LmCompatibilityLevel Windowsen politika da, ez VPNrako konponbidea

Norbaiti ez zaio lortzen VPN bidez fitxategi-partekatze batera iristea, irakurtzen du LmCompatibilityLevel jaisteak NTLM arazoak konpontzen dituela, eta zerbitzari partekatu batean aldatzen du. Hurrengo goizean beste aplikazio batzuk huts egiten dute, eta jatorrizko arazoa hor dago oraindik. Ezarpen hau ez zen inoiz tunel bakoitzeko etengailu bat; makina osorako adierazpena da, sistemak autentikazio-erantzun zein bidaliko eta onartuko dituenari buruz. Saio-hasiera bakarra konpontzeko aldatzeak makinak egiten duen saio-hasiera bakoitzerako arauak berridazten ditu.

Dokumentatutako mailak irakurtzea da politika-balio bat zenbaki magiko gisa tratatzeari uzteko modurik azkarrena.

Hiru maila, hiru promes desberdin

1. mailak bezeroari LM eta NTLM erantzunak bidaltzea eragiten dio, NTLMv2 saio-segurtasuna erabiliz negoziazioak uzten duenean. 3. mailak bezeroari NTLMv2 erantzunak bakarrik bidaltzea eragiten dio, eta hori ez da berdin hartzailearen aldean erantzun zaharra guztiak ukatzea. 5. mailak bezeroa NTLMv2-n mantentzen du eta domeinu-kontrolatzailearen LM eta NTLMv1 ukatze dokumentatua gehitzen du. Hiru zenbaki, eta haien arteko aldea politika-erabakia da, ez lehentasuna.

Desberdintasun horiek argitzen dute zergatik den fidagarria ez den balio bat funtzionatzen duen kasu batetik kopiatzea. Gaizki konfiguratutako bezero bat 1etik onartutako oinarri-lerrora mugitzea zuzena izan daiteke. Endurezitutako inplementazio bat 5etik 3ra jaistea foro-hari batek 3 aipatu duelako norbaiten nahita aukeratutako muga bat lasaitzen du, eta makinak hitz egiten duen zerbitzu bakoitzerako egiten du.

Irakurri politika eraginkorra, ez erregistro-balio bat

Irakurketa soilik eginez tokiko balioari begiratzea abiapuntu zentzuzkoa da: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Balioa ez egoteak ez du esan nahi politika eraginkorra zero denik, dominio-politika edo tokiko segurtasun-politika batek beste nonbait ezar dezakeelako, eta makinaren rolek aldatu egiten duelako zenbakiarekin egiten duena.

Ezer ondorioztatu aurretik, egiaztatu kudeatutako politika, sistemaren rola eta benetako build-a. Balio bera duten lan-estazio batek eta domeinu-kontrolatzaile batek desberdin jokatzen dute goiko muturrean, eta horixe da jendeak ahazten duena bi makina alderatzean.

Zehaztu zein autentikaziok egin zuen huts benetan

Kerberos txartelen arazoek, NTLM ukatzek eta VPN sarrerako hutsegiteek froga desberdinak behar dituzte. Eduki helburuko zerbitzua, kontua eta errore zehatza elkarrekin ohar bakarrean, eta gero begiratu zerbitzuak zer eskatu zuen, ez bezeroak zer nahiago duen. Ohar bakar horrek ohikoen den bide okerra saihesten du: bezeroaren aldeko balio bat aldatzea zerbitzariaren aldeko ukatzeari erantzuteko.

Politika behin eta berriz jaistea saio-hasierako errore generiko bat desagertu arte ez da diagnostikoa; froga ezkutatzen duen aldaketa da. Aplikazioak Kerberos erabiltzen badu, NTLM bateragarritasun-maila ez da errelebantea den kontrola ere, eta muga bat alferrik lasaitu duzu.

Protokolo-euskarri bat ezin da berrezarri

Windows 11 24H2 eta Windows Server 2025 ez dute jada NTLMv1 sare-autentikaziorik batere barne hartzen. Bateragarritasun-zenbaki batek ez du build-ak jada inplementatzen ez duen protokolo bat itzultzen, beraz bertsio zaharrago batean lagundu zuen degradazioak huts egingo du berriago batean. Microsoft-ek kentze hori politika-ezarpenetik bereiz dokumentatzen du, eta biak nahasteak funtzionatu ezin duen aholkua sortzen du.

MSCHAPv2-n oinarritutako saio-hasiera bakarrak erabiltzen dituen NTLMv1-tik eratorritako kredentzialei lotutako baina desberdina den murrizketa bat aplikatzen zaie. Kredentzial eratorrien kontua da, ez sare-protokoloarena bera, eta ez erregistro-balio hau. Hirurak gai bera balira bezala tratatzea da erakundeak kontrol bat ahultzen amaitzen duen bidea, bestea konpontzen saiatzen ari diren bitartean.

Aldatu jabearen bidez, eta gero probatu bi norabideak

Benetan zuzenketa beharrezkoa bada, egin jabearen bidez oinarri-lerroa koherente mantentzeko, eta idatzi zergatik. Gero probatu baimendutako aplikazio bat ezarpen berriaren pean eta nahita debekatutako autentikazio-kasu bat, partekatze bat konpondu eta beste nonbait isilpean erantzun zaharrak onartzen dituen aldaketa ez baita arrakasta. Funtzionatzen duen VPN konexio batek sarrera lortu zela frogatzen du. Ez du makinaren autentikazio-politika baliozkotzen, eta are gutxiago erakusten du atzean dagoen zerbitzu bakoitzak diseinatu zen bezala jokatzen duenik.

Huts egiten duen zerbitzua Kerberosen oinarritzen bada, utzi ezarpen honi begiratzeari erabat. Benetan gehiago egin ezin duen gailu zaharra bada, dokumentatu salbuespen hori eta mugatu, alternatiba inork onartu zuela gogoratzen ez duen isilpean ahuldutako oinarri-lerro bat delako.