VPN-bejelentkezés elutasítva: nézze meg a buildet a rendszerleíró adatbázis előtt
Egy hiányzó rendszerleíró érték a frissítés után a saját alapértékét érvényesítheti. Először a build szintjét, a tényleges házirendet és egy megfelelő eseményt olvasson.
A bejelentkezés olyan gépen utasítódik el, ahol senki nem szerkesztette a rendszerleíró adatbázist, a fórumválasz pedig azt mondja, adjunk hozzá egy ott nem létező értéket. A hiány nem maga a megállapítás. A Windows alapértékeket alkalmaz, az alapérték egy telepített frissítéssel megváltozhat, és ezért az eszközön érvényes házirend szigorúbb lehet annál, mint amit a rendszerleíró adatbázis sugall.
Azzal a hibával kezdje, amit az ügyfél valóban mutatott
Az üzenetet olvassa, ne a másodkézből kapott összefoglalót. Az azonnal visszatérő felszólítás, az alagút létrejötte utáni időtúllépés és az a hiba, amely csak akkor jelenik meg, amikor a kapcsolat a bejelentkezett fiókot újra fel akarja használni, három különböző helyzet. Csak a harmadiknak van köze egyáltalán az egyszeri bejelentkezéshez, az első kettőt pedig semmi nem javítja meg ebben a cikkben.
Az a réteg, amely a döntést hozta, határozza meg, melyik napló válaszol rá. Ez a négy megfigyelés négy különböző tulajdonosra mutat:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Írja be a jegybe a pontos szöveget, a percet és a fiók kontextusát. Hogy a kísérlet interaktív vagy automatikus volt, eldönti, melyik Windows-összetevő tette a hívást, és a „a VPN elromlott” jelentés gyakran inkább egy hiányzó belső webhelyet ír le, mint elutasított hitelesítő adatokat.
A tényleges házirendet olvassa, ne a hiányzó értéket
Először állapítsa meg a build és a frissítés szintjét, mert az NTLMv1-ből származtatott hitelesítő adatok létrehozásának alapértéke megváltozott a felsorolt Windows 11- és Windows Server 2025-kiadásokban. Kikapcsolt Credential Guard és be nem állított BlockNtlmv1SSO esetén a 2026. október 13-án vagy később kiadott frissítés a viselkedést naplózásról kényszerítésre állítja, anélkül hogy valaha létrehozná ezt az értéket. A rendszerleíró adatbázisban semmi sem jelenik meg, és az eszköz szigorúbb lesz, mint amit az utolsó rendszergazda szándékozott. Ez az egész oka annak, hogy itt a rendszerleíró adatbázisban való keresés olyan keveset bizonyít.
Tartsa külön a határokat a kimenet olvasása közben. A LmCompatibilityLevel a hálózati hitelesítés válaszszintje, amely meghatározza, milyen kihívást és választ küld a gép egy kiszolgálónak; nem ez az a vezérlő, amely az egyszeri bejelentkezés hitelesítő adatainak létrehozását szabályozza, ezért csökkentése nem állítja helyre a bejelentkezést. Az, hogy az eszköz egyáltalán beszél-e NTLMv1-et hálózati protokollként, harmadik határ, és a jelenlegi Windows 11- és Server 2025-kiadások már elhagyták. A Credential Guard, a negyedik, a titkokat védi az eszközön.
Kapcsoljon össze egy kísérletet egy eseménnyel
Ismételje meg a hibát egyszer, jegyezze fel a percet, majd gyűjtse össze a helyi bizonyítékokat egy ülésben. Három parancs fedi le a buildet, a tényleges értéket és az NTLM műveleti naplót, ahol a blokkolt egyszeri bejelentkezési hitelesítőadat-létrehozás rögzítésre kerül:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageA hiba pillanatával azonos időpontú esemény bizonyíték. A tegnapi, más fióktól származó esemény vagy a bejegyzés nélküli napló nem az, és az üres esetet érdemes üresként rögzíteni, nem hiányzó bizonyítékként. A Microsoft NTLMv1-változásokról szóló útmutatója megnevezi a blokkolt egyszeri bejelentkezési hitelesítőadat-létrehozás eseményazonosítóját, ezért hasonlítsa össze az Id-t azzal, ne az üzenet szövegéből találgasson.
Tartsa együtt az ügyfél saját üzenetét és az átjáró nézetét ugyanarról a kísérletről. A helyi hitelesítőadat-létrehozás blokkolása, egy távoli fiókelutasítás és egy hiányzó privát útvonal a sikeres bejelentkezés után három különböző tulajdonoshoz tartozik, és csak az első Windows-házirendkérdés. Tisztítsa meg az eseményt, mielőtt elhagyja a csapatot: egy időbélyeg és egy esemény-Id általában megválaszolja a kérdést a fiók adatai nélkül.
Térjen át egy támogatott bejelentkezési módszerre
Ha a tényleges házirend maga a blokk, a válasz egy támogatott hitelesítési útvonal, nem az alapérték csendes visszaállítása. A tanúsítványalapú hitelesítés a szokásos cél ott, ahol a telepítés támogatja, és beiratkozást, bizalmi terjesztést és a tanúsítványokat elfogadó átjárót igényel. A Microsoft útmutatója a közelgő NTLMv1-változásokról az a dokumentum, amelyet az eset felülvizsgálatakor idézni kell.
A Credential Guard kísérleti kikapcsolása eltávolítja a védelmet anélkül, hogy helyettesítő bejelentkezést adna, és az újrafelhasználható hitelesítő adatok dokumentált korlátozásai az okai annak, hogy ez tervezési döntés, nem diagnosztikai lépés. Ha ideiglenes kivételt engedélyeznek, adjon neki hatókört, tulajdonost és megszűnési dátumot, és tartson fenn független felügyeleti útvonalat a géphez, arra az esetre, ha a változás kizárja Önt a szükséges kapcsolatból. Az átvételi teszt a szándékolt hitelesítés és a mögötte lévő erőforrás, nem egy helyi hibakód eltűnése.