VPN সাইন-ইন প্রত্যাখ্যাত: রেজিস্ট্রির আগে বিল্ড যাচাই করুন
অনুপস্থিত রেজিস্ট্রি মান আপডেটের পরে নিজের ডিফল্টই প্রয়োগ করতে পারে। আগে বিল্ড স্তর, কার্যকর নীতি এবং একটি মিলে যাওয়া ইভেন্ট পড়ুন।
এমন মেশিনে সাইন-ইন প্রত্যাখ্যাত হয় যেখানে কেউ রেজিস্ট্রি সম্পাদনা করেনি, আর ফোরামের উত্তর বলে এমন একটি মান যোগ করতে যা সেখানে নেই। অনুপস্থিতি নিজে কোনো প্রমাণ নয়। Windows ডিফল্ট প্রয়োগ করে, ইনস্টল করা আপডেটের সঙ্গে ডিফল্ট বদলাতে পারে, তাই ডিভাইসের কার্যকর নীতি রেজিস্ট্রি যা ইঙ্গিত দেয় তার চেয়ে কঠোর হতে পারে।
ক্লায়েন্ট আসলে যে ত্রুটি দেখিয়েছে তা দিয়ে শুরু করুন
দ্বিতীয় হাত থেকে আসা সারাংশ নয়, বার্তাটি পড়ুন। সঙ্গে সঙ্গে ফিরে আসা প্রম্পট, টানেল তৈরি হওয়ার পরে টাইমআউট, এবং কেবল তখনই দেখা যাওয়া ব্যর্থতা যখন সংযোগ লগ-ইন করা অ্যাকাউন্ট পুনঃব্যবহার করতে চায় — এগুলো তিনটি আলাদা পরিস্থিতি। কেবল তৃতীয়টিতেই সিঙ্গেল সাইন-অন জড়িত, আর প্রথম দুটির কোনোটি এই নিবন্ধের কিছু দিয়ে ঠিক হবে না।
যে স্তর সিদ্ধান্ত নিয়েছে সেটিই ঠিক করে কোন লগ এর উত্তর দেবে। এই চারটি পর্যবেক্ষণ চারজন আলাদা মালিকের দিকে ইঙ্গিত করে:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
সঠিক লেখা, মিনিট এবং অ্যাকাউন্টের প্রেক্ষাপট টিকিটে লিখুন। চেষ্টাটি ইন্টারঅ্যাকটিভ না স্বয়ংক্রিয় তা ঠিক করে Windows-এর কোন উপাদান কলটি করেছে, আর VPN নষ্ট বলে দেওয়া প্রতিবেদন প্রায়ই প্রত্যাখ্যাত ক্রেডেনশিয়াল নয়, বরং অনুপস্থিত অভ্যন্তরীণ সাইট বর্ণনা করে।
অনুপস্থিত মান নয়, কার্যকর নীতি পড়ুন
প্রথমে বিল্ড ও আপডেট স্তর নির্ধারণ করুন, কারণ NTLMv1 থেকে উদ্ভূত ক্রেডেনশিয়াল তৈরির ডিফল্ট তালিকাভুক্ত Windows 11 এবং Windows Server 2025 সংস্করণে বদলেছে। Credential Guard বন্ধ এবং BlockNtlmv1SSO নির্ধারিত না থাকলে, 13 অক্টোবর 2026 বা তার পরে প্রকাশিত আপডেট আচরণটিকে অডিট থেকে এনফোর্সে নিয়ে যায়, সেই মানটি কখনও তৈরি না করেই। রেজিস্ট্রিতে কিছুই দেখা যায় না, আর ডিভাইসটি শেষ প্রশাসক যা চেয়েছিলেন তার চেয়ে কঠোর হয়ে যায়। এটাই এখানে রেজিস্ট্রি খোঁজার এত অল্প প্রমাণ করার সম্পূর্ণ কারণ।
আউটপুট পড়ার সময় সীমাগুলো আলাদা রাখুন। LmCompatibilityLevel হলো নেটওয়ার্ক প্রমাণীকরণ প্রতিক্রিয়ার স্তর, যা ঠিক করে মেশিন সার্ভারের কাছে কোন চ্যালেঞ্জ ও প্রতিক্রিয়া পাঠাবে; এটি সিঙ্গেল সাইন-অনের ক্রেডেনশিয়াল তৈরি নিয়ন্ত্রণকারী নিয়ন্ত্রণ নয়, তাই এটি কমানো সাইন-ইন ফিরিয়ে আনে না। ডিভাইসটি আদৌ নেটওয়ার্ক প্রোটোকল হিসেবে NTLMv1 বলবে কি না সেটি তৃতীয় সীমা, আর বর্তমান Windows 11 এবং Server 2025 সংস্করণ এটি ইতিমধ্যে বাদ দিয়েছে। Credential Guard, চতুর্থটি, ডিভাইসে গোপন তথ্য রক্ষা করে।
