Polisi Windows yw LmCompatibilityLevel, nid atgyweiriad VPN

Mae rhywun yn methu cyrraedd cyfran ffeil dros y VPN, yn darllen bod gostwng LmCompatibilityLevel yn trwsio problemau NTLM, ac yn ei newid ar weinydd a rennir. Y bore wedyn mae apiau eraill yn methu, ac mae'r broblem wreiddiol yn dal yno. Nid oedd y gosodiad hwn erioed yn switsh fesul twnnel; mae'n ddatganiad ar lefel y peiriant ynghylch pa ymatebion dilysu y bydd y system hon yn eu hanfon ac yn eu derbyn. Mae ei newid i drwsio un mewngofnodiad yn ailysgrifennu'r rheolau ar gyfer pob mewngofnodiad y mae'r peiriant yn ei wneud.

Darllen y lefelau dogfennedig yw'r ffordd gyflymaf i roi'r gorau i drin gwerth polisi fel rhif hud.

Tair lefel, tri addewid gwahanol

Mae lefel 1 yn gwneud i'r cleient anfon ymatebion LM a NTLM, gan ddefnyddio diogelwch sesiwn NTLMv2 pan fydd y trafodaeth yn caniatáu hynny. Mae lefel 3 yn gwneud i'r cleient anfon ymatebion NTLMv2 yn unig, nad yw'r un peth â gwrthod pob ymateb hen ffasiwn ar yr ochr sy'n derbyn. Mae lefel 5 yn cadw'r cleient ar NTLMv2 ac yn ychwanegu'r gwrthodiad dogfennedig o LM a NTLMv1 gan y rheolydd parth. Tri rhif, a'r bwlch rhyngddynt yn benderfyniad polisi yn hytrach na dewis personol.

Mae'r gwahaniaethau hynny'n esbonio pam mae copïo gwerth o achos sy'n gweithio yn annibynadwy. Gall symud cleient wedi'i gamgyflunio o 1 i'r llinell sylfaen gymeradwy fod yn gywir. Mae symud gosodiad caled o 5 i lawr i 3 oherwydd bod edefyn fforwm wedi crybwyll 3 yn llacio ffin a ddewiswyd yn fwriadol gan rywun, ac mae'n gwneud hynny ar gyfer pob gwasanaeth y mae'r peiriant yn siarad ag ef.

Darllenwch y polisi effeithiol, nid un gwerth cofrestr

Mae cipolwg darllen-yn-unig ar y gwerth lleol yn fan cychwyn rhesymol: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Nid yw gwerth absennol yn golygu bod y polisi effeithiol yn sero, oherwydd gall polisi parth neu bolisi diogelwch lleol ei osod yn rhywle arall, ac mae rôl y peiriant yn newid yr hyn y mae'n ei wneud â'r rhif.

Gwiriwch y polisi a reolir, rôl y system a'r build gwirioneddol cyn dod i unrhyw gasgliad. Mae gorsaf waith a rheolydd parth â'r un gwerth yn ymddwyn yn wahanol ar y pen uchaf, a dyna'r rhan y mae pobl yn ei hanghofio wrth gymharu dau beiriant.

Nodwch pa ddilysu aethodd mewn gwirionedd

Mae problemau tocynnau Kerberos, gwrthodiadau NTLM a methiannau derbyn VPN angen tystiolaeth wahanol. Cadwch y gwasanaeth targed, y cyfrif a'r gwall uniongred gyda'i gilydd mewn un nodyn, yna edrychwch ar yr hyn y gofynnodd y gwasanaeth amdano yn hytrach nag ar yr hyn y mae'r cleient yn ei ffafrio. Mae'r un nodyn hwnnw'n atal y cam gwybodaeth mwyaf cyffredin, sef newid gwerth ar ochr y cleient i ateb gwrthodiad ar ochr y gweinydd.

Nid yw gostwng polisi dro ar ôl tro nes bod gwall mewngofnodi cyffredinol yn diflannu yn ddiagnosis; mae'n newid sy'n cuddio'r dystiolaeth. Os yw'r ap yn defnyddio Kerberos, nid yw lefel cydnawsedd NTLM hyd yn oed yn y rheolydd perthnasol, ac rydych wedi llacio ffin am ddim.

Ni ellir adfer rhywfaint o gefnogaeth protocol

Nid yw Windows 11 24H2 a Windows Server 2025 yn cynnwys dilysu rhwydwaith NTLMv1 o gwbl mwyach. Nid oes unrhyw rif cydnawsedd yn dod â phrotocol yn ôl nad yw'r build yn ei weithredu mwyach, felly bydd israddiad a oedd yn helpu ar ryddhad hŷn yn syml yn methu ar un newydd. Mae Microsoft yn dogfennu'r tynnu hwnnw ar wahân i'r gosodiad polisi, ac mae cymysgu'r ddau yn cynhyrchu cyngor na all weithio.

Mae cyfyngiad cysylltiedig ond gwahanol yn berthnasol i gymwysterau sy'n deillio o NTLMv1 a ddefnyddir gan fewngofnodi sengl sy'n seiliedig ar MSCHAPv2. Cwestiwn am gymwysterau deilliedig yw hwn, nid y protocol rhwydwaith ei hun, ac nid y gwerth cofrestr hwn. Mae trin y tri fel yr un pwnc yw'r ffordd y mae sefydliadau yn gwanhau un rheolydd wrth geisio trwsio un arall.

Newidiwch ef drwy'r perchennog, yna profwch y ddau gyfeiriad

Os oes gwir angen cywiriad, gwnewch ef drwy berchennog y polisi fel bod y llinell sylfaen yn aros yn gydlynol, a chofnodwch pam. Yna profwch ap awdurdodedig o dan y gosodiad newydd ac achos dilysu a waherddir yn fwriadol, oherwydd nid yw newid sy'n trwsio un gyfran ac yn caniatáu'n dawel ymatebion hen ffasiwn yn rhywle arall yn llwyddiant. Mae cysylltiad VPN sy'n gweithio yn profi bod y derbyniad wedi llwyddo. Nid yw'n dilysu polisi dilysu'r peiriant, ac yn sicr nid yw'n dangos bod pob gwasanaeth y tu ôl iddo yn dal i ymddwyn fel y'i cynlluniwyd.

Os yw'r gwasanaeth sy'n methu yn seiliedig ar Kerberos, peidiwch â bwrw golwg ar y gosodiad hwn o gwbl. Os mai hen declyn yw hi na all wir wella, dogfennwch yr eithriad hwnnw a diffiniwch ei gwmpas, oherwydd y dewis arall yw llinell sylfaen a wanhawyd yn dawel nad oes neb yn cofio'i gymeradwyo.