VPN saio-hasiera baztertuta: egiaztatu bertsioa erregistroa baino lehen
Erregistroan falta den balio batek bere berezko balio lehenetsia ezar dezake eguneratze baten ondoren. Irakurri lehenengo bertsio-maila, politika eraginkorra eta bat datorren gertaera bat.
Saio-hasiera baztertu egiten da inork erregistroa editatu ez duen makin batean, eta foroko erantzunak han ez dagoen balio bat gehitzeko esaten du. Absentzia ez da aurkikuntza. Windowsek balio lehenetsiak aplikatzen ditu, balio lehenetsi bat alda daiteke instalatutako eguneratze batekin, eta, beraz, gailuko politika eraginkorra erregistroak iradokitzen duena baino zorrotzagoa izan daiteke.
Hasi bezeroak benetan erakutsi zuen errorearekin
Irakurri mezua, eta ez bigarren eskutik iritsi zaizun laburpena. Berehala itzultzen den eskaera bat, tunela eratu ondorengo denbora-muga bat eta saioa hasitako kontua berrerabiltzen saiatzean soilik agertzen den hutsegite bat hiru egoera desberdin dira. Hirugarrenak soilik du zerikusia saio-hasiera bakarrarekin, eta lehenengo biak artikulu honetako ezerk ez ditu konponduko.
Erabakia hartu zuen geruzak zehazten du zein erregistrok erantzuten dion. Behaketa hauek lau jabekide desberdinetara eramaten dute:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Idatzi testu zehatza, minutua eta kontuaren testuingurua tixetan. Saiakera interaktiboa edo automatikoa izan zen erabakitzen du Windowseko zein osagairek egin zuen deia, eta VPN-a hondatuta dagoela dioen txostenak askotan barneko gune bat falta dela deskribatzen du, eta ez kredentzial baztertuak.
Irakurri politika eraginkorra, ez falta den balioa
Ezarri lehenengo bertsio- eta eguneratze-maila, NTLMv1-etik eratorritako kredentzialen sorrerako balio lehenetsia aldatu baitzen Windows 11 eta Windows Server 2025 bertsio zerrendatuetan. Credential Guard itzalita eta BlockNtlmv1SSO ezarri gabe, 2026ko urriaren 13an edo geroago argitaratutako eguneratze batek portaera Ikuskaritzatik Indartzera eramaten du, balio hori inoiz sortu gabe. Ez da ezer agertzen erregistroan, eta gailua azken administratzaileak nahi zuena baino zorrotzagoa bihurtzen da. Hori da erregistroan egindako bilaketa batek hemen hain gutxi frogatzen duen arrazoi osoa.
Eduki itzazu mugak bereizita irteera irakurtzen duzun bitartean. LmCompatibilityLevel sare-autentifikazioaren erantzun-maila da, eta makinak zerrendari zein erronka eta erantzun bidaliko dizkion erabakitzen du; ez da saio-hasiera bakarreko kredentzialen sorrera gobernatzen duen kontrola, beraz, hura jaisteak ez du saio-hasiera leheneratzen. Gailuak NTLMv1 sare-protokolo gisa hitz egingo duen ala ez hirugarren muga da, eta egungo Windows 11 eta Server 2025 bertsioek dagoeneko utzi dute. Credential Guard, laugarrena, gailuko sekretuak babesten ditu.
Lotu saiakera bat gertaera batekin
Errepikatu hutsegitea behin, idatzi minutua, eta gero bildu tokiko froga saio bakarrean. Hiru komandok bertsioa, balio eraginkorra eta NTLM eragiketa-erregistroa hartzen dituzte, non blokeatutako saio-hasiera bakarreko kredentzialen sorrera erregistratzen den:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageHutsegitearen uneko gertaera bat froga da. Atzoko gertaera bat, beste kontu batena edo sarrerarik ez duen erregistro bat ez da, eta kasu hutsa huts gisa erregistratzea merezi du, ez froga falta gisa. Microsoftek NTLMv1 aldaketei buruzko gidak saio-hasiera bakarreko kredentzialen sorrera blokeatuaren gertaera-identifikatzailea aipatzen du, beraz, alderatu Id harekin, eta ez asmatu mezuaren testutik.
Eduki itzazu elkarrekin bezeroaren mezu propioa eta atebidearen ikuspegia saiakera berari buruz. Tokiko kredentzial-sorreraren blokeo batek, urrutiko kontu-baztertze batek eta saio-hasiera arrakastatsuaren ondorengo bide pribatu faltak hiru jabekide desberdin dituzte, eta lehenengoa soilik da Windows politikaren kontua. Garbitu gertaera taldea utzi aurretik: denbora-marka batek eta gertaera-Id batek normalean galderari erantzuten diote kontuaren xehetasunik gabe.
Igo onartutako saio-hasiera metodo batera
Politika eraginkorra blokeoa bada, erantzuna onartutako autentifikazio-bide bat da, eta ez lehenetsiaren isil-gordeko atzera-egitea. Ziurtagirietan oinarritutako autentifikazioa ohiko helmuga da hedapenak onartzen duen lekuan, eta izena ematea, konfiantza banatzea eta ziurtagiriak onartzen dituen atebide bat behar ditu. NTLMv1-en etorriko diren aldaketei buruzko Microsoft gida da kasua berrikustean aipatu beharreko dokumentua.
Credential Guard esperimentu gisa desaktibatzeak babesa kentzen du ordezko saio-hasierarik eman gabe, eta berrerabil daitezkeen kredentzialei buruzko murrizketa dokumentatuek argitzen dute zergatik den hori diseinu-erabaki bat eta ez diagnostiko-urrats bat. Behin-behineko salbuespen bat baimenduz gero, eman iezaiozu irismen, jabe eta erretiratze-data bat, eta eduki itzazu makinara administrazio-bide independente bat, aldaketak behar duzun konexiotik kanpo uzten bazaitu. Onarpen-proba da aurreikusi den autentifikazioa gehi haren atzean dagoen baliabidea, eta ez tokiko errore-kode baten desagerpena.