Inici de sessió de VPN rebutjat: comproveu la compilació abans del registre
Un valor absent del registre pot estar aplicant el seu propi valor per defecte després d’una actualització. Llegiu primer el nivell de compilació, la política efectiva i un esdeveniment coincident.
L’inici de sessió es rebutja en una màquina on ningú no ha editat el registre, i la resposta del fòrum diu que afegiu un valor que no hi és. L’absència no és la troballa. Windows aplica valors per defecte, un valor per defecte pot canviar amb una actualització instal·lada, i per tant la política efectiva del dispositiu pot ser més estricta del que suggereix el registre.
Comenceu per l’error que el client va mostrar realment
Llegiu el missatge, no el resum que us ha arribat de segona mà. Un avís que torna immediatament, un temps d’espera després que es formi el túnel i una fallada que només apareix quan la connexió intenta reutilitzar el compte iniciat són tres situacions diferents. Només la tercera té a veure amb l’inici de sessió únic, i les dues primeres no es repararan amb res d’aquest article.
La capa que va prendre la decisió decideix quin registre la respon. Aquestes quatre observacions apunten a quatre propietaris diferents:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Escriviu el text exacte, el minut i el context del compte al tiquet. Si l’intent és interactiu o automàtic determina quin component de Windows va fer la crida, i un informe que diu que la VPN està trencada sovint descriu un lloc intern absent més que unes credencials rebutjades.
Llegiu la política efectiva, no el valor absent
Establiu primer el nivell de compilació i d’actualització, perquè el valor per defecte de la generació de credencials derivades de NTLMv1 va canviar a les versions esmentades de Windows 11 i Windows Server 2025. Amb Credential Guard desactivat i BlockNtlmv1SSO sense definir, una actualització publicada el 13 d’octubre de 2026 o després mou el comportament d’Auditoria a Aplicació sense crear mai aquest valor. Al registre no hi apareix res, i el dispositiu es torna més estricte del que pretenia el darrer administrador. Aquesta és tota la raó per la qual una cerca al registre demostra tan poc aquí.
Mantingueu les fronteres separades mentre llegiu la sortida. LmCompatibilityLevel és el nivell de resposta d’autenticació de xarxa, que decideix quin repte i quina resposta enviarà la màquina a un servidor; no és el control que governa la generació de credencials per a l’inici de sessió únic, així que rebaixar-lo no restaura l’inici de sessió. Si el dispositiu parlarà NTLMv1 com a protocol de xarxa és una tercera frontera, i les versions actuals de Windows 11 i Server 2025 ja l’han eliminat. Credential Guard, la quarta, protegeix els secrets del dispositiu.
Correlacioneu un intent amb un esdeveniment
Reproduïu la fallada una vegada, anoteu el minut i després reuniu l’evidència local d’una sola vegada. Tres ordres cobreixen la compilació, el valor efectiu i el registre operatiu de NTLM on es documenta una generació de credencials bloquejada per a l’inici de sessió únic:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageUn esdeveniment en el mateix moment que la fallada és una prova. Un esdeveniment d’ahir, d’un altre compte o un registre sense cap entrada no ho és, i el cas buit val la pena registrar-lo com a buit i no com a prova absent. La guia de Microsoft sobre els canvis de NTLMv1 indica l’identificador de l’esdeveniment per a la generació bloquejada de credencials d’inici de sessió únic, així que compareu l’Id amb aquest en lloc d’endevinar pel text del missatge.
Mantingueu junts el missatge del client i la visió de la passarel·la del mateix intent. Un bloqueig local de generació de credencials, un rebuig remot del compte i una ruta privada absent després d’un inici de sessió correcte tenen tres propietaris diferents, i només el primer és una qüestió de política de Windows. Sanegeu l’esdeveniment abans que surti de l’equip: una marca de temps i un Id d’esdeveniment solen respondre la pregunta sense les dades del compte.
Passeu a un mètode d’inici de sessió admès
Si la política efectiva és el bloqueig, la resposta és un camí d’autenticació admès i no una reversió silenciosa del valor per defecte. L’autenticació basada en certificats és la destinació habitual on el desplegament la suporta, i necessita inscripció, distribució de confiança i una passarel·la que accepti els certificats. La guia de Microsoft sobre els propers canvis a NTLMv1 és el document que cal citar quan es revisa el cas.
Desactivar Credential Guard com a experiment elimina la protecció sense oferir un inici de sessió alternatiu, i les restriccions documentades sobre credencials reutilitzables són la raó per la qual això és una decisió de disseny i no un pas de diagnòstic. Si s’autoritza una excepció temporal, doneu-li abast, propietari i data de retirada, i manteniu una ruta d’administració independent fins a la màquina per si el canvi us deixa fora de la connexió que necessiteu. La prova d’acceptació és l’autenticació prevista més el recurs que hi ha darrere, i no la desaparició d’un codi d’error local.