LmCompatibilityLevel-ը Windows-ի քաղաքականություն է, ոչ VPN-ի լուծում

Ինչ-որ մեկը չի կարողանում հասնել ֆայլային համօգտագործմանը VPN-ի միջով, կարդում է, որ LmCompatibilityLevel-ի իջեցումը լուծում է NTLM-ի խնդիրները, և փոխում է այն համատեղ սերվերի վրա։ Հաջորդ առավոտ այլ հավելվածներ ձախողվում են, և սկզբնական խնդիրը մնում է տեղում։ Այս պարամետրը երբեք թունելի առանձին անջատիչ չի եղել՝ այն հայտարարություն է ամբողջ մեքենայի մակարդակով այն մասին, թե ինչ նույնականացման պատասխաններ այս համակարգը կուղարկի և կընդունի։ Այն փոխելը՝ մեկ մուտք ուղղելու համար, վերաշարադրում է կանոնները մեքենայի կատարած յուրաքանչյուր մուտքի համար։

Փաստաթղթավորված մակարդակները կարդալը ամենաարագ ճանապարհն է դադարելու քաղաքականության արժեքը կախարդական թիվ համարելուց։

Երեք մակարդակ, երեք տարբեր խոստումներ

1-ին մակարդակը ստիպում է հաճախորդին ուղարկել LM և NTLM պատասխաններ՝ օգտագործելով NTLMv2 սեսիայի անվտանգությունը, երբ բանակցությունները դա թույլ են տալիս։ 3-րդ մակարդակը ստիպում է հաճախորդին ուղարկել միայն NTLMv2 պատասխաններ, ինչը նույնը չէ, ինչ ընդունող կողմում բոլոր հին պատասխանների մերժումը։ 5-րդ մակարդակը պահում է հաճախորդին NTLMv2-ի վրա և ավելացնում է տիրույթի վերահսկիչի կողմից LM-ի և NTLMv1-ի փաստաթղթավորված մերժումը։ Երեք թիվ, և նրանց միջև տարբերությունը քաղաքականության որոշում է, ոչ թե նախընտրություն։

Այդ տարբերությունները բացատրում են, թե ինչու աշխատող դեպքից արժեք պատճենելը հուսալի չէ։ Սխալ կարգավորված հաճախորդը 1-ից հաստատված բազային գծին տեղափոխելը կարող է ճիշտ լինել։ Կարծրացված տեղակայումը 5-ից 3-ի իջեցնելը միայն այն պատճառով, որ ֆորումի թեմայում նշվել էր 3, թուլացնում է սահման, որը ինչ-որ մեկը դիտավորյալ է ընտրել, և դա անում է մեքենայի հետ խոսող յուրաքանչյուր ծառայության համար։

Կարդացեք գործող քաղաքականությունը, ոչ թե մեկ գրանցամատյանի արժեք

Միայն կարդալու հայացքը տեղական արժեքին ողջամիտ մեկնարկային կետ է՝ Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel։ Արժեքի բացակայությունը չի նշանակում, որ գործող քաղաքականությունը զրո է, քանի որ տիրույթի կամ տեղական անվտանգության քաղաքականությունը կարող է այն սահմանել այլ տեղ, և մեքենայի դերը փոխում է, թե ինչ է անում այդ թվի հետ։

Որևէ եզրակացություն անելուց առաջ ստուգեք կառավարվող քաղաքականությունը, համակարգի դերը և փաստացի build-ը։ Նույն արժեքով աշխատանքային կայանը և տիրույթի վերահսկիչը վերին ծայրում տարբեր են վարվում, և դա այն մասն է, որը մարդիկ մոռանում են երկու մեքենա համեմատելիս։

