LmCompatibilityLevel એ Windows ની પોલિસી છે, VPN નો ઉકેલ નથી

કોઈને VPN દ્વારા ફાઇલ શેર સુધી પહોંચી શકાતું નથી, તે વાંચે છે કે LmCompatibilityLevel ઘટાડવાથી NTLM સમસ્યાઓ ઠીક થાય છે, અને તેને શેર કરેલા સર્વર પર બદલી નાખે છે. બીજા દિવસે સવારે બીજી એપ્લિકેશનો નિષ્ફળ જાય છે, અને મૂળ સમસ્યા હજી પણ રહે છે. આ સેટિંગ ક્યારેય ટનલ-દીઠ સ્વિચ નહોતું; તે આખા મશીન માટેનું નિવેદન છે કે આ સિસ્ટમ કઈ પ્રમાણીકરણ પ્રતિસાદ મોકલશે અને સ્વીકારશે. એક લોગિન ઠીક કરવા માટે તેને બદલવાથી મશીન કરે છે તે દરેક લોગિનના નિયમો ફરીથી લખાય છે.

દસ્તાવેજીકૃત સ્તરો વાંચવા એ પોલિસી મૂલ્યને જાદુઈ આંકડા તરીકે ગણવાનું બંધ કરવાનો સૌથી ઝડપી રસ્તો છે.

ત્રણ સ્તર, ત્રણ અલગ વચનો

સ્તર 1 ક્લાયન્ટને LM અને NTLM પ્રતિસાદ મોકલવા મજબૂર કરે છે, અને જ્યારે વાટાઘાટ પરવાનગી આપે ત્યારે NTLMv2 સેશન સુરક્ષા વાપરે છે. સ્તર 3 ક્લાયન્ટને ફક્ત NTLMv2 પ્રતિસાદ મોકલવા મજબૂર કરે છે, જે પ્રાપ્તકર્તા બાજુએ દરેક જૂના પ્રતિસાદને નકારવા જેવું નથી. સ્તર 5 ક્લાયન્ટને NTLMv2 પર રાખે છે અને ડોમેન કંટ્રોલર દ્વારા LM અને NTLMv1 ના દસ્તાવેજીકૃત ઇનકારને ઉમેરે છે. ત્રણ સંખ્યાઓ, અને તેમની વચ્ચેનું અંતર પસંદગી નહીં પણ પોલિસી નિર્ણય છે.

એ ભેદ સમજાવે છે કે કાર્યરત કેસમાંથી મૂલ્ય કૉપી કરવું કેમ વિશ્વસનીય નથી. ખોટી રીતે ગોઠવાયેલા ક્લાયન્ટને 1 થી મંજૂર બેઝલાઇન પર ખસેડવું યોગ્ય હોઈ શકે છે. ફક્ત એટલા માટે કે ફોરમ થ્રેડમાં 3 નો ઉલ્લેખ હતો, કઠોર તૈનાતીને 5 થી 3 પર ખસેડવાથી એ સીમા ઢીલી થાય છે જે કોઈએ જાણી જોઈને પસંદ કરી હતી, અને મશીન જેની સાથે વાત કરે છે તે દરેક સેવા માટે એમ કરે છે.

અસરકારક પોલિસી વાંચો, એક રજિસ્ટ્રી મૂલ્ય નહીં

સ્થાનિક મૂલ્ય પર ફક્ત-વાંચન નજર યોગ્ય શરૂઆતનું સ્થાન છે: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. મૂલ્ય ગેરહાજર હોવાનો અર્થ એ નથી કે અસરકારક પોલિસી શૂન્ય છે, કારણ કે ડોમેન પોલિસી કે સ્થાનિક સુરક્ષા પોલિસી તેને બીજે સેટ કરી શકે છે અને મશીનની ભૂમિકા બદલે છે કે તે આ સંખ્યા સાથે શું કરે છે.

કંઈ પણ નિષ્કર્ષ કાઢતા પહેલાં સંચાલિત પોલિસી, સિસ્ટમની ભૂમિકા અને વાસ્તવિક બિલ્ડ તપાસો. સમાન મૂલ્ય ધરાવતું વર્કસ્ટેશન અને ડોમેન કંટ્રોલર ઉપરના છેડે અલગ રીતે વર્તે છે, અને બે મશીનની સરખામણી કરતી વખતે લોકો એ જ ભાગ ભૂલી જાય છે.

