Уваход у VPN адхілены: спачатку праверце зборку, а не рэестр
Адсутнае значэнне рэестра можа прымяняць уласнае значэнне па змаўчанні пасля абнаўлення. Спачатку прачытайце ўзровень зборкі, дзейную палітыку і адну адпаведную падзею.
Уваход адхіляецца на машыне, дзе ніхто не рэдагаваў рэестр, а адказ на форуме раіць дадаць значэнне, якога там няма. Адсутнасць — не знаходка. Windows прымяняе значэнні па змаўчанні, значэнне па змаўчанні можа змяніцца з усталяваным абнаўленнем, і таму дзейная палітыка на прыладзе можа быць строгай за тое, што паказвае рэестр.
Пачніце з памылкі, якую кліент сапраўды паказаў
Чытайце паведамленне, а не пераказ, які дайшоў да вас з другіх рук. Запыт, які вяртаецца адразу, тайм-аўт пасля ўтварэння тунэля і збой, які з'яўляецца толькі тады, калі злучэнне спрабуе паўторна выкарыстаць увайшоўшы ўліковы запіс, — гэта тры розныя сітуацыі. Толькі трэцяя наогул датычыцца аднаго ўваходу, і першыя дзве не выправіць нішто ў гэтым артыкуле.
Пласт, які прыняў рашэнне, вызначае, які журнал на яго адказвае. Гэтыя чатыры назіранні паказваюць на чатырох розных уладальнікаў:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Запішыце дакладны тэкст, хвіліну і кантэкст уліковага запісу ў заяўку. Інтэрактыўная спроба ці аўтаматычная — гэта вызначае, які кампанент Windows зрабіў выклік, а справаздача «VPN зламаны» часта апісвае адсутны ўнутраны сайт, а не адхіленыя ўліковыя дадзеныя.
Чытайце дзейную палітыку, а не адсутнае значэнне
Спачатку вызначце ўзровень зборкі і абнаўлення, бо значэнне па змаўчанні для генерацыі ўліковых дадзеных на аснове NTLMv1 змянілася ў пералічаных выпусках Windows 11 і Windows Server 2025. Пры выключаным Credential Guard і незададзеным BlockNtlmv1SSO абнаўленне, выпушчанае 13 кастрычніка 2026 года або пазней, пераводзіць паводзіны з Аўдыту ў Прымусовае выкананне, ніколі не ствараючы гэтага значэння. У рэестры нічога не з'яўляецца, і прылада робіцца строгай за намер апошняга адміністратара. Гэта і ёсць прычына, чаму пошук у рэестры тут так мала даказвае.
Трымайце межы асобна, чытаючы вывад. LmCompatibilityLevel — гэта ўзровень адказу сеткавай аўтэнтыфікацыі, які вызначае, які выклік і адказ машына адправіць серверу; ён не кіруе генерацыяй уліковых дадзеных для аднаго ўваходу, таму яго зніжэнне не аднаўляе ўваход. Ці будзе прылада наогул гаварыць NTLMv1 як сеткавы пратакол — гэта трэцяя мяжа, і бягучыя выпускі Windows 11 і Server 2025 ужо адмовіліся ад яго. Credential Guard, чацвёртая, абараняе сакрэты на прыладзе.
Супстаўце адну спробу з адной падзеяй
Аднаўтайце збой адзін раз, запішыце хвіліну, затым сабярыце лакальныя доказы за адзін сеанс. Тры каманды ахопліваюць зборку, дзейнае значэнне і аперацыйны журнал NTLM, дзе фіксуецца заблакаваная генерацыя ўліковых дадзеных для аднаго ўваходу:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageПадзея ў той жа момант, што і збой, — гэта доказ. Падзея з учора, з іншага ўліковага запісу або журнал без запісаў — не, і пусты выпадак варта запісваць як пусты, а не як адсутны доказ. Кіраўніцтва Microsoft па зменах NTLMv1 называе ідэнтыфікатар падзеі для заблакаванай генерацыі ўліковых дадзеных аднаго ўваходу, таму параўнайце Id з ім, а не здагадвайцеся па тэксце паведамлення.
Трымайце разам уласнае паведамленне кліента і погляд шлюза на тую ж спробу. Лакальная блакіроўка генерацыі ўліковых дадзеных, аддаленае адхіленне ўліковага запісу і адсутны прыватны маршрут пасля паспяховага ўваходу маюць трох розных уладальнікаў, і толькі першы — пытанне палітыкі Windows. Ачысціце падзею перад выхадам з каманды: час і Id падзеі звычайна адказваюць на пытанне без дэталяў уліковага запісу.
Перайдзіце на падтрыманы метад уваходу
Калі дзейная палітыка — гэта блакіроўка, адказ — падтрыманы шлях аўтэнтыфікацыі, а не ціхае вяртанне значэння па змаўчанні. Аўтэнтыфікацыя на аснове сертыфікатаў — звычайная мэта там, дзе разгортванне яе падтрымлівае, і яна патрабуе рэгістрацыі, размеркавання даверу і шлюза, які прымае сертыфікаты. Кіраўніцтва Microsoft па маючых адбыцца зменах NTLMv1 — гэта дакумент, на які спасылаюцца пры разглядзе выпадку.
Адключэнне Credential Guard як эксперымент здымае ахову, не даючы замены ўваходу, і дакументаваныя абмежаванні на шматразова выкарыстоўваныя ўліковыя дадзеныя — прычына, чаму гэта рашэнне праектавання, а не дыягнастычны крок. Калі часовы вынятак дазволены, дайце яму абсяг, уладальніка і дату спынення, і трымайце незалежны шлях адміністравання да машыны на выпадак, калі змена замкне вас ад злучэння, якое вам патрэбна. Прыёмачны тэст — гэта мэтавая аўтэнтыфікацыя плюс рэсурс за ёй, а не знікненне аднаго лакальнага кода памылкі.