VPN साइन-इन अस्वीकृत: रजिस्ट्री से पहले बिल्ड जाँचें
रजिस्ट्री में गायब मान किसी अपडेट के बाद अपना ही डिफ़ॉल्ट लागू कर सकता है। पहले बिल्ड स्तर, प्रभावी नीति और एक मेल खाती घटना पढ़ें।
ऐसी मशीन पर साइन-इन अस्वीकृत होता है जहाँ किसी ने रजिस्ट्री संपादित नहीं की, और फ़ोरम का उत्तर कहता है कि वह मान जोड़ें जो वहाँ नहीं है। अनुपस्थिति ही निष्कर्ष नहीं है। Windows डिफ़ॉल्ट लागू करता है, स्थापित अपडेट के साथ डिफ़ॉल्ट बदल सकता है, और इसलिए डिवाइस की प्रभावी नीति रजिस्ट्री के संकेत से अधिक सख़्त हो सकती है।
उस त्रुटि से शुरू करें जो क्लाइंट ने वास्तव में दिखाई
संदेश पढ़ें, दूसरे हाथ से मिला सारांश नहीं। तुरंत लौटने वाला संकेत, टनल बनने के बाद का टाइमआउट, और केवल तब दिखने वाली विफलता जब कनेक्शन लॉग-इन किए गए खाते का पुनः उपयोग करने का प्रयास करता है — ये तीन अलग स्थितियाँ हैं। केवल तीसरी में ही सिंगल साइन-ऑन का कोई संबंध है, और पहली दो इस लेख की किसी चीज़ से ठीक नहीं होंगी।
जिस परत ने निर्णय लिया वही तय करती है कि कौन-सा लॉग उसका उत्तर देता है। ये चार अवलोकन चार अलग मालिकों की ओर संकेत करते हैं:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
सटीक टेक्स्ट, मिनट और खाते का संदर्भ टिकट में लिखें। प्रयास इंटरैक्टिव था या स्वचालित, यह तय करता है कि Windows का कौन-सा घटक कॉल कर रहा था, और यह कहने वाली रिपोर्ट कि VPN टूटा हुआ है अक्सर अस्वीकृत क्रेडेंशियल नहीं बल्कि गायब आंतरिक साइट का वर्णन करती है।
प्रभावी नीति पढ़ें, गायब मान नहीं
पहले बिल्ड और अपडेट स्तर स्थापित करें, क्योंकि NTLMv1 से व्युत्पन्न क्रेडेंशियल बनाने का डिफ़ॉल्ट सूचीबद्ध Windows 11 और Windows Server 2025 संस्करणों में बदल गया है। Credential Guard बंद और BlockNtlmv1SSO सेट न होने पर, 13 अक्टूबर 2026 या उसके बाद जारी अपडेट व्यवहार को ऑडिट से लागू में ले जाता है, बिना वह मान कभी बनाए। रजिस्ट्री में कुछ दिखाई नहीं देता, और डिवाइस अंतिम प्रशासक के इरादे से अधिक सख़्त हो जाता है। यही पूरा कारण है कि यहाँ रजिस्ट्री की खोज इतना कम साबित करती है।
आउटपुट पढ़ते समय सीमाओं को अलग रखें। LmCompatibilityLevel नेटवर्क प्रमाणीकरण प्रतिक्रिया स्तर है, जो तय करता है कि मशीन सर्वर को कौन-सी चुनौती और प्रतिक्रिया भेजेगी; यह सिंगल साइन-ऑन क्रेडेंशियल निर्माण को नियंत्रित करने वाला नियंत्रण नहीं है, इसलिए इसे घटाने से साइन-इन बहाल नहीं होता। डिवाइस NTLMv1 को नेटवर्क प्रोटोकॉल के रूप में बोलेगा या नहीं, यह तीसरी सीमा है, और मौजूदा Windows 11 तथा Server 2025 संस्करण इसे पहले ही छोड़ चुके हैं। Credential Guard, चौथा, डिवाइस पर रहस्यों की रक्षा करता है।
एक प्रयास को एक घटना से जोड़ें
विफलता को एक बार दोहराएँ, मिनट नोट करें, फिर एक ही बैठक में स्थानीय साक्ष्य जुटाएँ। तीन कमांड बिल्ड, प्रभावी मान और NTLM परिचालन लॉग को कवर करते हैं, जहाँ अवरुद्ध सिंगल साइन-ऑन क्रेडेंशियल निर्माण दर्ज होता है:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Messageविफलता के ठीक उसी क्षण की घटना साक्ष्य है। कल की घटना, किसी अन्य खाते की, या बिना किसी प्रविष्टि वाला लॉग साक्ष्य नहीं है, और खाली स्थिति को अनुपस्थित साक्ष्य के रूप में नहीं, खाली के रूप में दर्ज करना उचित है। NTLMv1 परिवर्तनों के लिए Microsoft का मार्गदर्शन अवरुद्ध सिंगल साइन-ऑन क्रेडेंशियल निर्माण के लिए घटना पहचानकर्ता बताता है, इसलिए संदेश के पाठ से अनुमान लगाने के बजाय Id की उससे तुलना करें।
क्लाइंट का अपना संदेश और उसी प्रयास पर गेटवे का दृष्टिकोण साथ रखें। स्थानीय क्रेडेंशियल-निर्माण अवरोध, दूरस्थ खाता अस्वीकृति और सफल लॉग-इन के बाद गायब निजी मार्ग के तीन अलग मालिक हैं, और केवल पहला ही Windows नीति का प्रश्न है। टीम छोड़ने से पहले घटना को साफ़ करें: टाइमस्टैम्प और घटना Id आमतौर पर खाते के विवरण के बिना प्रश्न का उत्तर देते हैं।
समर्थित साइन-इन विधि पर जाएँ
यदि प्रभावी नीति ही अवरोध है, तो उत्तर डिफ़ॉल्ट को चुपचाप उलटना नहीं बल्कि समर्थित प्रमाणीकरण मार्ग है। जहाँ परिनियोजन समर्थन देता है वहाँ प्रमाणपत्र-आधारित प्रमाणीकरण सामान्य गंतव्य है, और इसके लिए नामांकन, विश्वास वितरण और प्रमाणपत्र स्वीकार करने वाला गेटवे चाहिए। आगामी NTLMv1 परिवर्तनों पर Microsoft का मार्गदर्शन वह दस्तावेज़ है जो मामले की समीक्षा के समय उद्धृत किया जाना चाहिए।
प्रयोग के तौर पर Credential Guard बंद करना प्रतिस्थापन लॉग-इन दिए बिना सुरक्षा हटा देता है, और पुनः उपयोग योग्य क्रेडेंशियल पर दर्ज प्रतिबंध ही कारण हैं कि यह निदान का चरण नहीं बल्कि डिज़ाइन निर्णय है। यदि अस्थायी अपवाद अधिकृत हो, तो उसे दायरा, मालिक और समाप्ति तिथि दें, और मशीन तक स्वतंत्र प्रशासन मार्ग रखें ताकि बदलाव आपको आवश्यक कनेक्शन से बाहर न कर दे। स्वीकृति परीक्षण इच्छित प्रमाणीकरण और उसके पीछे का संसाधन है, स्थानीय त्रुटि कोड का गायब होना नहीं।