Το LmCompatibilityLevel είναι πολιτική των Windows, όχι διόρθωση VPN

Κάποιος δεν φτάνει σε έναν κοινόχρηστο φάκελο μέσω VPN, διαβάζει ότι η μείωση του LmCompatibilityLevel διορθώνει προβλήματα NTLM και την αλλάζει σε έναν διακομιστή που μοιράζονται άλλοι. Το επόμενο πρωί άλλες εφαρμογές αποτυγχάνουν και το αρχικό πρόβλημα παραμένει. Η ρύθμιση αυτή δεν ήταν ποτέ διακόπτης ανά τούνελ· είναι μια δήλωση σε επίπεδο μηχανήματος για το ποιες απαντήσεις ελέγχου ταυτότητας θα στέλνει και θα δέχεται το σύστημα. Η αλλαγή της για να διορθωθεί μία σύνδεση ξαναγράφει τους κανόνες για κάθε σύνδεση που εκτελεί το μηχάνημα.

Η ανάγνωση των τεκμηριωμένων επιπέδων είναι ο ταχύτερος τρόπος να πάψετε να αντιμετωπίζετε μια τιμή πολιτικής ως μαγικό αριθμό.

Τρία επίπεδα, τρεις διαφορετικές υποσχέσεις

Το επίπεδο 1 κάνει τον πελάτη να στέλνει απαντήσεις LM και NTLM, χρησιμοποιώντας ασφάλεια συνεδρίας NTLMv2 όταν το επιτρέπει η διαπραγμάτευση. Το επίπεδο 3 κάνει τον πελάτη να στέλνει μόνο απαντήσεις NTLMv2, που δεν είναι το ίδιο με την απόρριψη κάθε παλαιότερης απάντησης στην πλευρά του παραλήπτη. Το επίπεδο 5 κρατά τον πελάτη στο NTLMv2 και προσθέτει την τεκμηριωμένη απόρριψη LM και NTLMv1 από τον ελεγκτή τομέα. Τρεις αριθμοί, και η διαφορά μεταξύ τους είναι απόφαση πολιτικής και όχι προτίμηση.

Αυτές οι διαφορές εξηγούν γιατί η αντιγραφή μιας τιμής από μια περίπτωση που λειτουργεί είναι αναξιόπιστη. Η μετακίνηση ενός λανθασμένα ρυθμισμένου πελάτη από το 1 στη εγκεκριμένη βάση μπορεί να είναι σωστή. Η μετακίνηση μιας σκληρυμένης εγκατάστασης από το 5 στο 3 επειδή ένα νήμα φόρουμ ανέφερε το 3 χαλαρώνει ένα όριο που κάποιος επέλεξε σκόπιμα, και το κάνει για κάθε υπηρεσία με την οποία μιλά το μηχάνημα.

Διαβάστε την ισχύουσα πολιτική, όχι μία τιμή μητρώου

Μια ματιά μόνο για ανάγνωση στην τοπική τιμή είναι λογικό σημείο εκκίνησης: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Η απουσία τιμής δεν σημαίνει ότι η ισχύουσα πολιτική είναι μηδέν, γιατί μια πολιτική τομέα ή τοπική πολιτική ασφαλείας μπορεί να την ορίσει αλλού, και ο ρόλος του μηχανήματος αλλάζει το τι κάνει με τον αριθμό.

Ελέγξτε τη διαχειριζόμενη πολιτική, τον ρόλο του συστήματος και την πραγματική έκδοση πριν καταλήξετε σε οτιδήποτε. Ένας σταθμός εργασίας και ένας ελεγκτής τομέα με την ίδια τιμή συμπεριφέρονται διαφορετικά στο πάνω άκρο, και αυτό είναι το σημείο που ξεχνούν οι άνθρωποι όταν συγκρίνουν δύο μηχανήματα.

