэсурс і маўкліва дазваляе састарэлыя адказы ў іншым месцы, — не поспех. Працоўнае злучэнне VPN даказвае, што допуск адбыўся. Яно не правярае палітыку аўтэнтыфікацыі машыны і тым больш не паказвае, што кожная служба за ім па-ранейшаму паводзіць сябе так, як задумана.

Калі служба, якая збойвае, заснаваная на Kerberos, цалкам перастаньце глядзець на гэты параметр. Калі ж гэта састарэлая прылада, якая сапраўды не можа лепш, задокументуйце гэта выключэнне і акрэсліце яго межы, бо альтэрнатыва — ціха аслаблены базавы ўзровень, пра зацвярджэнне якога ніхто не памятае.