VPN-i sisselogimine tagasi lükatud: kontrolli enne registrit koostetaset
Puuduv registriväärtus võib pärast uuendust kehtestada oma vaikeväärtuse. Loe esmalt koostetaset, kehtivat poliitikat ja üht sobivat sündmust.
Sisselogimine lükatakse tagasi masinas, kus keegi ei ole registrit muutnud, ja foorumivastus soovitab lisada väärtuse, mida seal ei ole. Puudumine ei ole leid. Windows rakendab vaikeväärtusi, vaikeväärtus võib paigaldatud uuendusega muutuda ja seetõttu võib seadme kehtiv poliitika olla rangem, kui register vihjab.
Alusta veast, mida klient tegelikult näitas
Loe teadet, mitte kokkuvõtet, mis jõudis sinuni teise käe kaudu. Kohe tagasi tulev küsimus, tunnelil tekkimise järel aegumine ja tõrge, mis ilmneb alles siis, kui ühendus proovib sisselogitud kontot uuesti kasutada, on kolm erinevat olukorda. Ainult kolmas puudutab üldse ühekordset sisselogimist ja kahte esimest ei paranda miski selles artiklis.
Otsuse teinud kiht määrab, milline log sellele vastab. Need neli tähelepanekut osutavad neljale erinevale omanikule:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Kirjuta piletisse täpne tekst, minut ja konto kontekst. See, kas katse oli interaktiivne või automaatne, määrab, milline Windowsi komponent kõne tegi, ja aruanne, et VPN on katki, kirjeldab sageli puuduvat siseveebisaiti, mitte tagasilükatud mandaate.
Loe kehtivat poliitikat, mitte puuduvat väärtust
Tehke esmalt kindlaks kooste- ja uuendustase, sest NTLMv1-st tuletatud mandaatide genereerimise vaikeväärtus muutus loetletud Windows 11 ja Windows Server 2025 väljaannetes. Kui Credential Guard on väljas ja BlockNtlmv1SSO on seadistamata, liigutab 13. oktoobril 2026 või hiljem välja antud uuendus käitumise auditist jõustamisse, ilma et see väärtust kunagi looks. Registris ei ilmu midagi ja seade muutub rangemaks, kui viimane administraator kavatses. See ongi põhjus, miks registriotsing tõestab siin nii vähe.
Hoia piirid lugemisel lahus. LmCompatibilityLevel on võrgu autentimise vastusetase, mis määrab, millise väljakutse ja vastuse masin serverile saadab; see ei ole juhtelement, mis reguleerib ühekordse sisselogimise mandaatide genereerimist, seega selle langetamine ei taasta sisselogimist. Kas seade üldse räägib NTLMv1-te võrguprotokollina, on kolmas piir, ja praegused Windows 11 ning Server 2025 väljaanded on sellest juba loobunud. Credential Guard, neljas, kaitseb seadmes saladusi.
Seo üks katse ühe sündmusega
Korda tõrget üks kord, pane minut kirja ja kogu seejärel kohalikud tõendid ühe istungiga. Kolm käsku katavad koostetaseme, kehtiva väärtuse ja NTLM-i talitluslogi, kuhu kantakse blokeeritud ühekordse sisselogimise mandaatide genereerimine:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageSündmus samal hetkel tõrkega on tõend. Eilne sündmus, teise konto oma või logi, milles pole ühtki kirjet, ei ole, ja tühja juhtumit tasub kirja panna tühjana, mitte puuduva tõendina. Microsofti juhis NTLMv1 muudatuste kohta nimetab sündmuse identifikaatori blokeeritud ühekordse sisselogimise mandaatide genereerimise jaoks, seega võrdle Id-d sellega, mitte ära oleta sõnumi tekstist.
Hoia koos kliendi enda teade ja lüüsi vaade samale katsele. Kohalik mandaadi genereerimise blokeering, kauge konto tagasilükkamine ja puuduv privaatne marsruut pärast edukat sisselogimist on kolme erineva omanikuga ning ainult esimene on Windowsi poliitika küsimus. Puhasta sündmus enne, kui see meeskonnast lahkub: ajatempel ja sündmuse Id vastavad tavaliselt küsimusele ilma konto andmeteta.
Liigu toetatud sisselogimismeetodile
Kui kehtiv poliitika on blokeering, on vastuseks toetatud autentimistee, mitte vaikeväärtuse vaikne tagasipööramine. Sertifikaadipõhine autentimine on tavaline sihtkoht seal, kus juurutus seda toetab, ja see nõuab registreerimist, usalduse jaotamist ja lüüsi, mis sertifikaate aktsepteerib. Microsofti juhis eelseisvate NTLMv1 muudatuste kohta on dokument, mida juhtumi ülevaatamisel tsiteeritakse.
Credential Guardi väljalülitamine katse korras eemaldab kaitse ilma asendus-sisselogimist pakkumata, ja dokumenteeritud piirangud korduvkasutatavatele mandaatidele on põhjus, miks see on disainiotsus, mitte diagnostiline samm. Kui ajutine erand lubatakse, anna sellele ulatus, omanik ja lõppkuupäev, ning hoia masinani sõltumatu haldustee, kui muudatus peaks sinu vajalikust ühendusest välja lukustama. Vastuvõtukatse on kavandatud autentimine pluss selle taga olev ressurss, mitte ühe kohaliku veakoodi kadumine.