Is polasaí Windows é LmCompatibilityLevel, ní réiteach VPN

Ní féidir le duine rochtain a fháil ar chomhroinnt comhaid tríd an VPN, léann sé go gceartaíonn ísliú LmCompatibilityLevel fadhbanna NTLM, agus athraíonn sé é ar fhreastalaí comhroinnte. An mhaidin dár gcionn teipeann ar fheidhmchláir eile, agus tá an bhunfhadhb fós ann. Ní raibh an socrú seo riamh ina lasc in aghaidh an tolláin; is dearbhú ag leibhéal an mheaisín é faoi na freagraí fíordheimhniúcháin a sheolfaidh agus a ghlacfaidh an córas seo. Scríobhann a athrú chun logáil isteach amháin a shocrú na rialacha arís do gach logáil isteach a dhéanann an meaisín.

Is é léamh na leibhéal doiciméadaithe an bealach is tapúla chun stopadh ag caitheamh le luach polasaí mar uimhir dhraíochta.

Trí leibhéal, trí ghealltanas éagsúla

Cuireann leibhéal 1 ar an gcliant freagraí LM agus NTLM a sheoladh, ag baint úsáide as slándáil seisiúin NTLMv2 nuair a ligeann an chaibidlíocht dó. Cuireann leibhéal 3 ar an gcliant freagraí NTLMv2 amháin a sheoladh, rud nach ionann agus gach freagra sean a dhiúltú ar an taobh glactha. Coinníonn leibhéal 5 an cliant ar NTLMv2 agus cuireann sé diúltú doiciméadaithe LM agus NTLMv1 ag an rialtóir fearainn leis. Trí uimhir, agus is cinneadh polasaí é an bhearna eatarthu seachas rogha.

Míníonn na difríochtaí sin cén fáth nach bhfuil cóipeáil luacha ó chás a oibríonn iontaofa. D'fhéadfadh sé a bheith ceart cliant míchumraithe a aistriú ó 1 go dtí an bhunlíne cheadaithe. Má aistrítear imscaradh cruaite ó 5 síos go 3 mar gheall gur luaigh snáithe fóraim 3, scaoiltear teorainn a roghnaigh duine d'aon ghnó, agus déantar é sin do gach seirbhís a labhraíonn an meaisín léi.

Léigh an polasaí éifeachtach, ní aon luach cláir amháin

Is pointe tosaigh réasúnta é sracfhéachaint inléite amháin ar an luach áitiúil: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Ní chiallaíonn luach as láthair gur nialas é an polasaí éifeachtach, mar is féidir le polasaí fearainn nó polasaí slándála áitiúil é a shocrú in áit eile, agus athraíonn ról an mheaisín an rud a dhéanann sé leis an uimhir.

Seiceáil an polasaí bainistithe, ról an chórais agus an build iarbhír sula dtagann tú ar aon chonclúid. Iompraíonn stáisiún oibre agus rialtóir fearainn a bhfuil an luach céanna acu ar bhealach difriúil ag an bhfonn uachtarach, agus sin an chuid a ndéanann daoine dearmad uirthi agus iad ag comparáid dhá mheaisín.

Aithin cén fhíordheimhniú a theip i ndáiríre

Teastaíonn fianaise éagsúil do fhadhbanna ticéad Kerberos, do dhiúltuithe NTLM agus do theipeanna ligean isteach VPN. Coinnigh an tseirbhís sprice, an cuntas agus an earráid chruinn le chéile i nóta amháin, agus ansin féach ar an rud a d'iarr an tseirbhís seachas ar an rud is fearr leis an gcliant. Cuireann an nóta amháin sin cosc ar an gcéim chontráilte is coitianta, is é sin luach ar thaobh an chliaint a athrú chun freagra a thabhairt ar dhiúltú ar thaobh an fhreastalaí.

Ní diagnóis é polasaí a ísliú arís agus arís eile go dtí go n-imíonn earráid logála isteach ghinearálta; is athrú é a cheiltíonn an fhianaise. Má úsáideann an feidhmchlár Kerberos, ní hé leibhéal comhoiriúnachta NTLM an rialtán ábhartha fiú, agus tá teorainn scaoilte agat gan fáth.

Ní féidir roinnt tacaíochta prótacail a athbhunú

Níl fíordheimhniú líonra NTLMv1 san áireamh in Windows 11 24H2 ná in Windows Server 2025 ar chor ar bith a thuilleadh. Ní thugann aon uimhir chomhoiriúnachta prótacal ar ais nach gcuireann an build i bhfeidhm a thuilleadh, mar sin teipfidh go simplí ar an gceann is nua le díghrádú a chabhraigh ar eisiúint níos sine. Doiciméadaíonn Microsoft an bhaint sin amach ar leithligh ón socrú polasaí, agus cruthaíonn meascadh an dá rud comhairle nach féidir a bheith ag obair.

Tá srian gaolmhar ach difriúil i bhfeidhm maidir le dintiúirí díorthaithe ó NTLMv1 a úsáideann logáil isteach aonair atá bunaithe ar MSCHAPv2. Ceist faoi dhintiúirí díorthaithe atá ann, ní faoin bprótacal líonra féin, agus ní faoin aon luach cláir seo. Is é an chaoi a gcaitear leis na trí rud mar an t-ábhar céanna ná conas a chríochnaíonn eagraíochtaí ag lagú rialtán amháin agus iad ag iarraidh ceann eile a shocrú.

Athraigh é tríd an úinéir, ansin tástáil an dá threo

Má tá ceartú de dhíth i ndáiríre, déan é trí úinéir an pholasaí ionas go bhfanfaidh an bhunlíne comhleanúnach, agus taifead cén fáth. Ansin tástáil feidhmchlár údaraithe faoin socrú nua agus cás fíordheimhniúcháin a bhfuil cosc air d'aon ghnó, mar ní rath é athrú a shocraíonn comhroinnt amháin agus a ligeann go ciúin d'fhreagraí sean in áit eile. Cruthaíonn nasc VPN atá ag obair gur éirigh leis an ligean isteach. Ní dhéanann sé bailíochtú ar pholasaí fíordheimhniúcháin an mheaisín, agus go cinnte ní thaispeánann sé go n-iompraíonn gach seirbhís taobh thiar de mar a dearadh í fós.

Má tá an tseirbhís atá ag teip bunaithe ar Kerberos, stop ar fad ag féachaint ar an socrú seo. Má is seanghléas é nach féidir leis a dhéanamh níos fearr i ndáiríre, doiciméadaigh an eisceacht sin agus cuir teorainn léi, mar is é an rogha eile bunlíne atá lagaithe go ciúin nach cuimhin le héinne a bheith ceadaithe.