Mewnforio i VPN wedi’i wrthod: edrychwch ar y fersiwn cyn y gofrestr
Gall gwerth coll yn y gofrestr orfodi ei werth diofyn ei hun ar ôl diweddariad. Darllenwch lefel y fersiwn, y polisi effeithiol ac un digwyddiad cyfatebol yn gyntaf.
Mae mewnforio’n cael ei wrthod ar beiriant lle nad oes neb wedi golygu’r gofrestr, ac mae ateb y fforwm yn dweud wrthych am ychwanegu gwerth nad yw yno. Nid absenoldeb yw’r canfyddiad. Mae Windows yn cymhwyso gwerthoedd diofyn, gall gwerth diofyn newid gyda diweddariad wedi’i osod, ac felly gall y polisi effeithiol ar y ddyfais fod yn lymach nag y mae’r gofrestr yn ei awgrymu.
Dechreuwch gyda’r gwall a ddangosodd y cleient mewn gwirionedd
Darllenwch y neges, nid y crynodeb a gyrhaeddodd atoch o law arall. Mae anogwr sy’n dychwelyd ar unwaith, terfyn amser ar ôl i’r twnnel ffurfio, a methiant sy’n ymddangos dim ond pan fydd y cysylltiad yn ceisio ailddefnyddio’r cyfrif sydd wedi mewngofnodi yn dair sefyllfa wahanol. Dim ond y drydedd sy’n ymwneud ag un mewngofnod o gwbl, ac ni fydd y ddwy gyntaf yn cael eu trwsio gan unrhyw beth yn yr erthygl hon.
Yr haen a wnaeth y penderfyniad sy’n penderfynu pa gofnod sy’n ateb hynny. Mae’r pedwar sylw hyn yn cyfeirio at bedwar perchennog gwahanol:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Ysgrifennwch y testun union, y munud a chyd-destun y cyfrif yn y tocyn. Pa un a oedd yr ymgais yn rhyngweithiol neu’n awtomatig sy’n penderfynu pa gydran Windows a wnaeth yr alwad, ac mae adroddiad sy’n dweud bod y VPN wedi torri yn aml yn disgrifio safle mewnol ar goll yn hytrach na chymwysterau wedi’u gwrthod.
Darllenwch y polisi effeithiol, nid y gwerth coll
Sefydlwch lefel y fersiwn a’r diweddariad yn gyntaf, oherwydd newidiodd y gwerth diofyn ar gyfer cynhyrchu cymwysterau sy’n deillio o NTLMv1 yn y rhyddhau a restrir o Windows 11 a Windows Server 2025. Gyda Credential Guard wedi’i ddiffodd a BlockNtlmv1SSO heb ei osod, mae diweddariad a ryddhawyd ar 13 Hydref 2026 neu’n ddiweddarach yn symud yr ymddygiad o Archwilio i Orfodi heb erioed greu’r gwerth hwnnw. Nid oes dim yn ymddangos yn y gofrestr, ac mae’r ddyfais yn mynd yn lymach nag y bwriadodd y gweinyddwr diwethaf. Dyna’r rheswm cyfan pam mae chwiliad yn y gofrestr yn profi cyn lleied yma.
Cadwch y ffiniau ar wahân wrth ddarllen yr allbwn. LmCompatibilityLevel yw lefel ymateb dilysu’r rhwydwaith, sy’n penderfynu pa her ac ymateb y bydd y peiriant yn eu hanfon at weinydd; nid y rheolydd sy’n llywodraethu cynhyrchu cymwysterau un mewngofnod ydyw, felly nid yw ei ostwng yn adfer mewngofnodi. Ai yw’r ddyfais yn mynd i siarad NTLMv1 fel protocol rhwydwaith o gwbl yw’r drydedd ffin, ac mae rhyddhau presennol Windows 11 a Server 2025 eisoes wedi ei ollwng. Credential Guard, y bedwaredd, sy’n amddiffyn cyfrinachau ar y ddyfais.
Cysylltwch un ymgais ag un digwyddiad
Atgynhyrchwch y methiant unwaith, nodwch y munud, yna tynnwch y dystiolaeth leol mewn un eisteddiad. Mae tair gorchymyn yn cwmpasu’r fersiwn, y gwerth effeithiol a’r cofnod gweithredol NTLM lle cofnodir cynhyrchu cymwysterau un mewngofnod sydd wedi’i rwystro:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageMae digwyddiad ar yr un moment â’r methiant yn dystiolaeth. Nid yw digwyddiad o ddoe, o gyfrif arall, na chofnod heb unrhyw gofnod yn dystiolaeth, ac mae’r achos gwag yn werth ei gofnodi fel un gwag yn hytrach nag fel prawf absennol. Mae canllawiau Microsoft ar y newidiadau NTLMv1 yn enwi dynodydd y digwyddiad ar gyfer cynhyrchu cymwysterau un mewngofnod sydd wedi’i rwystro, felly cymharwch yr Id ag ef yn hytrach na dyfalu o destun y neges.
Cadwch neges y cleient a barn y porth ar yr un ymgais gyda’i gilydd. Mae bloc cynhyrchu cymwysterau lleol, gwrthodiad cyfrif o bell a llwybr preifat ar goll ar ôl mewngofnodi llwyddiannus yn perthyn i dri pherchennog gwahanol, a dim ond y cyntaf yw cwestiwn polisi Windows. Glanhewch y digwyddiad cyn iddo adael y tîm: mae stamp amser ac Id digwyddiad fel arfer yn ateb y cwestiwn heb fanylion y cyfrif.
Symudwch i ddull mewngofnodi a gefnogir
Os y polisi effeithiol yw’r bloc, yr ateb yw llwybr dilysu a gefnogir yn hytrach na gwrthdroi’r diofyn yn ddistaw. Dilysu ar sail tystysgrif yw’r cyrchfan arferol lle mae’r defnydd yn ei gefnogi, ac mae angen cofrestru, dosbarthu ymddiriedaeth a phorth sy’n derbyn y tystysgrifau. Canllawiau Microsoft ar y newidiadau NTLMv1 sydd ar ddod yw’r ddogfen i’w dyfynnu pan adolygir yr achos.
Mae diffodd Credential Guard fel arbrawf yn dileu amddiffyniad heb ddarparu mewngofnodi amnewidiol, a’r cyfyngiadau dogfennedig ar gymwysterau y gellir eu hailddefnyddio yw’r rheswm pam mae hynny’n benderfyniad dylunio yn hytrach na cham diagnostig. Os awdurdodir eithriad dros dro, rhowch gwmpas, perchennog a dyddiad ymneilltuo iddo, a chadwch lwybr gweinyddu annibynnol at y peiriant rhag ofn i’r newid eich cloi allan o’r cysylltiad sydd ei angen arnoch. Y prawf derbyn yw’r dilysu a fwriadwyd ynghyd â’r adnodd y tu ôl iddo, nid diflaniad un cod gwall lleol.