LmCompatibilityLevel Windows की नीति है, VPN का समाधान नहीं

किसी को VPN से फ़ाइल शेयर तक पहुँच नहीं मिल रही, वह पढ़ता है कि LmCompatibilityLevel घटाने से NTLM समस्याएँ ठीक होती हैं, और साझा सर्वर पर इसे बदल देता है। अगली सुबह दूसरे एप्लिकेशन विफल हो जाते हैं, और मूल समस्या अब भी बनी रहती है। यह सेटिंग कभी प्रति-सुरंग स्विच नहीं थी; यह पूरे मशीन के स्तर पर घोषणा है कि यह सिस्टम कौन-से प्रमाणीकरण उत्तर भेजेगा और स्वीकार करेगा। एक लॉगिन ठीक करने के लिए इसे बदलना मशीन के हर लॉगिन के नियम फिर से लिख देता है।

प्रलेखित स्तरों को पढ़ना किसी नीति मान को जादुई संख्या मानना बंद करने का सबसे तेज़ तरीका है।

तीन स्तर, तीन अलग वादे

स्तर 1 क्लाइंट को LM और NTLM उत्तर भेजने पर विवश करता है, और जब बातचीत अनुमति दे तब NTLMv2 सत्र सुरक्षा का उपयोग करता है। स्तर 3 क्लाइंट को केवल NTLMv2 उत्तर भेजने पर विवश करता है, जो प्राप्त करने वाले पक्ष पर हर पुराने उत्तर को अस्वीकार करने के समान नहीं है। स्तर 5 क्लाइंट को NTLMv2 पर रखता है और डोमेन नियंत्रक द्वारा LM तथा NTLMv1 की प्रलेखित अस्वीकृति जोड़ता है। तीन संख्याएँ, और उनके बीच का अंतर प्राथमिकता नहीं बल्कि नीति-निर्णय है।

ये अंतर बताते हैं कि काम करने वाले मामले से मान की प्रतिलिपि करना विश्वसनीय क्यों नहीं है। गलत कॉन्फ़िगर किए गए क्लाइंट को 1 से स्वीकृत आधार-रेखा पर ले जाना सही हो सकता है। कठोर किए गए परिनियोजन को 5 से 3 पर ले जाना केवल इसलिए कि किसी फ़ोरम थ्रेड ने 3 का उल्लेख किया, ऐसी सीमा ढीली करता है जिसे किसी ने जानबूझकर चुना था, और यह मशीन जिस भी सेवा से बात करती है उसके लिए ऐसा करता है।

प्रभावी नीति पढ़ें, एक रजिस्ट्री मान नहीं

स्थानीय मान पर केवल-पढ़ने वाली नज़र उचित प्रारंभ बिंदु है: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel। मान का अनुपस्थित होना यह नहीं दर्शाता कि प्रभावी नीति शून्य है, क्योंकि डोमेन नीति या स्थानीय सुरक्षा नीति इसे कहीं और सेट कर सकती है, और मशीन की भूमिका बदल देती है कि वह इस संख्या के साथ क्या करती है।

कोई निष्कर्ष निकालने से पहले प्रबंधित नीति, सिस्टम की भूमिका और वास्तविक बिल्ड जाँचें। समान मान वाला वर्कस्टेशन और डोमेन नियंत्रक ऊपरी छोर पर अलग व्यवहार करते हैं, और दो मशीनों की तुलना करते समय लोग यही भाग भूल जाते हैं।

पहचानें कि वास्तव में कौन-सा प्रमाणीकरण विफल हुआ

Kerberos टिकट समस्याओं, NTLM अस्वीकृतियों और VPN प्रवेश विफलताओं के लिए अलग प्रमाण चाहिए। लक्ष्य सेवा, खाता और सटीक त्रुटि को एक ही नोट में साथ रखें, फिर देखें कि सेवा ने क्या माँगा, न कि क्लाइंट क्या पसंद करता है। वही एक नोट सबसे आम गलत मोड़ रोकता है, यानी सर्वर-पक्ष की अस्वीकृति का उत्तर देने के लिए क्लाइंट-पक्ष का मान बदलना।

किसी सामान्य लॉगिन त्रुटि के गायब होने तक नीति को बार-बार घटाना निदान नहीं है; यह ऐसा परिवर्तन है जो प्रमाण छिपाता है। यदि एप्लिकेशन Kerberos का उपयोग करता है, तो NTLM संगतता स्तर तो प्रासंगिक नियंत्रण भी नहीं है, और आपने बेकार ही एक सीमा ढीली कर दी।

कुछ प्रोटोकॉल समर्थन बहाल नहीं किया जा सकता

Windows 11 24H2 और Windows Server 2025 में अब NTLMv1 नेटवर्क प्रमाणीकरण बिलकुल शामिल नहीं है। कोई संगतता संख्या ऐसा प्रोटोकॉल वापस नहीं लाती जिसे बिल्ड अब लागू नहीं करता, इसलिए पुराने संस्करण पर मदद करने वाला डाउनग्रेड नए पर बस विफल हो जाएगा। Microsoft उस हटाव को नीति सेटिंग से अलग प्रलेखित करता है, और दोनों को मिलाने से ऐसी सलाह बनती है जो काम नहीं कर सकती।

MSCHAPv2-आधारित एकल साइन-ऑन द्वारा उपयोग किए जाने वाले NTLMv1-व्युत्पन्न क्रेडेंशियल पर एक संबंधित परंतु अलग प्रतिबंध लागू होता है। यह व्युत्पन्न क्रेडेंशियल का प्रश्न है, स्वयं नेटवर्क प्रोटोकॉल का नहीं, और इस एक रजिस्ट्री मान का भी नहीं। तीनों को एक ही विषय मानना वह रास्ता है जिस पर संगठन एक नियंत्रण कमज़ोर करते हैं जबकि दूसरे को ठीक करने का प्रयास करते हैं।

इसे स्वामी के माध्यम से बदलें, फिर दोनों दिशाएँ परखें

यदि सुधार वास्तव में आवश्यक है, तो इसे नीति-स्वामी के माध्यम से करें ताकि आधार-रेखा सुसंगत रहे, और क्यों, यह दर्ज करें। फिर नई सेटिंग के अंतर्गत एक अधिकृत एप्लिकेशन और जानबूझकर निषिद्ध प्रमाणीकरण मामला परखें, क्योंकि एक शेयर ठीक करने और कहीं और चुपचाप पुराने उत्तरों की अनुमति देने वाला परिवर्तन सफलता नहीं है। कार्यशील VPN कनेक्शन सिद्ध करता है कि प्रवेश सफल हुआ। यह मशीन की प्रमाणीकरण नीति को मान्य नहीं करता, और निश्चित रूप से यह नहीं दिखाता कि उसके पीछे की हर सेवा अब भी डिज़ाइन के अनुसार व्यवहार करती है।

यदि विफल होने वाली सेवा Kerberos-आधारित है, तो इस सेटिंग को देखना पूरी तरह बंद कर दें। और यदि यह कोई पुराना उपकरण है जो सचमुच इससे बेहतर नहीं कर सकता, तो उस अपवाद का प्रलेखन करें और उसका दायरा तय करें, क्योंकि विकल्प यह है कि चुपचाप कमज़ोर की गई आधार-रेखा रह जाए जिसे किसी को स्वीकृत करना याद नहीं।