Որոշեք, թե որ նույնականացումն է իրականում ձախողվել

Kerberos-ի տոմսերի խնդիրները, NTLM-ի մերժումները և VPN-ի ընդունման ձախողումները տարբեր ապացույցներ են պահանջում։ Թիրախային ծառայությունը, հաշիվը և ճշգրիտ սխալը պահեք միասին մեկ գրառման մեջ, ապա նայեք, թե ինչ է պահանջել ծառայությունը, այլ ոչ թե ինչ է նախընտրում հաճախորդը։ Այդ մեկ գրառումը կանխում է ամենատարածված սխալ շրջադարձը՝ սերվերի կողմի մերժմանը պատասխանելու համար հաճախորդի կողմի արժեքը փոխելը։

Քաղաքականությունը կրկնակի իջեցնելը, մինչև ընդհանուր մուտքի սխալը անհետանա, ախտորոշում չէ՝ դա փոփոխություն է, որը թաքցնում է ապացույցը։ Եթե հավելվածը օգտագործում է Kerberos, ապա NTLM-ի համատեղելիության մակարդակը նույնիսկ համապատասխան վերահսկիչը չէ, և դուք զուր թուլացրել եք սահման։

Որոշ արձանագրային աջակցություն հնարավոր չէ վերականգնել

Windows 11 24H2-ը և Windows Server 2025-ը այլևս ընդհանրապես չեն ներառում NTLMv1 ցանցային նույնականացում։ Ոչ մի համատեղելիության թիվ չի վերադարձնում արձանագրություն, որը build-ն այլևս չի իրականացնում, ուստի ավելի հին թողարկման վրա օգնած իջեցումը պարզապես կձախողվի ավելի նորի վրա։ Microsoft-ը այդ հեռացումը փաստաթղթավորում է քաղաքականության պարամետրից առանձին, և երկուսը խառնելը տալիս է խորհուրդ, որը չի կարող աշխատել։

Առնչվող, բայց առանձին սահմանափակում է գործում MSCHAPv2-ի վրա հիմնված միասնական մուտքի կողմից օգտագործվող NTLMv1-ից ածանցյալ հավատարմագրերի համար։ Սա ածանցյալ հավատարմագրերի հարց է, ոչ թե ցանցային արձանագրության ինքնին, և ոչ այս մեկ գրանցամատյանի արժեքը։ Երեքին որպես նույն թեմա դիտարկելը այն ուղին է, որով կազմակերպությունները թուլացնում են մեկ վերահսկիչ՝ միաժամանակ փորձելով ուղղել մյուսը։

Փոխեք այն սեփականատիրոջ միջոցով, ապա փորձարկեք երկու ուղղությունները

Եթե իսկապես ուղղում է անհրաժեշտ, արեք այն քաղաքականության սեփականատիրոջ միջոցով, որպեսզի բազային գիծը մնա հետևողական, և գրանցեք, թե ինչու։ Այնուհետև փորձարկեք լիազորված հավելված նոր պարամետրի ներքո և դիտավորյալ արգելված նույնականացման դեպք, քանի որ փոփոխությունը, որը ուղղում է մեկ համօգտագործում և լուռ թույլատրում է հին պատասխաններ այլ տեղ, հաջողություն չէ։ Աշխատող VPN կապը ապացուցում է, որ ընդունումը հաջողվել է։ Այն չի վավերացնում մեքենայի նույնականացման քաղաքականությունը և հաստատ չի ցույց տալիս, որ դրա հետևում գտնվող յուրաքանչյուր ծառայություն դեռ վարվում է այնպես, ինչպես նախագծվել է։

Եթե ձախողվող ծառայությունը հիմնված է Kerberos-ի վրա, ամբողջությամբ դադարեցրեք այս պարամետրին նայելը։ Իսկ եթե դա հին սարք է, որն իսկապես չի կարող ավելի լավ անել, փաստաթղթավորեք այդ բացառությունը և սահմանափակեք դրա շրջանակը, քանի որ այլընտրանքը լուռ թուլացված բազային գիծ է, որը ոչ ոք չի հիշում հաստատած լինել։