LmCompatibilityLevel je zásada Windows, ne oprava VPN

Někdo se přes VPN nedostane na souborovou share, přečte si, že snížení LmCompatibilityLevel řeší problémy s NTLM, a změní to na sdíleném serveru. Druhý den ráno selžou jiné aplikace a původní problém zůstává. Toto nastavení nikdy nebylo přepínačem pro jednotlivý tunel; je to prohlášení na úrovni celého počítače o tom, které odpovědi ověřování bude tento systém odesílat a přijímat. Změna kvůli opravě jednoho přihlášení přepisuje pravidla pro každé přihlášení, které počítač provede.

Čtení dokumentovaných úrovní je nejrychlejší cesta, jak přestat zacházet s hodnotou zásady jako s magickým číslem.

Tři úrovně, tři různé sliby

Úroveň 1 nutí klienta odesílat odpovědi LM a NTLM a používá zabezpečení relace NTLMv2, když to vyjednávání dovolí. Úroveň 3 nutí klienta odesílat pouze odpovědi NTLMv2, což není totéž jako odmítnout každou starší odpověď na přijímající straně. Úroveň 5 drží klienta na NTLMv2 a přidává dokumentované odmítnutí LM a NTLMv1 ze strany řadiče domény. Tři čísla a rozdíl mezi nimi je rozhodnutí o zásadě, nikoli preference.

Tyto rozdíly vysvětlují, proč je kopírování hodnoty z funkčního případu nespolehlivé. Přesunout špatně nastaveného klienta z 1 na schválenou základní linii může být správné. Přesunout zpevněné nasazení z 5 dolů na 3 jen proto, že se 3 objevila ve vlákně fóra, uvolňuje hranici, kterou někdo zvolil záměrně, a činí tak pro každou službu, se kterou počítač komunikuje.

Čtěte platnou zásadu, ne jednu hodnotu registru

Pohled na místní hodnotu pouze pro čtení je rozumný výchozí bod: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Chybějící hodnota neznamená, že platná zásada je nula, protože zásada domény nebo místní zásada zabezpečení ji může nastavit jinde a role počítače mění, co s číslem dělá.

Než cokoli uzavřete, zkontrolujte spravovanou zásadu, roli systému a skutečný build. Pracovní stanice a řadič domény se stejnou hodnotou se na horním konci chovají odlišně, a to je část, na kterou lidé při srovnávání dvou počítačů zapomínají.

Určete, které ověřování skutečně selhalo

Problémy s tikety Kerberos, odmítnutí NTLM a selhání vpuštění přes VPN vyžadují různé důkazy. Držte cílovou službu, účet a přesnou chybu pohromadě v jedné poznámce, a pak se dívejte, co si vyžádala služba, ne co preferuje klient. Právě ta jedna poznámka brání nejčastějšímu chybnému kroku — změně hodnoty na straně klienta jako odpovědi na odmítnutí na straně serveru.

Opakovaně snižovat zásadu, dokud nezmizí obecná chyba přihlášení, není diagnostika; je to změna, která skrývá důkaz. Pokud aplikace používá Kerberos, úroveň kompatibility NTLM ani není relevantní kontrolou, a hranici jste uvolnili zbytečně.

Některou podporu protokolů nelze obnovit

Windows 11 24H2 a Windows Server 2025 už síťové ověřování NTLMv1 vůbec neobsahují. Žádné číslo kompatibility nevrátí protokol, který build už neimplementuje, takže downgrade, který pomohl na starší verzi, na novější prostě selže. Microsoft dokumentuje toto odstranění odděleně od nastavení zásady, a směšování obojího vytváří rady, které nemohou fungovat.

Související, ale odlišné omezení platí pro přihlašovací údaje odvozené z NTLMv1, které používá jednotné přihlašování založené na MSCHAPv2. To je otázka odvozených přihlašovacích údajů, ne samotného síťového protokolu a ne této jedné hodnoty registru. Považovat všechny tři za stejné téma je cesta, jak organizace oslabí jednu kontrolu, zatímco se snaží opravit jinou.

Měňte to přes vlastníka, pak otestujte oba směry

Je-li oprava skutečně potřeba, proveďte ji přes vlastníka zásady, aby základní linie zůstala soudržná, a zaznamenejte proč. Potom otestujte povolenou aplikaci za nového nastavení a záměrně zakázaný případ ověřování, protože změna, která opraví jednu share a jinde tiše povolí starší odpovědi, není úspěch. Funkční připojení VPN dokazuje, že vpuštění proběhlo. Neověřuje však zásadu ověřování počítače a už vůbec neukazuje, že každá služba za ním se stále chová podle návrhu.

Pokud je selhávající služba založená na Kerberosu, přestaňte na toto nastavení vůbec hledět. Jestliže je to starší zařízení, které skutečně nemůže lépe, zdokumentujte tuto výjimku a vymezte její rozsah, protože alternativou je tiše oslabená základní linie, o jejímž schválení si nikdo nepamatuje.