LmCompatibilityLevel je Windows pravilo, a ne rješenje za VPN

Neko ne može doći do mrežnog dijeljenja preko VPN-a, pročita da snižavanje LmCompatibilityLevel rješava NTLM probleme i promijeni ga na zajedničkom serveru. Sljedećeg jutra druge aplikacije otkazuju, a prvobitni problem je i dalje tu. Ta postavka nikada nije bila prekidač za pojedini tunel; ona je tvrdnja na nivou cijelog računara o tome koje će odgovore autentifikacije ovaj sistem slati i prihvatati. Mijenjanje te postavke da bi se popravila jedna prijava prepisuje pravila za svaku prijavu koju računar obavi.

Čitanje dokumentovanih nivoa najbrži je način da prestanete tretirati vrijednost pravila kao magični broj.

Tri nivoa, tri različita obećanja

Nivo 1 tjera klijenta da šalje LM i NTLM odgovore, koristeći NTLMv2 sigurnost sesije kada to pregovaranje dopušta. Nivo 3 tjera klijenta da šalje samo NTLMv2 odgovore, što nije isto kao odbijanje svakog zastarjelog odgovora na strani primaoca. Nivo 5 zadržava klijenta na NTLMv2 i dodaje dokumentovano odbijanje LM i NTLMv1 od strane kontrolera domene. Tri broja, a razlika među njima je odluka o pravilu, a ne sklonost.

Te razlike objašnjavaju zašto je kopiranje vrijednosti iz radnog slučaja nepouzdano. Premještanje pogrešno konfigurisanog klijenta sa 1 na odobrenu osnovnu liniju može biti ispravno. Premještanje očvrsnute instalacije sa 5 na 3 samo zato što je neka forumska tema spomenula 3 popušta granicu koju je neko namjerno izabrao, i to čini za svaku uslugu s kojom računar razgovara.

Čitajte važeće pravilo, a ne jednu vrijednost registra

Pregled lokalne vrijednosti samo za čitanje razumna je početna tačka: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Odsutna vrijednost ne znači da je važeće pravilo nula, jer pravilo domene ili lokalno sigurnosno pravilo može je postaviti negdje drugdje, a uloga računara mijenja ono što on radi s tim brojem.

Provjerite upravljano pravilo, ulogu sistema i stvarnu gradnju prije nego što bilo šta zaključite. Radna stanica i kontroler domene s istom vrijednošću ponašaju se različito na gornjem kraju, i to je dio koji ljudi zaborave kada porede dva računara.

Utvrdite koja autentifikacija je zapravo neuspjela

Problemi s Kerberos tiketima, odbijanja NTLM-a i neuspjesi prijema kroz VPN traže različite dokaze. Držite ciljnu uslugu, račun i tačnu grešku zajedno u jednoj bilješci, pa onda gledajte šta je usluga zatražila, a ne šta klijent preferira. Ta jedna bilješka sprječava najčešći pogrešan korak — mijenjanje vrijednosti na strani klijenta kao odgovor na odbijanje na strani servera.

Višekratno snižavanje pravila dok opća greška prijave ne nestane nije dijagnostika; to je promjena koja skriva dokaz. Ako aplikacija koristi Kerberos, nivo NTLM kompatibilnosti nije čak ni relevantna kontrola, i uzalud ste popustili granicu.

Neka podrška protokola ne može se vratiti

Windows 11 24H2 i Windows Server 2025 više uopšte ne uključuju NTLMv1 mrežnu autentifikaciju. Nijedan broj kompatibilnosti ne vraća protokol koji gradnja više ne implementira, pa će degradacija koja je pomogla na starijem izdanju jednostavno propasti na novijem. Microsoft to uklanjanje dokumentuje odvojeno od postavke pravila, a miješanje dvoga daje savjet koji ne može funkcionisati.

Povezano, ali različito ograničenje primjenjuje se na akreditive izvedene iz NTLMv1 koje koristi jedinstvena prijava zasnovana na MSCHAPv2. To je pitanje izvedenih akreditiva, a ne samog mrežnog protokola, i ne ove jedne vrijednosti registra. Tretiranje sva tri kao iste teme put je kojim organizacije oslabe jednu kontrolu dok pokušavaju popraviti drugu.

Mijenjajte to kroz vlasnika, pa testirajte oba smjera

Ako je ispravka zaista potrebna, uradite je kroz vlasnika pravila da osnovna linija ostane usklađena, i zabilježite zašto. Zatim testirajte ovlaštenu aplikaciju pod novom postavkom i namjerno zabranjen slučaj autentifikacije, jer promjena koja popravi jedno dijeljenje i tiho dopusti zastarjele odgovore negdje drugdje nije uspjeh. Radna VPN veza dokazuje da je prijem uspio. Ona ne provjerava pravilo autentifikacije računara i sigurno ne pokazuje da se svaka usluga iza njega još ponaša kako je projektovana.

Ako je usluga koja otkazuje zasnovana na Kerberosu, potpuno prestanite gledati ovu postavku. Ako je pak zastarjeli uređaj koji zaista ne može bolje, dokumentujte to izuzeće i odredite mu obim, jer alternativa je tiho oslabljena osnovna linija za koju se niko ne sjeća da ju je odobrio.