Προσδιορίστε ποιος έλεγχος ταυτότητας απέτυχε πραγματικά

Τα προβλήματα εισιτηρίων Kerberos, οι απορρίψεις NTLM και οι αποτυχίες εισόδου VPN χρειάζονται διαφορετικά στοιχεία. Κρατήστε την υπηρεσία-στόχο, τον λογαριασμό και το ακριβές σφάλμα μαζί σε ένα σημείωμα, και μετά κοιτάξτε τι ζήτησε η υπηρεσία και όχι τι προτιμά ο πελάτης. Αυτό το ένα σημείωμα αποτρέπει τη συνηθέστερη λάθος στροφή, δηλαδή την αλλαγή μιας τιμής στην πλευρά του πελάτη για να απαντηθεί μια απόρριψη στην πλευρά του διακομιστή.

Η επανειλημμένη μείωση μιας πολιτικής μέχρι να εξαφανιστεί ένα γενικό σφάλμα σύνδεσης δεν είναι διάγνωση· είναι μια αλλαγή που κρύβει το στοιχείο. Αν η εφαρμογή χρησιμοποιεί Kerberos, το επίπεδο συμβατότητας NTLM δεν είναι καν ο σχετικός έλεγχος, και έχετε χαλαρώσει ένα όριο χωρίς λόγο.

Κάποια υποστήριξη πρωτοκόλλου δεν μπορεί να αποκατασταθεί

Τα Windows 11 24H2 και τα Windows Server 2025 δεν περιλαμβάνουν πλέον καθόλου έλεγχο ταυτότητας δικτύου NTLMv1. Κανένας αριθμός συμβατότητας δεν επαναφέρει ένα πρωτόκολλο που η έκδοση δεν υλοποιεί πια, οπότε μια υποβάθμιση που βοήθησε σε παλαιότερη έκδοση θα αποτύχει απλώς σε νεότερη. Η Microsoft τεκμηριώνει αυτή την αφαίρεση ξεχωριστά από τη ρύθμιση πολιτικής, και η σύγχυση των δύο παράγει συμβουλές που δεν μπορούν να λειτουργήσουν.

Ένας σχετικός αλλά διαφορετικός περιορισμός ισχύει για διαπιστευτήρια που προέρχονται από NTLMv1 και χρησιμοποιεί η ενιαία σύνδεση βασισμένη σε MSCHAPv2. Είναι ζήτημα παράγωγων διαπιστευτηρίων, όχι του ίδιου του πρωτοκόλλου δικτύου, και όχι αυτής της μίας τιμής μητρώου. Η αντιμετώπιση και των τριών ως ίδιο θέμα είναι ο τρόπος με τον οποίο οι οργανισμοί καταλήγουν να αποδυναμώνουν έναν έλεγχο ενώ προσπαθούν να διορθώσουν άλλον.

Αλλάξτε το μέσω του ιδιοκτήτη και μετά δοκιμάστε και τις δύο κατευθύνσεις

Αν πραγματικά χρειάζεται διόρθωση, κάντε την μέσω του ιδιοκτήτη της πολιτικής ώστε η βάση να παραμένει συνεκτική, και καταγράψτε το γιατί. Έπειτα δοκιμάστε μια εξουσιοδοτημένη εφαρμογή υπό τη νέα ρύθμιση και μια σκόπιμα απαγορευμένη περίπτωση ελέγχου ταυτότητας, γιατί μια αλλαγή που διορθώνει έναν κοινόχρηστο φάκελο και επιτρέπει σιωπηρά παλαιότερες απαντήσεις αλλού δεν είναι επιτυχία. Μια λειτουργική σύνδεση VPN αποδεικνύει ότι η είσοδος πέτυχε. Δεν επικυρώνει την πολιτική ελέγχου ταυτότητας του μηχανήματος και σίγουρα δεν δείχνει ότι κάθε υπηρεσία πίσω της συμπεριφέρεται ακόμη όπως σχεδιάστηκε.

Αν η υπηρεσία που αποτυγχάνει βασίζεται σε Kerberos, σταματήστε εντελώς να κοιτάτε αυτή τη ρύθμιση. Αν είναι μια παλαιότερη συσκευή που πραγματικά δεν μπορεί καλύτερα, τεκμηριώστε αυτή την εξαίρεση και περιορίστε την, γιατί η εναλλακτική είναι μια σιωπηρά αποδυναμωμένη βάση που κανείς δεν θυμάται να ενέκρινε.