Inicio de sesión de VPN rexeitado: comprobe a compilación antes do rexistro
Un valor ausente no rexistro pode estar aplicando o seu propio valor predeterminado tras unha actualización. Lea primeiro o nivel de compilación, a política efectiva e un evento coincidente.
O inicio de sesión rexéitase nunha máquina onde ninguén editou o rexistro, e a resposta do foro di que engada un valor que non está. A ausencia non é o achado. Windows aplica valores predeterminados, un valor predeterminado pode cambiar cunha actualización instalada e, por tanto, a política efectiva do dispositivo pode ser máis estrita do que suxire o rexistro.
Empece polo erro que o cliente mostrou realmente
Lea a mensaxe, non o resumo que lle chegou de segunda man. Un aviso que volve de inmediato, un tempo de espera despois de formarse o túnel e un fallo que só aparece cando a conexión tenta reutilizar a conta iniciada son tres situacións distintas. Só a terceira ten que ver co inicio de sesión único, e as dúas primeiras non se arranxarán con nada deste artigo.
A capa que tomou a decisión determina que rexistro lle responde. Estas catro observacións apuntan a catro responsables distintos:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Escriba o texto exacto, o minuto e o contexto da conta no tícket. Que o intento sexa interactivo ou automático determina que compoñente de Windows fixo a chamada, e un informe que di que a VPN está rota a miúdo describe un sitio interno ausente e non unhas credenciais rexeitadas.
Lea a política efectiva, non o valor ausente
Estableza primeiro o nivel de compilación e actualización, porque o valor predeterminado da xeración de credenciais derivadas de NTLMv1 cambiou nas versións indicadas de Windows 11 e Windows Server 2025. Con Credential Guard desactivado e BlockNtlmv1SSO sen definir, unha actualización publicada o 13 de outubro de 2026 ou despois move o comportamento de Auditoría a Aplicación sen crear nunca ese valor. No rexistro non aparece nada, e o dispositivo vólvese máis estrito do que pretendía o último administrador. Esa é toda a razón pola que unha busca no rexistro demostra tan pouco aquí.
Manteña as fronteiras separadas mentres le a saída. LmCompatibilityLevel é o nivel de resposta de autenticación de rede, que decide que desafío e que resposta enviará a máquina a un servidor; non é o control que rexe a xeración de credenciais para o inicio de sesión único, así que baixalo non restaura o inicio de sesión. Se o dispositivo falará sequera NTLMv1 como protocolo de rede é unha terceira fronteira, e as versións actuais de Windows 11 e Server 2025 xa o retiraron. Credential Guard, a cuarta, protexe os segredos do dispositivo.
Correlacione un intento cun evento
Reproduza o fallo unha vez, anote o minuto e despois reúna a evidencia local dunha soa vez. Tres comandos cobren a compilación, o valor efectivo e o rexistro operativo de NTLM onde se documenta unha xeración de credenciais de inicio de sesión único bloqueada:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageUn evento no mesmo momento que o fallo é unha proba. Un evento de onte, doutra conta ou un rexistro sen ningunha entrada non o é, e o caso baleiro merece rexistrarse como baleiro e non como proba ausente. A guía de Microsoft sobre os cambios de NTLMv1 nomea o identificador de evento para a xeración bloqueada de credenciais de inicio de sesión único, así que compare o Id con el en lugar de adiviñar polo texto da mensaxe.
Manteña xuntos a mensaxe do cliente e a visión da pasarela do mesmo intento. Un bloqueo local de xeración de credenciais, un rexeitamento remoto da conta e unha ruta privada ausente tras un inicio de sesión correcto teñen tres responsables distintos, e só o primeiro é unha cuestión de política de Windows. Depure o evento antes de que saia do equipo: unha marca de tempo e un Id de evento adoitan responder a pregunta sen os datos da conta.
Pase a un método de inicio de sesión admitido
Se a política efectiva é o bloqueo, a resposta é unha ruta de autenticación admitida e non unha reversión silenciosa do valor predeterminado. A autenticación baseada en certificados é o destino habitual onde o despregamento a admite, e necesita inscrición, distribución de confianza e unha pasarela que acepte os certificados. A guía de Microsoft sobre os próximos cambios en NTLMv1 é o documento que hai que citar cando se revisa o caso.
Desactivar Credential Guard como experimento elimina a protección sen ofrecer un inicio de sesión alternativo, e as restricións documentadas sobre credenciais reutilizables son a razón de que iso sexa unha decisión de deseño e non un paso de diagnóstico. Se se autoriza unha excepción temporal, déalle alcance, responsable e data de retirada, e manteña unha ruta de administración independente ata a máquina por se o cambio lle deixa fóra da conexión que necesita. A proba de aceptación é a autenticación prevista máis o recurso que hai detrás, non a desaparición dun código de erro local.