કયું પ્રમાણીકરણ ખરેખર નિષ્ફળ ગયું તે ઓળખો

Kerberos ટિકિટની સમસ્યાઓ, NTLM ઇનકાર અને VPN પ્રવેશ નિષ્ફળતાઓને અલગ પુરાવા જોઈએ. લક્ષ્ય સેવા, એકાઉન્ટ અને ચોક્કસ ભૂલને એક જ નોંધમાં સાથે રાખો, પછી ક્લાયન્ટ શું પસંદ કરે છે તે નહીં પણ સેવાએ શું માંગ્યું તે જુઓ. એ જ એક નોંધ સૌથી સામાન્ય ખોટા વળાંકને અટકાવે છે, એટલે કે સર્વર-બાજુના ઇનકારનો જવાબ આપવા માટે ક્લાયન્ટ-બાજુનું મૂલ્ય બદલવું.

સામાન્ય લોગિન ભૂલ અદૃશ્ય થાય ત્યાં સુધી પોલિસી વારંવાર ઘટાડવી નિદાન નથી; તે એવો ફેરફાર છે જે પુરાવો છુપાવે છે. જો એપ્લિકેશન Kerberos વાપરે છે, તો NTLM સુસંગતતા સ્તર સંબંધિત નિયંત્રણ પણ નથી, અને તમે વ્યર્થ એક સીમા ઢીલી કરી છે.

કેટલાક પ્રોટોકોલ સમર્થન પુનઃસ્થાપિત કરી શકાતું નથી

Windows 11 24H2 અને Windows Server 2025 હવે NTLMv1 નેટવર્ક પ્રમાણીકરણ બિલકુલ સમાવતા નથી. કોઈ સુસંગતતા-સંખ્યા એવો પ્રોટોકોલ પાછો લાવતી નથી જે બિલ્ડ હવે અમલમાં મૂકતું નથી, તેથી જૂની આવૃત્તિ પર મદદ કરનારું ડાઉનગ્રેડ નવી પર ફક્ત નિષ્ફળ જશે. Microsoft એ દૂર કરવાનું પોલિસી સેટિંગથી અલગ દસ્તાવેજીકૃત કરે છે, અને બંનેને ભેળવવાથી એવી સલાહ બને છે જે કામ કરી શકતી નથી.

MSCHAPv2-આધારિત સિંગલ સાઇન-ઓન વાપરે છે તે NTLMv1-વ્યુત્પન્ન ઓળખપત્રો પર સંબંધિત પરંતુ અલગ પ્રતિબંધ લાગુ પડે છે. તે વ્યુત્પન્ન ઓળખપત્રોનો પ્રશ્ન છે, નેટવર્ક પ્રોટોકોલનો નહીં, અને આ એક રજિસ્ટ્રી મૂલ્યનો નહીં. ત્રણેયને એક જ વિષય ગણવો એ રીત છે જેમાં સંસ્થાઓ એક નિયંત્રણ નબળું કરે છે જ્યારે બીજું ઠીક કરવાનો પ્રયાસ કરે છે.

માલિક દ્વારા તેને બદલો, પછી બંને દિશાઓની પરીક્ષા કરો

જો ખરેખર સુધારો જરૂરી હોય, તો પોલિસીના માલિક દ્વારા કરો જેથી બેઝલાઇન સુસંગત રહે, અને કેમ તે નોંધો. પછી નવી સેટિંગ હેઠળ અધિકૃત એપ્લિકેશન અને જાણી જોઈને પ્રતિબંધિત પ્રમાણીકરણ કેસની પરીક્ષા કરો, કારણ કે એક શેર ઠીક કરીને બીજે જગ્યાએ જૂના પ્રતિસાદને ચૂપચાપ મંજૂરી આપતો ફેરફાર સફળતા નથી. કાર્યરત VPN કનેક્શન સાબિત કરે છે કે પ્રવેશ સફળ થયો. તે મશીનની પ્રમાણીકરણ પોલિસીની માન્યતા કરતું નથી, અને ચોક્કસપણે એ બતાવતું નથી કે તેની પાછળની દરેક સેવા હજી પણ રચના મુજબ વર્તે છે.

જો નિષ્ફળ સેવા Kerberos-આધારિત હોય, તો આ સેટિંગ તરફ જોવાનું સંપૂર્ણ બંધ કરો. જો તે ખરેખર વધુ સારું કરી શકે નહીં તેવું જૂનું ઉપકરણ હોય, તો તે અપવાદનું દસ્તાવેજીકરણ કરો અને તેની મર્યાદા નક્કી કરો, કારણ કે વિકલ્પ એ છે કે ચૂપચાપ નબળી કરાયેલી બેઝલાઇન જેને કોઈએ મંજૂર કરી હોવાનું યાદ નથી.