একটি চেষ্টাকে একটি ইভেন্টের সঙ্গে মিলিয়ে দেখুন
ব্যর্থতাটি একবার পুনরুৎপাদন করুন, মিনিটটি লিখে রাখুন, তারপর এক বসায় স্থানীয় প্রমাণ সংগ্রহ করুন। তিনটি কমান্ড বিল্ড, কার্যকর মান এবং NTLM পরিচালন লগ কভার করে, যেখানে অবরুদ্ধ সিঙ্গেল সাইন-অন ক্রেডেনশিয়াল তৈরি লিপিবদ্ধ হয়:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Messageব্যর্থতার ঠিক একই মুহূর্তের ইভেন্ট প্রমাণ। গতকালের, অন্য অ্যাকাউন্টের, বা কোনো এন্ট্রি নেই এমন লগ প্রমাণ নয়, আর খালি ক্ষেত্রটি অনুপস্থিত প্রমাণ হিসেবে নয়, খালি হিসেবেই লিপিবদ্ধ করা উচিত। NTLMv1 পরিবর্তনসমূহের Microsoft নির্দেশিকা অবরুদ্ধ সিঙ্গেল সাইন-অন ক্রেডেনশিয়াল তৈরির ইভেন্ট শনাক্তকারীর নাম দেয়, তাই বার্তার লেখা থেকে অনুমান না করে Id-এর সঙ্গে তা মিলিয়ে দেখুন।
ক্লায়েন্টের নিজের বার্তা এবং একই চেষ্টার বিষয়ে গেটওয়ের দৃষ্টিভঙ্গি একসঙ্গে রাখুন। স্থানীয় ক্রেডেনশিয়াল-তৈরি অবরোধ, দূরবর্তী অ্যাকাউন্ট প্রত্যাখ্যান এবং সফল লগইনের পর অনুপস্থিত ব্যক্তিগত রুট — এদের তিনজন আলাদা মালিক, আর কেবল প্রথমটি Windows নীতির প্রশ্ন। দল ছাড়ার আগে ইভেন্টটি পরিষ্কার করুন: টাইমস্ট্যাম্প ও ইভেন্ট Id সাধারণত অ্যাকাউন্টের বিবরণ ছাড়াই প্রশ্নের উত্তর দেয়।
সমর্থিত সাইন-ইন পদ্ধতিতে যান
যদি কার্যকর নীতি-ই অবরোধ হয়, উত্তর হলো সমর্থিত প্রমাণীকরণ পথ, ডিফল্টের নীরব প্রত্যাবর্তন নয়। যেখানে স্থাপনা সমর্থন করে সেখানে সার্টিফিকেট-ভিত্তিক প্রমাণীকরণই স্বাভাবিক গন্তব্য, এবং এর জন্য নথিভুক্তি, বিশ্বাস বিতরণ ও সার্টিফিকেট গ্রহণকারী গেটওয়ে দরকার। আসন্ন NTLMv1 পরিবর্তন সম্পর্কে Microsoft নির্দেশিকা হলো সেই নথি যা মামলা পর্যালোচনার সময় উদ্ধৃত করা যায়।
পরীক্ষা হিসেবে Credential Guard নিষ্ক্রিয় করা প্রতিস্থাপন লগইন না দিয়েই সুরক্ষা সরিয়ে দেয়, আর পুনঃব্যবহারযোগ্য ক্রেডেনশিয়ালের নথিভুক্ত সীমাবদ্ধতাই এর কারণ যে এটি নিদান-পদ্ধতির ধাপ নয়, বরং নকশা-সিদ্ধান্ত। অস্থায়ী ব্যতিক্রম অনুমোদিত হলে তার একটি পরিধি, মালিক ও অবসান তারিখ দিন, এবং পরিবর্তনটি আপনার প্রয়োজনীয় সংযোগ থেকে আপনাকে আটকে দিলে মেশিনে স্বাধীন প্রশাসনিক পথ রাখুন। গ্রহণযোগ্যতা পরীক্ষা হলো অভীষ্ট প্রমাণীকরণ এবং তার পিছনের সম্পদ, একটি স্থানীয় ত্রুটি কোডের অন্তর্ধান নয়।