VPN-ensaluto malakceptita: kontrolu la version antaŭ la registro
Mankanta registra valoro povas trudi sian propran defaŭlton post ĝisdatigo. Legu unue la versionivelon, la efektivan politikon kaj unu kongruan eventon.
La ensaluto estas malakceptita sur maŝino, kie neniu redaktis la registron, kaj la forumrespondo diras aldoni valoron, kiu ne ĉeestas. Manko ne estas la konstato. Windows aplikas defaŭltojn, defaŭlto povas ŝanĝiĝi kun instalita ĝisdatigo, kaj tial la efektiva politiko sur la aparato povas esti pli strikta ol la registro sugestas.
Komencu per la eraro, kiun la kliento efektive montris
Legu la mesaĝon, ne la resumon, kiu atingis vin per dua mano. Invito, kiu tuj revenas, tempolimo post kiam la tunelo formiĝas, kaj malsukceso, kiu aperas nur kiam la konekto provas reuzi la ensalutitan konton, estas tri malsamaj situacioj. Nur la tria entute temas pri unuopa ensaluto, kaj la unuajn du nenio en ĉi tiu artikolo riparos.
La tavolo, kiu faris la decidon, determinas, kiun protokolon ĝi respondas. Ĉi tiuj kvar observoj montras al kvar diversaj posedantoj:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Skribu la precizan tekston, la minuton kaj la kontan kuntekston en la bileton. Ĉu la provo estis interaga aŭ aŭtomata determinas, kiun Windows-komponenton faris la vokon, kaj raporto, ke la VPN estas difektita, ofte priskribas mankan internan retejon anstataŭ rifuzitajn akreditaĵojn.
Legu la efektivan politikon, ne la mankan valoron
Unue establu la version kaj la ĝisdatigan nivelon, ĉar la defaŭlto por generado de akreditaĵoj derivitaj de NTLMv1 ŝanĝiĝis en la listigitaj eldonoj de Windows 11 kaj Windows Server 2025. Kun malŝaltita Credential Guard kaj neagordita BlockNtlmv1SSO, ĝisdatigo publikigita la 13-an de oktobro 2026 aŭ poste movas la konduton de Aŭdito al Devigo sen iam ajn krei tiun valoron. Nenio aperas en la registro, kaj la aparato fariĝas pli strikta ol la lasta administranto intencis. Tio estas la tuta kialo, kial registra serĉo pruvas ĉi tie tiel malmulte.
Tenadu la limojn apartaj dum vi legas la eligon. LmCompatibilityLevel estas la responda nivelo de reta aŭtentikigo, kiu decidas, kiun defion kaj respondon la maŝino sendos al servilo; ĝi ne estas la regilo, kiu regas la generadon de akreditaĵoj por unuopa ensaluto, do malaltigi ĝin ne restarigas la ensaluton. Ĉu la aparato entute parolos NTLMv1 kiel retan protokolon, estas tria limo, kaj la nunaj eldonoj de Windows 11 kaj Server 2025 jam forlasis ĝin. Credential Guard, la kvara, protektas sekretojn sur la aparato.
Kunligu unu provon kun unu evento
Ripetu la malsukceson unufoje, notu la minuton, poste kolektu la lokajn pruvojn en unu sesio. Tri komandoj kovras la version, la efektivan valoron kaj la operacian protokolon NTLM, kie oni registras blokitan generadon de unuopaj ensalutaj akreditaĵoj:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageEvento sammomente kiel la malsukceso estas pruvo. Evento de hieraŭ, de alia konto aŭ protokolo sen iu ajn rikordo ne estas, kaj la malplena kazo indas esti registrita kiel malplena prefere ol kiel mankanta pruvo. La gvidilo de Microsoft pri la NTLMv1-ŝanĝoj nomas la eventan identigilon por blokita generado de unuopaj ensalutaj akreditaĵoj, do komparu la Id kun ĝi anstataŭ diveni el la mesaĝa teksto.
Tenadu kune la propran mesaĝon de la kliento kaj la vidon de la enirejo pri la sama provo. Loka blokado de akreditaĵa generado, fora konta rifuzo kaj mankanta privata itinero post sukcesa ensaluto havas tri diversajn posedantojn, kaj nur la unua estas demando pri Windows-politiko. Purigu la eventon antaŭ ol ĝi forlasos la teamon: tempmarko kaj eventa Id kutime respondas la demandon sen la kontaj detaloj.
Transiru al subtenata ensaluta metodo
Se la efektiva politiko estas la blokado, la respondo estas subtenata aŭtentikiga vojo, ne silenta malfaro de la defaŭlto. Atestila aŭtentikigo estas la kutima celo, kie la deplojo subtenas ĝin, kaj ĝi postulas enskribiĝon, distribuon de fido kaj enirejon, kiu akceptas la atestilojn. La gvidilo de Microsoft pri la venontaj NTLMv1-ŝanĝoj estas la dokumento citenda kiam oni revizias la kazon.
Malŝalti Credential Guard kiel eksperimenton forigas protekton sen liveri anstataŭan ensaluton, kaj la dokumentitaj limigoj pri reuzeblaj akreditaĵoj estas la kialo, ke tio estas dizajna decido kaj ne diagnoza paŝo. Se oni rajtigas provizoran escepton, donu al ĝi amplekson, posedanton kaj ĉesigan daton, kaj tenu sendependan administran vojon al la maŝino por kazo, ke la ŝanĝo ŝlosos vin ekster la konekton, kiun vi bezonas. La akcepta testo estas la celata aŭtentikigo plus la rimedo malantaŭ ĝi, ne la malapero de unu loka erarkodo.