LmCompatibilityLevel és una política de Windows, no una solució per a la VPN

Algú no pot arribar a un recurs compartit per la VPN, llegeix que baixar LmCompatibilityLevel arregla els problemes de NTLM i ho canvia en un servidor compartit. L'endemà al matí altres aplicacions fallen, i el problema original continua allà. Aquesta configuració mai no ha estat un commutador per túnel; és una declaració a escala de màquina sobre quines respostes d'autenticació enviarà i acceptarà aquest sistema. Canviar-la per arreglar un sol inici de sessió reescriu les regles de cada inici de sessió que fa la màquina.

Llegir els nivells documentats és la manera més ràpida de deixar de tractar un valor de política com un número màgic.

Tres nivells, tres promeses diferents

El nivell 1 fa que el client enviï respostes LM i NTLM, emprant la seguretat de sessió NTLMv2 quan la negociació ho permet. El nivell 3 fa que el client enviï només respostes NTLMv2, cosa que no és el mateix que rebutjar totes les respostes antigues a la banda que les rep. El nivell 5 manté el client en NTLMv2 i hi afegeix el rebuig documentat de LM i NTLMv1 per part del controlador de domini. Tres números, i la diferència entre ells és una decisió de política, no una preferència.

Aquestes diferències expliquen per què copiar un valor d'un cas que funciona no és fiable. Moure un client mal configurat de l'1 a la línia base aprovada pot ser correcte. Moure un desplegament endurit del 5 al 3 només perquè un fil de fòrum esmentava el 3 relaxa una frontera que algú va triar deliberadament, i ho fa per a cada servei amb què parla la màquina.

Llegeix la política efectiva, no un sol valor del registre

Una mirada de només lectura al valor local és un punt de partida raonable: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Que el valor no hi sigui no vol dir que la política efectiva sigui zero, perquè una política de domini o una política de seguretat local pot fixar-lo en un altre lloc, i el rol de la màquina canvia què fa amb el número.

Comprova la política gestionada, el rol del sistema i la compilació real abans de concloure res. Una estació de treball i un controlador de domini amb el mateix valor es comporten diferent a l'extrem superior, i aquesta és la part que la gent oblida quan compara dues màquines.

Identifica quina autenticació ha fallat realment

Els problemes de tiquets Kerberos, els rebuigs NTLM i les fallades d'admissió de la VPN necessiten proves diferents. Mantén el servei objectiu, el compte i l'error exacte junts en una sola nota, i després mira què ha demanat el servei, no què prefereix el client. Aquesta sola nota evita el gir equivocat més comú, que és canviar un valor del costat del client per respondre a un rebuig del costat del servidor.

Baixar una política una vegada i una altra fins que desaparegui un error genèric d'inici de sessió no és diagnòstic; és un canvi que amaga la prova. Si l'aplicació fa servir Kerberos, el nivell de compatibilitat NTLM ni tan sols és el control rellevant, i has relaxat una frontera per no res.

Hi ha suport de protocol que no es pot restaurar

Windows 11 24H2 i Windows Server 2025 ja no inclouen gens d'autenticació de xarxa NTLMv1. Cap número de compatibilitat no recupera un protocol que la compilació ja no implementa, així que una baixada de versió que va ajudar en una versió anterior simplement fallarà en una de nova. Microsoft documenta aquesta eliminació per separat de la configuració de política, i confondre les dues coses produeix consells que no poden funcionar.

Una restricció relacionada però diferent s'aplica a les credencials derivades de NTLMv1 que fa servir l'inici de sessió únic basat en MSCHAPv2. És una qüestió de credencials derivades, no del protocol de xarxa en si, i no d'aquest valor del registre. Tractar les tres coses com el mateix tema és com les organitzacions acaben afeblint un control mentre intenten arreglar-ne un altre.

Canvia-ho a través del propietari i després prova les dues direccions

Si realment cal una correcció, fes-la a través del propietari de la política perquè la línia base es mantingui coherent, i anota per què. Després prova una aplicació autoritzada amb la nova configuració i un cas d'autenticació deliberadament prohibit, perquè un canvi que arregla un recurs compartit i permet en silenci respostes antigues en un altre lloc no és un èxit. Una connexió VPN que funciona demostra que l'admissió ha tingut èxit. No valida la política d'autenticació de la màquina, i molt menys demostra que cada servei al darrere encara es comporti tal com es va dissenyar.

Si el servei que falla és basat en Kerberos, deixa de mirar aquesta configuració del tot. Si és un aparell antic que realment no pot fer-ho millor, documenta aquesta excepció i acota'n l'abast, perquè l'alternativa és una línia base afeblida en silenci que ningú no recorda haver aprovat.