ورود به VPN رد شد: پیش از رجیستری، بیلد را بررسی کنید
یک مقدار غایب در رجیستری ممکن است پس از به‌روزرسانی، پیش‌فرض خودش را اعمال کند. نخست سطح بیلد، خط‌مشی مؤثر و یک رویداد منطبق را بخوانید.
ورود روی ماشینی رد می‌شود که هیچ‌کس رجیستری را ویرایش نکرده است، و پاسخ انجمن می‌گوید مقداری را اضافه کنید که وجود ندارد. نبودن، خودِ یافته نیست. ویندوز پیش‌فرض‌ها را اعمال می‌کند، پیش‌فرض می‌تواند با یک به‌روزرسانی نصب‌شده تغییر کند، و بنابراین خط‌مشی مؤثر روی دستگاه می‌تواند سخت‌گیرانه‌تر از چیزی باشد که رجیستری نشان می‌دهد.
با خطایی شروع کنید که کلاینت واقعاً نشان داد
پیام را بخوانید، نه خلاصه‌ای را که دست‌دوم به شما رسیده است. درخواستی که بی‌درنگ برمی‌گردد، یک وقفه پس از شکل‌گیری تونل، و شکستی که فقط وقتی رخ می‌دهد که اتصال می‌خواهد از حساب واردشده دوباره استفاده کند، سه وضعیت متفاوت‌اند. فقط سومی به ورود یکپارچه مربوط می‌شود، و دو مورد اول با هیچ‌چیز در این مقاله درست نمی‌شود.
لایه‌ای که تصمیم را گرفت تعیین می‌کند کدام گزارش به آن پاسخ می‌دهد. این چهار مشاهده به چهار مالک متفاوت اشاره می‌کنند:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
متن دقیق، دقیقه و بافت حساب را در تیکت بنویسید. اینکه تلاش تعاملی بود یا خودکار تعیین می‌کند کدام مؤلفهٔ ویندوز تماس را برقرار کرد، و گزارشی که می‌گوید VPN خراب است غالباً یک سایت داخلی غایب را توصیف می‌کند، نه اعتبارنامهٔ ردشده را.
خط‌مشی مؤثر را بخوانید، نه مقدار غایب را
نخست سطح بیلد و به‌روزرسانی را مشخص کنید، چون پیش‌فرض تولید اعتبارنامهٔ مشتق از NTLMv1 در نسخه‌های فهرست‌شدهٔ Windows 11 و Windows Server 2025 تغییر کرد. با خاموش بودن Credential Guard و تنظیم‌نشده بودن BlockNtlmv1SSO، به‌روزرسانی‌ای که در 13 اکتبر 2026 یا پس از آن منتشر شده باشد رفتار را از حسابرسی به اجرای اجباری منتقل می‌کند، بی‌آنکه هرگز آن مقدار را بسازد. هیچ‌چیز در رجیستری ظاهر نمی‌شود، و دستگاه سخت‌گیرانه‌تر از آنچه آخرین مدیر قصد داشت می‌شود. این تمام دلیل آن است که جست‌وجو در رجیستری اینجا چیز کمی را ثابت می‌کند.
هنگام خواندن خروجی، مرزها را جدا نگه دارید. LmCompatibilityLevel سطح پاسخ احراز هویت شبکه است که تعیین می‌کند ماشین چه چالشی و چه پاسخی را به سرور بفرستد؛ این همان کنترلی نیست که تولید اعتبارنامهٔ ورود یکپارچه را اداره می‌کند، پس پایین آوردنش ورود را بازنمی‌گرداند. اینکه دستگاه اصلاً NTLMv1 را به‌عنوان پروتکل شبکه صحبت می‌کند یا نه مرز سوم است، و نسخه‌های کنونی Windows 11 و Server 2025 از آن دست کشیده‌اند. Credential Guard، مرز چهارم، اسرار روی دستگاه را محافظت می‌کند.
یک تلاش را با یک رویداد تطبیق دهید
شکست را یک بار بازتولید کنید، دقیقه را یادداشت کنید، و سپس شواهد محلی را در یک نشست جمع کنید. سه فرمان بیلد، مقدار مؤثر و گزارش عملیاتی NTLM را پوشش می‌دهند، جایی که تولید مسدودشدهٔ اعتبارنامهٔ ورود یکپارچه ثبت می‌شود:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Messageرویدادی در همان لحظهٔ شکست، شواهد است. رویدادی از دیروز، از حسابی دیگر، یا گزارشی بدون هیچ ورودی، شواهد نیست، و ثبت حالت خالی به‌عنوان خالی ارزش دارد، نه به‌عنوان شواهد غایب. راهنمای مایکروسافت دربارهٔ تغییرات NTLMv1 شناسهٔ رویداد برای تولید مسدودشدهٔ اعتبارنامهٔ ورود یکپارچه را نام می‌برد، پس Id را با آن مقایسه کنید، نه اینکه از متن پیام حدس بزنید.
پیام خود کلاینت و دید دروازه از همان تلاش را کنار هم نگه دارید. مسدودسازی محلی تولید اعتبارنامه، رد حساب از راه دور و مسیر خصوصی غایب پس از ورود موفق سه مالک متفاوت دارند، و تنها اولی پرسشی دربارهٔ خط‌مشی ویندوز است. رویداد را پیش از خروج از تیم پاک‌سازی کنید: مهر زمانی و Id رویداد معمولاً بدون جزئیات حساب به پرسش پاسخ می‌دهند.
به روش ورود پشتیبانی‌شده بروید
اگر خط‌مشی مؤثر همان مسدودسازی است، پاسخ یک مسیر احراز هویت پشتیبانی‌شده است، نه بازگرداندن خاموش پیش‌فرض. احراز هویت مبتنی بر گواهی مقصد معمول است جایی که استقرار از آن پشتیبانی می‌کند، و به ثبت‌نام، توزیع اعتماد و دروازه‌ای نیاز دارد که گواهی‌ها را بپذیرد. راهنمای مایکروسافت دربارهٔ تغییرات پیش‌روی NTLMv1 همان سندی است که هنگام بازبینی پرونده به آن ارجاع می‌شود.
خاموش کردن Credential Guard به‌عنوان یک آزمایش، حفاظت را برمی‌دارد بدون آنکه ورود جانشینی فراهم کند، و محدودیت‌های مستندشده دربارهٔ اعتبارنامه‌های قابل استفادهٔ مجدد دلیل آن است که این یک تصمیم طراحی است، نه یک گام تشخیصی. اگر استثنای موقتی مجاز شد، به آن دامنه، مالک و تاریخ لغو بدهید، و مسیر مدیریتی مستقلی به ماشین نگه دارید در صورتی که تغییر شما را از اتصالی که لازم دارید بیرون بیندازد. آزمون پذیرش همان احراز هویت موردنظر به‌همراه منبع پشت آن است، نه ناپدید شدن یک کد خطای محلی.