LmCompatibilityLevel یک سیاست ویندوز است، نه راه‌حل VPN
یک مقدار رجیستری، ورود شبکه را در کل رایانه کنترل می‌کند، نه فقط در تونل. پیش از آنکه آن را یک تعمیر بدانید، بیاموزید هر سطح چه می‌فرستد و چه رد می‌کند.
کسی نمی‌تواند از طریق VPN به یک اشتراک فایل برسد، می‌خواند که کاهش LmCompatibilityLevel مشکلات NTLM را برطرف می‌کند و آن را روی یک سرور مشترک تغییر می‌دهد. صبح روز بعد برنامه‌های دیگر از کار می‌افتند و مشکل اصلی هنوز سر جایش است. این تنظیم هرگز کلیدی برای یک تونل نبود؛ بیانیه‌ای در سطح کل رایانه است درباره اینکه این سیستم چه پاسخ‌های احراز هویتی را می‌فرستد و می‌پذیرد. تغییر آن برای تعمیر یک ورود، قواعد هر ورودی را که رایانه انجام می‌دهد از نو می‌نویسد.
خواندن سطح‌های مستند، سریع‌ترین راه برای دست برداشتن از برخورد با یک مقدار سیاست به‌عنوان یک عدد جادویی است.
سه سطح، سه وعده متفاوت
سطح 1 باعث می‌شود سرویس‌گیرنده پاسخ‌های LM و NTLM را بفرستد و زمانی که مذاکره اجازه دهد از امنیت نشست NTLMv2 استفاده کند. سطح 3 باعث می‌شود سرویس‌گیرنده تنها پاسخ‌های NTLMv2 را بفرستد، که با رد همه پاسخ‌های قدیمی در سمت گیرنده یکی نیست. سطح 5 سرویس‌گیرنده را روی NTLMv2 نگه می‌دارد و رد مستندشده LM و NTLMv1 توسط کنترل‌کننده دامنه را اضافه می‌کند. سه عدد، و فاصلهٔ میان آن‌ها یک تصمیم سیاستی است نه یک ترجیح.
این تفاوت‌ها توضیح می‌دهند چرا کپی کردن یک مقدار از یک مورد کارآمد قابل اعتماد نیست. انتقال یک سرویس‌گیرندهٔ بدتنظیم از 1 به خط پایهٔ تأییدشده می‌تواند درست باشد. اما انتقال استقراری سخت‌شده از 5 به 3 فقط به این دلیل که رشته‌ای در یک انجمن عدد 3 را ذکر کرده، مرزی را که کسی آگاهانه برگزیده شل می‌کند، و این کار را برای هر سرویسی که رایانه با آن گفتگو می‌کند انجام می‌دهد.
سیاست مؤثر را بخوانید، نه یک مقدار رجیستری
نگاهی فقط‌خواندنی به مقدار محلی نقطهٔ شروع معقولی است: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. نبودن مقدار به معنای صفر بودن سیاست مؤثر نیست، زیرا سیاست دامنه یا سیاست امنیتی محلی می‌تواند آن را جای دیگری تعیین کند و نقش رایانه تغییر می‌دهد که با این عدد چه می‌کند.
پیش از هر نتیجه‌گیری، سیاست مدیریت‌شده، نقش سیستم و ساخت واقعی را بررسی کنید. یک ایستگاه کاری و یک کنترل‌کننده دامنه با مقدار یکسان در انتهای بالا رفتار متفاوتی دارند، و همین بخشی است که مردم هنگام مقایسهٔ دو رایانه فراموش می‌کنند.
مشخص کنید کدام احراز هویت واقعاً شکست خورده است
مشکلات بلیت Kerberos، ردهای NTLM و شکست‌های پذیرش VPN شواهد متفاوتی لازم دارند. سرویس هدف، حساب و خطای دقیق را با هم در یک یادداشت نگه دارید، سپس به آنچه سرویس درخواست کرده نگاه کنید، نه آنچه سرویس‌گیرنده ترجیح می‌دهد. همان یک یادداشت مانع رایج‌ترین اشتباه می‌شود، یعنی تغییر یک مقدار در سمت سرویس‌گیرنده برای پاسخ به ردی از سمت سرور.
پایین آوردن مکرر یک سیاست تا زمانی که یک خطای عمومی ورود ناپدید شود، تشخیص نیست؛ تغییری است که شاهد را پنهان می‌کند. اگر برنامه از Kerberos استفاده می‌کند، سطح سازگاری NTLM حتی کنترل مرتبط هم نیست و بیهوده مرزی را شل کرده‌اید.
بخشی از پشتیبانی پروتکل قابل بازگرداندن نیست
Windows 11 24H2 و Windows Server 2025 دیگر به‌کلی احراز هویت شبکه NTLMv1 را شامل نمی‌شوند. هیچ عدد سازگاری پروتکلی را که ساخت دیگر پیاده‌سازی نمی‌کند بازنمی‌گرداند، پس تنزل‌سطحی که در نسخه‌ای قدیمی‌تر کمک می‌کرد، در نسخه‌ای جدیدتر به‌سادگی شکست می‌خورد. مایکروسافت آن حذف را جدا از تنظیم سیاست مستند کرده است و درهم آمیختن این دو توصیه‌ای می‌سازد که هرگز نمی‌تواند کار کند.
محدودیت مرتبط اما متفاوتی برای اعتبارنامه‌های مشتق از NTLMv1 اعمال می‌شود که ورود یکپارچهٔ مبتنی بر MSCHAPv2 از آن‌ها استفاده می‌کند. این پرسشی درباره اعتبارنامه‌های مشتق است، نه خود پروتکل شبکه، و نه این یک مقدار رجیستری. برخورد با هر سه به‌عنوان یک موضوع، راهی است که سازمان‌ها در آن یک کنترل را تضعیف می‌کنند در حالی که می‌کوشند دیگری را تعمیر کنند.
آن را از طریق مالک تغییر دهید، سپس هر دو جهت را بیازمایید
اگر واقعاً اصلاحی لازم است، آن را از طریق مالک سیاست انجام دهید تا خط پایه منسجم بماند و دلیلش را ثبت کنید. سپس یک برنامهٔ مجاز را زیر تنظیم جدید و یک مورد احراز هویت عمداً غیرمجاز را بیازمایید، زیرا تغییری که یک اشتراک را درست می‌کند و در جایی دیگر بی‌صدا پاسخ‌های قدیمی را مجاز می‌داند موفقیت نیست. یک اتصال VPN کارآمد ثابت می‌کند که پذیرش موفق بوده است. این اتصال سیاست احراز هویت رایانه را اعتبارسنجی نمی‌کند و قطعاً نشان نمی‌دهد که هر سرویس پشت آن هنوز همان‌گونه که طراحی شده رفتار می‌کند.
اگر سرویس ناکام مبتنی بر Kerberos است، تماشای این تنظیم را کاملاً متوقف کنید. و اگر دستگاهی قدیمی است که واقعاً کار دیگری نمی‌تواند بکند، آن استثنا را مستند و محدوده‌اش را مشخص کنید، زیرا جایگزین آن خط پایه‌ای بی‌صدا تضعیف‌شده است که هیچ‌کس یادش نمی‌آید آن را تأیید کرده باشد.