LmCompatibilityLevel is in Windows-belied, net in VPN-oplossing

Immen kin net by in bestânsdieling oer de VPN komme, lêst dat it ferleegjen fan LmCompatibilityLevel NTLM-problemen oplost, en feroaret it op in dielde server. De oare moarns misse oare applikaasjes, en it oarspronklike probleem is der noch. Dizze ynstelling wie nea in skeakel per tunnel; it is in ferklearring op masinenivo oer hokker autentikaasje-antwurden dit systeem stjoere en akseptearje sil. It feroarjen om ien oanmelding te meitsjen skriuwt de regels opnij foar elke oanmelding dy't de masine docht.

It lêzen fan de dokumintearre nivo's is de fluchste manier om op te hâlden mei it behanneljen fan in beliedswearde as in magysk getal.

Trije nivo's, trije ferskillende beloften

Nivo 1 lit de klant LM- en NTLM-antwurden stjoere, mei NTLMv2-sesjeferfeiligens as de ûnderhanneling dat tastean. Nivo 3 lit de klant allinnich NTLMv2-antwurden stjoere, wat net itselde is as it wegerjen fan elk âlder antwurd oan 'e ûntfangende kant. Nivo 5 hâldt de klant op NTLMv2 en foegt it dokumintearre wegerjen fan LM en NTLMv1 troch de domeinkontrôler ta. Trije getallen, en it gat der tusken is in beliedsbeslút ynstee fan in foarkar.

Dy ferskillen ferklearje wêrom't it kopiearjen fan in wearde út in wurkjend gefal ûnbetrouber is. In ferkeard konfigurearre klant fan 1 nei de goedkarde basisline ferpleatse kin korrekt wêze. In hurde ynstallaasje fan 5 nei 3 ferpleatse om't in forumtried 3 neamde, fersloppet in grins dy't immen mei opsetsin keas, en it docht dat foar elke tsjinst dêr't de masine mei praat.

Lês it effektive belied, net ien registerwearde

In allinnich-lêzen blik op 'e lokale wearde is in ridlik útgongspunt: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. In ûntbrekkende wearde betsjut net dat it effektive belied nul is, om't in domein- of lokale feilichheidsbelied it earne oars ynstelle kin en de rol fan 'e masine feroaret wat it mei it getal docht.

Kontrolearje it behearde belied, de rol fan it systeem en de eigentlike build foardat jo wat konkludearje. In wurkstasjon en in domeinkontrôler mei deselde wearde hâlde har oan 'e boppekant oars, en dat is it part dat minsken ferjitte as se twa masines ferlykje.

Identifisearje hokker autentikaasje eins misse

Kerberos-kaartproblemen, NTLM-wegeringen en VPN-tagongsflatings hawwe ferskillende bewiis nedich. Hâld de doeltsjinst, it akkount en de krekte flater byinoar yn ien notysje, en sjoch dan nei wat de tsjinst frege hat ynstee fan wat de klant foarkar hat. Dy iene notysje foarkomt de meast foarkommende ferkearde set, nammentlik it feroarjen fan in klantside-wearde om in wegering oan 'e serverside te beantwurdzjen.

It hieltyd ferleegjen fan in belied oant in generike oanmeldingsflater ferdwynt is gjin diagnoaze; it is in feroaring dy't it bewiis ferberget. As de applikaasje Kerberos brûkt, is it NTLM-kompatibiliteitsnivo net iens de relevante kontrôle, en dan hawwe jo in grins foar neat fersloppe.

Guon protokolstipe kin net werombrocht wurde

Windows 11 24H2 en Windows Server 2025 befetsje hielendal gjin NTLMv1-netwurkautentikaasje mear. Gjin kompatibiliteitsgetal bringt in protokol werom dat de build net mear ymplemintearret, dus in delgong dy't op in âldere ferzje holp, sil gewoan misse op in nijere. Microsoft dokumintearret dy ferwidering apart fan 'e beliedsynstelling, en it trochinoar heljen fan beide produsearret advys dat net wurkje kin.

In besibbe, mar aparte beheining jildt foar NTLMv1-ôflate oanmeldgegevens dy't troch MSCHAPv2-basearre ienmalige oanmelding brûkt wurde. Dat is in fraach oer ôflate oanmeldgegevens, net it netwurkprotokol sels, en net dizze iene registerwearde. Alle trije as itselde ûnderwerp behannelje is de manier dêr't organisaasjes einigje mei it ferswakjen fan ien kontrôle wylst se in oare besykje te reparearjen.

Feroarje it fia de eigner, testje dan beide rjochtingen

As in korreksje echt nedich is, meitsje it dan fia de beliedseigner sadat de basisline gearhingjend bliuwt, en skriuw op wêrom. Testje dan in autorisearre applikaasje ûnder de nije ynstelling en in bewust ferbeane autentikaasjefal, om't in feroaring dy't ien dieling reparearret en stilwei âldere antwurden earne oars tastiet gjin sukses is. In wurkjende VPN-ferbining bewiist dat de tagong slagge. It falidearret it autentikaasjebelied fan 'e masine net, en it docht wis net bliken dat elke tsjinst dêrefter har noch hâldt sa't er ûntwurpen is.

As de misgjende tsjinst op Kerberos basearre is, hâld dan hielendal op mei nei dizze ynstelling te sjen. As it in âld apparaat is dat echt net better kin, dokumintearje dy útsûndering en begrinzje it, om't it alternatyf in stilwei ferswakke basisline is dy't nimmen him herinnert goedkard te hawwen.