VPN prijava odbijena: provjerite build prije registra
Nedostajuća vrijednost u registru može nametati vlastitu zadanu vrijednost nakon ažuriranja. Najprije pročitajte nivo builda, efektivnu politiku i jedan odgovarajući događaj.
Prijava se odbija na mašini na kojoj niko nije uređivao registar, a odgovor s foruma kaže da dodate vrijednost koje nema. Odsustvo nije nalaz. Windows primjenjuje zadane vrijednosti, zadana vrijednost se može promijeniti instaliranim ažuriranjem, pa efektivna politika na uređaju može biti stroža nego što registar sugerira.
Počnite s greškom koju je klijent zaista prikazao
Čitajte poruku, a ne sažetak koji je do vas došao iz druge ruke. Upit koji se vraća odmah, istek vremena nakon što se tunel formira i neuspjeh koji se pojavljuje samo kada veza pokuša ponovo iskoristiti prijavljeni račun tri su različite situacije. Samo treća uopće uključuje jedinstvenu prijavu, a prve dvije neće popraviti ništa u ovom članku.
Sloj koji je donio odluku određuje koji dnevnik na nju odgovara. Ova četiri zapažanja upućuju na četiri različita vlasnika:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Upišite tačan tekst, minutu i kontekst računa u tiket. Da li je pokušaj interaktivan ili automatski određuje koji je Windows komponent napravio poziv, a izvještaj da je VPN pokvaren često opisuje nedostajuću internu stranicu, a ne odbijene akreditive.
Čitajte efektivnu politiku, ne nedostajuću vrijednost
Najprije utvrdite nivo builda i ažuriranja, jer se zadana vrijednost za generisanje akreditiva izvedenih iz NTLMv1 promijenila u navedenim izdanjima Windows 11 i Windows Server 2025. Uz isključen Credential Guard i nepodešen BlockNtlmv1SSO, ažuriranje objavljeno 13. oktobra 2026. ili kasnije prebacuje ponašanje s revizije na prinudu, a da tu vrijednost nikada ne stvori. U registru se ništa ne pojavljuje, a uređaj postaje stroži nego što je posljednji administrator namjeravao. To je cijeli razlog zašto pretraga registra ovdje dokazuje tako malo.
Držite granice odvojeno dok čitate izlaz. LmCompatibilityLevel je nivo odgovora mrežne autentifikacije, koji određuje koji će izazov i odgovor mašina poslati serveru; to nije kontrola koja upravlja generisanjem akreditiva za jedinstvenu prijavu, pa ga snižavanje ne vraća prijavu. Da li će uređaj uopće govoriti NTLMv1 kao mrežni protokol treća je granica, a trenutna izdanja Windows 11 i Server 2025 već su ga odbacila. Credential Guard, četvrta, štiti tajne na uređaju.
Povežite jedan pokušaj s jednim događajem
Reprodukujte neuspjeh jednom, zabilježite minutu, pa prikupite lokalne dokaze u jednom sjedenju. Tri naredbe pokrivaju build, efektivnu vrijednost i operativni dnevnik NTLM-a u kojem se bilježi blokirano generisanje akreditiva za jedinstvenu prijavu:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageDogađaj u istom trenutku kao neuspjeh jest dokaz. Događaj od jučer, s drugog računa ili dnevnik bez ijednog unosa nije, a prazan slučaj vrijedi zabilježiti kao prazan, a ne kao odsutan dokaz. Microsoftove smjernice za promjene NTLMv1 navode identifikator događaja za blokirano generisanje akreditiva za jedinstvenu prijavu, pa uporedite Id s njim umjesto da nagađate iz teksta poruke.
Držite zajedno vlastitu poruku klijenta i pogled gatewaya na isti pokušaj. Lokalna blokada generisanja akreditiva, udaljeno odbijanje računa i nedostajuća privatna ruta nakon uspješne prijave imaju tri različita vlasnika, a samo je prvi pitanje Windows politike. Očistite događaj prije nego napusti tim: vremenska oznaka i Id događaja obično odgovaraju na pitanje bez podataka o računu.
Prijeđite na podržanu metodu prijave
Ako je efektivna politika ta blokada, odgovor je podržan put autentifikacije, a ne tiho vraćanje zadanog. Autentifikacija zasnovana na certifikatima uobičajeno je odredište gdje je implementacija podržava, i traži upis, distribuciju povjerenja i gateway koji prihvata certifikate. Microsoftove smjernice o predstojećim promjenama NTLMv1 dokument je koji se citira kad se slučaj pregleda.
Isključivanje Credential Guarda kao eksperiment uklanja zaštitu bez zamjenske prijave, a dokumentirana ograničenja ponovno upotrebljivih akreditiva razlog su zašto je to dizajnerska odluka, a ne dijagnostički korak. Ako se odobri privremena iznimka, dajte joj obim, vlasnika i datum ukidanja, i zadržite neovisnu administrativnu rutu do mašine u slučaju da vas promjena zaključa izvan veze koja vam treba. Prihvatni test je namjeravana autentifikacija plus resurs iza nje, a ne nestanak jednog lokalnog koda greške.