LmCompatibilityLevel é unha política de Windows, non unha solución para a VPN

Alguén non chega a un recurso compartido pola VPN, le que baixar LmCompatibilityLevel arranxa os problemas de NTLM e cámbiao nun servidor compartido. Á mañá seguinte outras aplicacións fallan, e o problema orixinal segue aí. Esta configuración nunca foi un interruptor por túnel; é unha declaración a escala de máquina sobre que respostas de autenticación enviará e aceptará este sistema. Cambiala para arranxar un único inicio de sesión reescribe as regras de cada inicio de sesión que fai a máquina.

Ler os niveis documentados é a forma máis rápida de deixar de tratar un valor de política como un número máxico.

Tres niveis, tres promesas distintas

O nivel 1 fai que o cliente envíe respostas LM e NTLM, usando a seguridade de sesión NTLMv2 cando a negociación o permite. O nivel 3 fai que o cliente envíe só respostas NTLMv2, o que non é o mesmo que rexeitar todas as respostas antigas no lado receptor. O nivel 5 mantén o cliente en NTLMv2 e engade o rexeitamento documentado de LM e NTLMv1 por parte do controlador de dominio. Tres números, e a diferenza entre eles é unha decisión de política e non unha preferencia.

Esas diferenzas explican por que copiar un valor dun caso que funciona non é fiable. Mover un cliente mal configurado do 1 á liña base aprobada pode ser correcto. Mover un despregamento endurecido do 5 ao 3 só porque un fío de foro mencionou o 3 relaxa unha fronteira que alguén escolleu deliberadamente, e faino para cada servizo co que fala a máquina.

Lea a política efectiva, non un valor do rexistro

Unha ollada de só lectura ao valor local é un punto de partida razoable: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Que falte o valor non significa que a política efectiva sexa cero, porque unha política de dominio ou unha política de seguridade local pode fixalo noutro sitio, e o rol da máquina cambia o que fai co número.

Comprobe a política administrada, o rol do sistema e a compilación real antes de concluír nada. Unha estación de traballo e un controlador de dominio co mesmo valor compórtanse distinto no extremo superior, e esa é a parte que a xente esquece ao comparar dúas máquinas.

Identifique que autenticación fallou realmente

Os problemas de tíckets Kerberos, os rexeitamentos NTLM e os fallos de admisión da VPN necesitan probas distintas. Manteña o servizo de destino, a conta e o erro exacto xuntos nunha soa nota, e despois mire o que pediu o servizo en lugar do que prefire o cliente. Esa única nota evita o xiro equivocado máis común, que é cambiar un valor do lado do cliente para responder a un rexeitamento do lado do servidor.

Baixar unha política unha e outra vez ata que desapareza un erro xenérico de inicio de sesión non é diagnóstico; é un cambio que agocha a proba. Se a aplicación usa Kerberos, o nivel de compatibilidade NTLM nin sequera é o control relevante, e relaxou unha fronteira para nada.

Hai soporte de protocolo que non se pode restaurar

Windows 11 24H2 e Windows Server 2025 xa non inclúen en absoluto a autenticación de rede NTLMv1. Ningún número de compatibilidade devolve un protocolo que a compilación xa non implementa, así que unha degradación que axudou nunha versión anterior simplemente fallará nunha máis nova. Microsoft documenta esa eliminación por separado da configuración de política, e confundir ambas as cousas produce consellos que non poden funcionar.

Unha restrición relacionada pero distinta aplícase ás credenciais derivadas de NTLMv1 que usa o inicio de sesión único baseado en MSCHAPv2. É unha cuestión de credenciais derivadas, non do protocolo de rede en si, e non deste valor do rexistro. Tratar as tres cousas como o mesmo tema é como as organizacións acaban debilitando un control mentres intentan arranxar outro.

Cámbiea a través do propietario e despois probe as dúas direccións

Se de verdade fai falta unha corrección, fágaa a través do propietario da política para que a liña base siga sendo coherente, e anote por que. Despois probe unha aplicación autorizada coa nova configuración e un caso de autenticación deliberadamente non permitido, porque un cambio que arranxa un recurso compartido e permite en silencio respostas antigas noutro sitio non é un éxito. Unha conexión VPN que funciona demostra que a admisión tivo éxito. Non valida a política de autenticación da máquina, e moito menos demostra que cada servizo detrás dela siga comportándose como se deseñou.

Se o servizo que falla se basea en Kerberos, deixe de mirar esta configuración por completo. Se é un dispositivo antigo que de verdade non pode facelo mellor, documente esa excepción e delimíte, porque a alternativa é unha liña base debilitada en silencio que ninguén lembra ter aprobado.