Inicio de sesión de VPN rechazado: revise la compilación antes del registro
Un valor ausente en el registro puede estar aplicando su propio valor predeterminado tras una actualización. Lea primero el nivel de compilación, la directiva efectiva y un evento coincidente.
El inicio de sesión se rechaza en una máquina donde nadie ha editado el registro, y la respuesta del foro dice que añada un valor que no está. La ausencia no es el hallazgo. Windows aplica valores predeterminados, un valor predeterminado puede cambiar con una actualización instalada y, por tanto, la directiva efectiva del dispositivo puede ser más estricta de lo que sugiere el registro.
Empiece por el error que el cliente mostró realmente
Lea el mensaje, no el resumen que le llegó de segunda mano. Un aviso que vuelve de inmediato, un tiempo de espera después de formarse el túnel y un fallo que solo aparece cuando la conexión intenta reutilizar la cuenta iniciada son tres situaciones distintas. Solo la tercera tiene que ver con el inicio de sesión único, y las dos primeras no se arreglarán con nada de este artículo.
La capa que tomó la decisión determina qué registro la responde. Estas cuatro observaciones apuntan a cuatro responsables distintos:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Escriba el texto exacto, el minuto y el contexto de la cuenta en el ticket. Que el intento sea interactivo o automático determina qué componente de Windows hizo la llamada, y un informe que dice que la VPN está rota a menudo describe un sitio interno ausente y no unas credenciales rechazadas.
Lea la directiva efectiva, no el valor ausente
Establezca primero el nivel de compilación y actualización, porque el valor predeterminado de la generación de credenciales derivadas de NTLMv1 cambió en las versiones indicadas de Windows 11 y Windows Server 2025. Con Credential Guard desactivado y BlockNtlmv1SSO sin definir, una actualización publicada el 13 de octubre de 2026 o después mueve el comportamiento de Auditoría a Aplicación sin crear nunca ese valor. En el registro no aparece nada, y el dispositivo se vuelve más estricto de lo que pretendía el último administrador. Esa es toda la razón por la que una búsqueda en el registro demuestra tan poco aquí.
Mantenga las fronteras separadas mientras lee la salida. LmCompatibilityLevel es el nivel de respuesta de autenticación de red, que decide qué desafío y qué respuesta enviará la máquina a un servidor; no es el control que rige la generación de credenciales para el inicio de sesión único, así que bajarlo no restaura el inicio de sesión. Si el dispositivo hablará siquiera NTLMv1 como protocolo de red es una tercera frontera, y las versiones actuales de Windows 11 y Server 2025 ya lo han retirado. Credential Guard, la cuarta, protege los secretos del dispositivo.
Correlacione un intento con un evento
Reproduzca el fallo una vez, anote el minuto y luego reúna la evidencia local de una sola vez. Tres comandos cubren la compilación, el valor efectivo y el registro operativo de NTLM donde se documenta una generación de credenciales de inicio de sesión único bloqueada:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageUn evento en el mismo momento que el fallo es una prueba. Un evento de ayer, de otra cuenta o un registro sin ninguna entrada no lo es, y el caso vacío merece registrarse como vacío y no como prueba ausente. La guía de Microsoft sobre los cambios de NTLMv1 nombra el identificador de evento para la generación bloqueada de credenciales de inicio de sesión único, así que compare el Id con él en lugar de adivinar por el texto del mensaje.
Mantenga juntos el mensaje del cliente y la visión de la puerta de enlace del mismo intento. Un bloqueo local de generación de credenciales, un rechazo remoto de la cuenta y una ruta privada ausente tras un inicio de sesión correcto tienen tres responsables distintos, y solo el primero es una cuestión de directiva de Windows. Depure el evento antes de que salga del equipo: una marca de tiempo y un Id de evento suelen responder la pregunta sin los datos de la cuenta.
Pase a un método de inicio de sesión admitido
Si la directiva efectiva es el bloqueo, la respuesta es una ruta de autenticación admitida y no una reversión silenciosa del valor predeterminado. La autenticación basada en certificados es el destino habitual donde el despliegue la admite, y necesita inscripción, distribución de confianza y una puerta de enlace que acepte los certificados. La guía de Microsoft sobre los próximos cambios en NTLMv1 es el documento que hay que citar cuando se revisa el caso.
Desactivar Credential Guard como experimento elimina la protección sin ofrecer un inicio de sesión alternativo, y las restricciones documentadas sobre credenciales reutilizables son la razón de que eso sea una decisión de diseño y no un paso de diagnóstico. Si se autoriza una excepción temporal, dele alcance, responsable y fecha de retirada, y mantenga una ruta de administración independiente hasta la máquina por si el cambio le deja fuera de la conexión que necesita. La prueba de aceptación es la autenticación prevista más el recurso que hay detrás, no la desaparición de un código de error local.