VPN-login afvist: tjek builden før registreringsdatabasen
En manglende værdi i registreringsdatabasen kan håndhæve sin egen standard efter en opdatering. Læs buildniveauet, den effektive politik og en enkelt matchende hændelse først.
Login afvises på en maskine, hvor ingen har redigeret registreringsdatabasen, og forumssvaret siger, at du skal tilføje en værdi, der ikke er der. Fravær er ikke fundet. Windows anvender standardværdier, en standardværdi kan ændre sig med en installeret opdatering, og derfor kan den effektive politik på enheden være strengere, end registreringsdatabasen antyder.
Start med den fejl, klienten faktisk viste
Læs meddelelsen i stedet for det resumé, der nåede dig på anden hånd. En prompt, der vender tilbage med det samme, en timeout efter tunnelen er dannet, og en fejl, der først vises, når forbindelsen forsøger at genbruge den loggede konto, er tre forskellige situationer. Kun den tredje handler overhovedet om single sign-on, og de to første bliver ikke rettet af noget i denne artikel.
Det lag, der traf beslutningen, afgør, hvilken log der svarer på den. Disse fire observationer peger på fire forskellige ejere:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Skriv den præcise tekst, minuttet og kontokonteksten i sagen. Om forsøget var interaktivt eller automatisk afgør, hvilken Windows-komponent der foretog kaldet, og en rapport om, at VPN'en er i stykker, beskriver ofte et manglende internt websted snarere end afviste legitimationsoplysninger.
Læs den effektive politik, ikke den manglende værdi
Fastlæg først build- og opdateringsniveauet, fordi standarden for generering af legitimationsoplysninger afledt af NTLMv1 blev ændret i de anførte udgivelser af Windows 11 og Windows Server 2025. Med Credential Guard slået fra og BlockNtlmv1SSO ikke angivet flytter en opdatering udgivet 13. oktober 2026 eller senere adfærden fra Revision til Håndhævelse uden nogensinde at oprette den værdi. Der vises intet i registreringsdatabasen, og enheden bliver strengere, end den sidste administrator tilsigtede. Det er hele grunden til, at en søgning i registreringsdatabasen beviser så lidt her.
Hold grænserne adskilt, mens du læser outputtet. LmCompatibilityLevel er svarniveauet for netværksgodkendelse, som afgør, hvilken udfordring og respons maskinen sender til en server; det er ikke den kontrol, der styrer generering af legitimationsoplysninger til single sign-on, så at sænke det gendanner ikke login. Om enheden overhovedet vil tale NTLMv1 som netværksprotokol, er en tredje grænse, og de nuværende udgivelser af Windows 11 og Server 2025 har allerede droppet det. Credential Guard, den fjerde, beskytter hemmeligheder på enheden.
Korrelér ét forsøg med én hændelse
Genskab fejlen én gang, notér minuttet, og hent derefter de lokale beviser i én omgang. Tre kommandoer dækker builden, den effektive værdi og NTLM-driftsloggen, hvor en blokeret generering af single sign-on-legitimationsoplysninger registreres:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageEn hændelse på samme tidspunkt som fejlen er bevis. En hændelse fra i går, fra en anden konto eller en log uden nogen post er det ikke, og det tomme tilfælde er værd at registrere som tomt snarere end som manglende bevis. Microsofts vejledning om NTLMv1-ændringerne angiver hændelses-id'et for blokeret generering af single sign-on-legitimationsoplysninger, så sammenlign Id med det i stedet for at gætte ud fra meddelelsesteksten.
Hold klientens egen meddelelse og gatewayens syn på samme forsøg sammen. En lokal blokering af legitimationsgenerering, en fjern afvisning af kontoen og en manglende privat rute efter et vellykket login har tre forskellige ejere, og kun den første er et Windows-politikspørgsmål. Rens hændelsen, før den forlader teamet: et tidsstempel og et hændelses-id besvarer normalt spørgsmålet uden kontooplysningerne.
Skift til en understøttet loginmetode
Hvis den effektive politik er blokeringen, er svaret en understøttet godkendelsesvej frem for en stille tilbageførsel af standarden. Certifikatbaseret godkendelse er det sædvanlige mål, hvor implementeringen understøtter det, og det kræver tilmelding, distribution af tillid og en gateway, der accepterer certifikaterne. Microsofts vejledning om de kommende NTLMv1-ændringer er det dokument, der citeres, når sagen gennemgås.
At slå Credential Guard fra som et eksperiment fjerner beskyttelsen uden at levere et erstatningslogin, og de dokumenterede begrænsninger for genanvendelige legitimationsoplysninger er grunden til, at det er en designbeslutning snarere end et diagnostisk trin. Hvis en midlertidig undtagelse godkendes, giv den et omfang, en ejer og en udløbsdato, og behold en uafhængig administrationsvej til maskinen, hvis ændringen låser dig ude af den forbindelse, du har brug for. Accepttesten er den tilsigtede godkendelse plus ressourcen bag den, ikke forsvinden af én lokal fejlkode.