Отхвърлен вход във VPN: проверете сборката преди регистъра
Липсваща стойност в регистъра може да налага собствената си стойност по подразбиране след актуализация. Прочетете първо нивото на сборката, действащата политика и едно съвпадащо събитие.
Входът се отхвърля на машина, където никой не е редактирал регистъра, а отговорът във форума казва да се добави стойност, която липсва. Отсъствието не е констатацията. Windows прилага стойности по подразбиране, стойност по подразбиране може да се промени с инсталирана актуализация и затова действащата политика на устройството може да е по-строга от това, което регистърът подсказва.
Започнете с грешката, която клиентът действително показа
Четете съобщението, а не резюмето, което е стигнало до вас от втори ръце. Заявка, която се връща веднага, изчакване след формиране на тунела и отказ, който се появява само когато връзката се опита да използва повторно влезлия акаунт, са три различни ситуации. Само третата изобщо включва единен вход, а първите две няма да бъдат поправени от нищо в тази статия.
Слоят, който е взел решението, определя кой журнал отговаря на него. Тези четири наблюдения сочат към четирима различни собственици:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Запишете точния текст, минутата и контекста на акаунта в заявката. Дали опитът е интерактивен или автоматичен, определя кой компонент на Windows е направил извикването, а доклад, който казва, че VPN е счупен, често описва липсващ вътрешен сайт, а не отхвърлени идентификационни данни.
Четете действащата политика, а не липсващата стойност
Първо установете нивото на сборката и актуализацията, защото стойността по подразбиране за генериране на идентификационни данни, произхождащи от NTLMv1, се промени в изброените издания на Windows 11 и Windows Server 2025. При изключен Credential Guard и незададен BlockNtlmv1SSO актуализация, издадена на или след 13 октомври 2026 г., премества поведението от Одит към Прилагане, без никога да създаде тази стойност. В регистъра не се появява нищо и устройството става по-строго, отколкото последният администратор е възнамерявал. Точно това е причината търсенето в регистъра да доказва толкова малко тук.
Дръжте границите отделно, докато четете изхода. LmCompatibilityLevel е нивото на отговор при мрежова автентикация, което определя какво предизвикателство и отговор машината ще изпрати към сървър; то не е контролът, който управлява генерирането на идентификационни данни за единен вход, така че намаляването му не възстановява входа. Дали устройството изобщо ще говори NTLMv1 като мрежов протокол, е трета граница, а текущите издания на Windows 11 и Server 2025 вече са се отказали от него. Credential Guard, четвъртата, защитава тайните на устройството.
Свържете един опит с едно събитие
Възпроизведете отказа веднъж, отбележете минутата, след което съберете локалните доказателства наведнъж. Три команди покриват сборката, действащата стойност и оперативния журнал на NTLM, където се записва блокирано генериране на идентификационни данни за единен вход:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageСъбитие в същия момент като отказа е доказателство. Събитие от вчера, от друг акаунт или журнал без нито един запис не е, а празният случай заслужава да бъде записан като празен, а не като липсващо доказателство. Ръководството на Microsoft за промените в NTLMv1 посочва идентификатора на събитието за блокирано генериране на идентификационни данни за единен вход, така че сравнете Id с него, вместо да гадаете по текста на съобщението.
Дръжте заедно собственото съобщение на клиента и гледната точка на шлюза за същия опит. Локално блокиране на генерирането на идентификационни данни, отдалечено отхвърляне на акаунт и липсващ частен маршрут след успешен вход имат трима различни собственици и само първото е въпрос на политика на Windows. Почистете събитието, преди да напусне екипа: времева марка и Id на събитие обикновено отговарят на въпроса без данните на акаунта.
Преминете към поддържан метод за вход
Ако действащата политика е блокировката, отговорът е поддържан път за автентикация, а не тихо връщане на стойността по подразбиране. Автентикацията, базирана на сертификати, е обичайната цел там, където внедряването я поддържа, и изисква регистрация, разпространение на доверие и шлюз, който приема сертификатите. Ръководството на Microsoft за предстоящите промени в NTLMv1 е документът, който се цитира при прегледа на случая.
Изключването на Credential Guard като експеримент премахва защитата, без да предоставя заместващ вход, а документираните ограничения за многократно използваеми идентификационни данни са причината това да е решение за дизайна, а не диагностична стъпка. Ако е разрешено временно изключение, дайте му обхват, собственик и дата на оттегляне и поддържайте независим административен път до машината, в случай че промяната ви заключи извън връзката, която ви трябва. Приемният тест е предвидената автентикация плюс ресурсът зад нея, а не изчезването на един локален код за грешка.