LmCompatibilityLevel on Windowsi poliitika, mitte VPN-i parandus

Keegi ei saa VPN-i kaudu failijagamiseni, loeb, et LmCompatibilityLeveli vähendamine lahendab NTLM-probleemid, ja muudab seda jagatud serveris. Järgmisel hommikul nurjuvad teised rakendused ja algne probleem püsib. See säte ei olnud kunagi ühe tunneli lüliti; see on masinat hõlmav väide selle kohta, milliseid autentimisvastuseid see süsteem saadab ja aktsepteerib. Selle muutmine ühe sisselogimise parandamiseks kirjutab ümber reeglid iga sisselogimise jaoks, mida masin teeb.

Dokumenteeritud tasemete lugemine on kiireim viis lõpetada poliitika väärtuse käsitlemine maagilise numbrina.

Kolm taset, kolm erinevat lubadust

Tase 1 paneb kliendi saatma LM- ja NTLM-vastuseid, kasutades NTLMv2 seansi turvet, kui läbirääkimine seda lubab. Tase 3 paneb kliendi saatma ainult NTLMv2 vastuseid, mis ei ole sama, mis iga vanema vastuse tagasilükkamine vastuvõtja poolel. Tase 5 hoiab kliendi NTLMv2 juures ja lisab domeenikontrolleri dokumenteeritud LM-i ja NTLMv1 tagasilükkamise. Kolm numbrit, ja nende vahe on poliitika otsus, mitte eelistus.

Need erinevused selgitavad, miks väärtuse kopeerimine töötavast juhtumist on ebausaldusväärne. Vale konfiguratsiooniga kliendi viimine 1-lt heakskiidetud baasjoonele võib olla õige. Kõvendatud juurutuse viimine 5-lt 3-le ainult sellepärast, et foorumilõim mainis 3, lõdvendab piiri, mille keegi valis teadlikult, ja teeb seda iga teenuse puhul, millega masin suhtleb.

Lugege tegelikku poliitikat, mitte üht registriväärtust

Kirjutuskaitstud pilk kohalikule väärtusele on mõistlik lähtepunkt: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Puuduv väärtus ei tähenda, et tegelik poliitika on null, sest domeeni- või kohalik turbepoliitika võib selle mujal seada ja masina roll muudab seda, mida ta numbriga teeb.

Enne järelduste tegemist kontrollige hallatavat poliitikat, süsteemi rolli ja tegelikku build'i. Sama väärtusega tööjaam ja domeenikontroller käituvad ülemises otsas erinevalt, ja just seda unustatakse kahe masina võrdlemisel.

Tehke kindlaks, milline autentimine tegelikult ebaõnnestus

Kerberose piletite probleemid, NTLM-i tagasilükkamised ja VPN-i vastuvõtuvead vajavad erinevaid tõendeid. Hoidke sihteenus, konto ja täpne viga koos ühes märkmes, seejärel vaadake, mida teenus nõudis, mitte mida klient eelistab. See üks märge hoiab ära kõige tavalisema vale pöörde, nimelt kliendipoolse väärtuse muutmise serveripoolsele tagasilükkamisele vastamiseks.

Poliitika korduv langetamine, kuni üldine sisselogimisviga kaob, ei ole diagnoos; see on muudatus, mis peidab tõendi. Kui rakendus kasutab Kerberost, ei ole NTLM-i ühilduvustase isegi asjakohane kontroll, ja olete piiri asjata lõdvendanud.

Osa protokollituge ei ole võimalik taastada

Windows 11 24H2 ja Windows Server 2025 ei sisalda enam üldse NTLMv1 võrguautentimist. Ükski ühilduvusnumber ei too tagasi protokolli, mida build enam ei rakenda, seega vanemale versioonile aidanud allaviimine lihtsalt nurjub uuemal. Microsoft dokumenteerib selle eemaldamise poliitikasättest eraldi, ja kahe segamine annab nõu, mis ei saa toimida.

Seotud, kuid erinev piirang kehtib MSCHAPv2-põhise ühekordse sisselogimise kasutatavatele NTLMv1-st tuletatud mandaatidele. See on tuletatud mandaatide küsimus, mitte võrguprotokoll ise ja mitte see üks registriväärtus. Kõigi kolme käsitlemine sama teemana on viis, kuidas organisatsioonid lõpuks nõrgendavad üht kontrolli, püüdes parandada teist.

Muutke seda omaniku kaudu ja seejärel testige mõlemat suunda

Kui parandus on tõesti vajalik, tehke seda poliitika omaniku kaudu, et baasjoon jääks sidusaks, ja pange kirja põhjus. Seejärel testige uue sätte all volitatud rakendust ja teadlikult keelatud autentimisjuhtumit, sest muudatus, mis parandab ühe jagamise ja lubab mujal vaikselt vanemaid vastuseid, ei ole edu. Töötav VPN-ühendus tõestab, et vastuvõtt õnnestus. See ei valideeri masina autentimispoliitikat ja näitab kindlasti mitte, et iga teenus selle taga käitub endiselt nii, nagu on projekteeritud.

Kui nurjuv teenus põhineb Kerberosel, lõpetage selle sätte vaatamine täielikult. Kui tegu on vanema seadmega, mis tõesti ei suuda paremini, dokumenteerige see erand ja piirake selle ulatus, sest alternatiiv on vaikselt nõrgendatud baasjoon, mille heakskiitmist keegi ei mäleta.