VPN-oanmelding ôfwiisd: kontrolearje de build foar it register
In ûntbrekkende registerwearde kin nei in fernijing syn eigen standert ôftwinge. Lês earst it buildnivo, it effektyf belied en ien oerienkommend barren.
De oanmelding wurdt ôfwiisd op in masine dêr't nimmen it register bewurke hat, en it antwurd op it foarum seit dat jo in wearde tafoegje moatte dy't der net is. It ûntbrekken is net de konstatearring. Windows past standertwearden ta, in standertwearde kin mei in ynstallearre fernijing feroarje, en dêrom kin it effektyf belied op it apparaat strangere wêze as it register suggerearret.
Begjin mei de flater dy't de klant echt toande
Lês it berjocht, net de gearfetting dy't jo út 'e twadde hân berikte. In fraach dy't daliks weromkomt, in tiidferrin nei't de tunnel foarme is, en in flater dy't allinnich ferskynt as de ferbining it oanmelde akkount wer brûke wol, binne trije ferskillende situaasjes. Allinnich de tredde giet oer ienige oanmelding, en de earste twa wurde troch neat yn dit artikel reparearre.
De laach dy't it beslút naam, bepaalt hokker logboek der antwurd op jout. Dizze fjouwer observaasjes wize op fjouwer ferskillende eigners:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Skriuw de krekte tekst, de minút en de akkountkontekst yn it ticket. Oft de poging ynteraktyf of automatysk wie, bepaalt hokker Windows-ûnderdiel de oprop die, en in rapport dat seit dat de VPN stikken is, beskriuwt faak in ûntbrekkende ynterne side ynstee fan ôfwiisde oanmeldgegevens.
Lês it effektyf belied, net de ûntbrekkende wearde
Fêstigje earst it build- en fernijingsnivo, want de standert foar it generearjen fan oanmeldgegevens ôflaat fan NTLMv1 feroare yn 'e neamde útjefte fan Windows 11 en Windows Server 2025. Mei Credential Guard út en BlockNtlmv1SSO net ynsteld, ferpleatst in fernijing dy't op of nei 13 oktober 2026 útbrocht is it gedrach fan Audyt nei Twang sûnder dy wearde ea oan te meitsjen. Der ferskynt neat yn it register, en it apparaat wurdt strangere as de lêste behearder fan doel wie. Dat is de hiele reden wêrom't in syktocht yn it register hjir sa min bewiist.
Hâld de grinzen skieden wylst jo de útfier lêze. LmCompatibilityLevel is it antwurdenivo fan netwurkautentikaasje, dat bepaalt hokker útdaging en antwurd de masine nei in server stjoert; it is net de kontrôle dy't it generearjen fan oanmeldgegevens foar ien oanmelding regelet, dus it ferleegjen derfan set de oanmelding net werom. Oft it apparaat NTLMv1 hielendal as netwurkprotokol sprekke sil, is in tredde grins, en de hjoeddeiske útjeften fan Windows 11 en Server 2025 hawwe it al falle litten. Credential Guard, de fjirde, beskermet geheimen op it apparaat.
Korrelearje ien poging mei ien barren
Reprodusearje de flater ien kear, notearje de minút, en helje dan de lokale bewiizen yn ien sitting op. Trije opdrachten dekke de build, de effektyf wearde en it NTLM-bedriuwslogboek dêr't in blokkearre generearjen fan oanmeldgegevens foar ien oanmelding yn fêstlein wurdt:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageIn barren op itselde momint as de flater is bewiis. In barren fan juster, fan in oar akkount of in logboek sûnder ien ynfier is dat net, en it lege gefal is it wurdich om as leech fêst te lizzen yn stee fan as ûntbrekkend bewiis. De Microsoft-riglynen oer de NTLMv1-feroaringen neame de barrenidentifikaasje foar blokkearre generearjen fan oanmeldgegevens foar ien oanmelding, dus fergelykje de Id dêrmei ynstee fan te rieden út 'e teksten fan it berjocht.
Hâld it eigen berjocht fan 'e klant en it byld fan 'e gateway fan deselde poging byinoar. In lokale blokkade fan oanmeldgegevensgeneraasje, in ôfwiizing fan in akkount op ôfstân en in ûntbrekkende priveeroute nei in slagge oanmelding hawwe trije ferskillende eigners, en allinnich de earste is in Windows-beliedsopfraach. Suverje it barren foardat it it team ferlit: in tiidstimpel en in barren-Id beantwurdzje de fraach meastentiids sûnder de akkountdetails.
Stap oer op in stipe oanmeldmetoade
As it effektyf belied de blokkade is, is it antwurd in stipe autentikaasjepaad ynstee fan in stil weromdraaien fan 'e standert. Autentikaasje op basis fan sertifikaten is de gewoane bestimming dêr't de útrulling it stipet, en it freget registraasje, fertrouwensdistribúsje en in gateway dy't de sertifikaten akseptearret. De Microsoft-riglynen oer de kommende NTLMv1-feroaringen is it dokumint dat oanhelle wurdt as de saak besjoen wurdt.
Credential Guard as eksperimint útsette hellet beskerming fuort sûnder ferfangende oanmelding te leverjen, en de dokumintearre beheiningen op werbrûkbere oanmeldgegevens binne de reden dat dit in ûntwerpbeslút is en net in diagnostyske stap. As in tydlike útsûndering tastien wurdt, jou it dan in omfang, in eigner en in einbeskaat, en hâld in ûnôfhinklike behearroute nei de masine foar it gefal dat de feroaring jo bûten de ferbining slút dy't jo nedich hawwe. De akseptaasjetest is de bedoelde autentikaasje plus de boarne derachter, net it ferdwinen fan ien lokale flaterkoade.