Přihlášení k VPN zamítnuto: ověřte sestavení dřív než registr
Chybějící hodnota registru může po aktualizaci prosazovat vlastní výchozí hodnotu. Nejprve si přečtěte úroveň sestavení, platnou politiku a jednu odpovídající událost.
Přihlášení se zamítá na stroji, kde nikdo registr needitoval, a odpověď na fóru radí přidat hodnotu, která tam není. Nepřítomnost není zjištění. Windows uplatňuje výchozí hodnoty, výchozí hodnota se může nainstalovanou aktualizací změnit, a platná politika na zařízení tak může být přísnější, než registr naznačuje.
Začněte chybou, kterou klient skutečně zobrazil
Čtěte zprávu, ne shrnutí, které se k vám dostalo z druhé ruky. Výzva, která se vrátí okamžitě, časový limit po vytvoření tunelu a selhání, které se objeví jen tehdy, když se připojení pokusí znovu použít přihlášený účet, jsou tři různé situace. Jednotného přihlášení se týká jen třetí a první dvě tento článek neopraví.
Vrstva, která rozhodla, určuje, který protokol událostí na to odpovídá. Tato čtyři pozorování ukazují na čtyři různé vlastníky:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Zapište do tiketu přesný text, minutu a kontext účtu. Zda byl pokus interaktivní, nebo automatický, určuje, která komponenta Windows volání provedla, a zpráva, že VPN je rozbitá, často popisuje chybějící interní web, nikoli odmítnuté přihlašovací údaje.
Čtěte platnou politiku, ne chybějící hodnotu
Nejprve zjistěte úroveň sestavení a aktualizace, protože výchozí hodnota pro generování přihlašovacích údajů odvozených z NTLMv1 se změnila v uvedených verzích Windows 11 a Windows Server 2025. Při vypnutém Credential Guard a nenastaveném BlockNtlmv1SSO přesouvá aktualizace vydaná 13. října 2026 nebo později chování z auditu na vynucení, aniž by tuto hodnotu kdy vytvořila. V registru se nic neobjeví a zařízení je přísnější, než zamýšlel poslední správce. To je celý důvod, proč zde hledání v registru dokazuje tak málo.
Při čtení výstupu držte hranice oddělené. LmCompatibilityLevel je úroveň odezvy síťového ověřování, která určuje, jakou výzvu a odpověď stroj pošle serveru; není to ovládací prvek, který řídí generování přihlašovacích údajů pro jednotné přihlášení, takže jeho snížení přihlášení neobnoví. Zda bude zařízení vůbec mluvit NTLMv1 jako síťovým protokolem, je třetí hranice a současné verze Windows 11 a Server 2025 už ho opustily. Credential Guard, čtvrtá, chrání tajemství na zařízení.
Spojte jeden pokus s jednou událostí
Selhání jednou zopakujte, poznamenejte minutu a pak místní důkazy sesbírejte v jednom sezení. Tři příkazy pokrývají sestavení, platnou hodnotu a operační protokol NTLM, kde se zaznamenává zablokované generování přihlašovacích údajů pro jednotné přihlášení:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageUdálost ve stejný okamžik jako selhání je důkaz. Událost ze včerejška, z jiného účtu nebo protokol bez jediného záznamu jí není, a prázdný případ stojí za to zaznamenat jako prázdný, ne jako chybějící důkaz. Pokyny Microsoftu ke změnám NTLMv1 uvádějí identifikátor události pro zablokované generování přihlašovacích údajů jednotného přihlášení, takže Id porovnejte s ním, místo abyste hádali z textu zprávy.
Držte pohromadě vlastní zprávu klienta a pohled brány na tentýž pokus. Místní blokování generování údajů, odmítnutí účtu na dálku a chybějící privátní trasa po úspěšném přihlášení mají tři různé vlastníky a jen první je otázkou politiky Windows. Událost před odchodem z týmu vyčistěte: časové razítko a Id události obvykle otázku zodpoví bez údajů o účtu.
Přejděte na podporovanou metodu přihlášení
Pokud je platnou politikou blokování, odpovědí je podporovaná cesta ověřování, ne tiché vrácení výchozí hodnoty. Ověřování založené na certifikátech je obvyklým cílem tam, kde ho nasazení podporuje, a vyžaduje zápis, distribuci důvěry a bránu, která certifikáty přijímá. Pokyny Microsoftu k připravovaným změnám NTLMv1 jsou dokumentem, který se cituje při přezkumu případu.
Vypnutí Credential Guard jako experiment odstraní ochranu, aniž by nabídlo náhradní přihlášení, a dokumentovaná omezení opakovaně použitelných přihlašovacích údajů jsou důvodem, proč je to rozhodnutí o návrhu, nikoli diagnostický krok. Pokud je povolena dočasná výjimka, dejte jí rozsah, vlastníka a datum ukončení a udržujte nezávislou cestu správy ke stroji pro případ, že vás změna uzamkne mimo připojení, které potřebujete. Přijímacím testem je zamýšlené ověřování plus zdroj za ním, ne zmizení jednoho místního kódu chyby.