Login VPN ditolak: periksa build sebelum registri
Nilai registri yang hilang bisa menegakkan nilai bawaannya sendiri setelah pembaruan. Baca dulu tingkat build, kebijakan efektif, dan satu peristiwa yang cocok.
Login ditolak pada mesin yang registrinya tidak pernah disentuh siapa pun, dan jawaban forum menyuruh menambahkan nilai yang tidak ada. Ketidakhadiran bukanlah temuannya. Windows menerapkan nilai bawaan, nilai bawaan bisa berubah oleh pembaruan yang terpasang, dan karena itu kebijakan efektif di perangkat bisa lebih ketat daripada yang ditunjukkan registri.
Mulai dari galat yang benar-benar ditampilkan klien
Baca pesannya, bukan rangkuman yang sampai kepada Anda dari tangan kedua. Perintah yang langsung kembali, batas waktu setelah terowongan terbentuk, dan kegagalan yang hanya muncul ketika koneksi mencoba memakai ulang akun yang sudah masuk adalah tiga situasi berbeda. Hanya yang ketiga menyangkut sama sekali masuk tunggal, dan dua yang pertama tidak akan diperbaiki oleh apa pun dalam artikel ini.
Lapisan yang mengambil keputusan menentukan log mana yang menjawabnya. Empat pengamatan ini menunjuk ke empat pemilik berbeda:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Tuliskan teks persisnya, menitnya, dan konteks akunnya ke dalam tiket. Apakah percobaan itu interaktif atau otomatis menentukan komponen Windows mana yang melakukan panggilan, dan laporan yang menyebut VPN rusak sering kali menggambarkan situs internal yang hilang, bukan kredensial yang ditolak.
Baca kebijakan efektif, bukan nilai yang hilang
Tetapkan dulu tingkat build dan pembaruan, karena nilai bawaan untuk pembuatan kredensial turunan NTLMv1 berubah pada rilis Windows 11 dan Windows Server 2025 yang disebutkan. Dengan Credential Guard mati dan BlockNtlmv1SSO tidak disetel, pembaruan yang dirilis pada atau setelah 13 Oktober 2026 memindahkan perilaku dari Audit ke Penegakan tanpa pernah membuat nilai itu. Tidak ada yang muncul di registri, dan perangkat menjadi lebih ketat daripada yang dimaksudkan administrator terakhir. Itulah seluruh alasan pencarian di registri begitu sedikit membuktikan di sini.
Jaga batas-batas itu tetap terpisah saat membaca keluarannya. LmCompatibilityLevel adalah tingkat respons autentikasi jaringan, yang menentukan tantangan dan respons apa yang akan dikirim mesin ke server; itu bukan kontrol yang mengatur pembuatan kredensial masuk tunggal, jadi menurunkannya tidak memulihkan login. Apakah perangkat sama sekali akan berbicara NTLMv1 sebagai protokol jaringan adalah batas ketiga, dan rilis Windows 11 serta Server 2025 saat ini sudah meninggalkannya. Credential Guard, yang keempat, melindungi rahasia di perangkat.
Korelasikan satu percobaan dengan satu peristiwa
Reproduksi kegagalan sekali, catat menitnya, lalu kumpulkan bukti lokal dalam satu sesi. Tiga perintah mencakup build, nilai efektif, dan log operasional NTLM tempat pembuatan kredensial masuk tunggal yang diblokir dicatat:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessagePeristiwa pada saat yang sama dengan kegagalan adalah bukti. Peristiwa dari kemarin, dari akun lain, atau log tanpa satu pun entri bukan bukti, dan kasus kosong layak dicatat sebagai kosong, bukan sebagai bukti yang tidak ada. Panduan Microsoft tentang perubahan NTLMv1 menyebutkan pengenal peristiwa untuk pembuatan kredensial masuk tunggal yang diblokir, jadi bandingkan Id dengan itu alih-alih menebak dari teks pesan.
Simpan bersama pesan klien sendiri dan pandangan gateway atas percobaan yang sama. Pemblokiran pembuatan kredensial lokal, penolakan akun jarak jauh, dan rute privat yang hilang setelah login berhasil memiliki tiga pemilik berbeda, dan hanya yang pertama merupakan pertanyaan kebijakan Windows. Bersihkan peristiwa itu sebelum meninggalkan tim: stempel waktu dan Id peristiwa biasanya menjawab pertanyaannya tanpa detail akun.
Beralih ke metode masuk yang didukung
Jika kebijakan efektif adalah pemblokirannya, jawabannya adalah jalur autentikasi yang didukung, bukan pembalikan diam-diam atas nilai bawaan. Autentikasi berbasis sertifikat adalah tujuan biasa di tempat penerapan mendukungnya, dan memerlukan pendaftaran, distribusi kepercayaan, serta gateway yang menerima sertifikatnya. Panduan Microsoft tentang perubahan NTLMv1 yang akan datang adalah dokumen yang dikutip saat kasus ditinjau.
Mematikan Credential Guard sebagai eksperimen menghapus perlindungan tanpa menyediakan login pengganti, dan pembatasan terdokumentasi atas kredensial yang dapat dipakai ulang adalah alasan bahwa ini keputusan desain, bukan langkah diagnosis. Jika pengecualian sementara diizinkan, berikan cakupan, pemilik, dan tanggal pensiun, serta pertahankan jalur administrasi independen ke mesin itu kalau-kalau perubahan mengunci Anda dari koneksi yang Anda butuhkan. Uji penerimaannya adalah autentikasi yang dimaksudkan beserta sumber daya di belakangnya, bukan hilangnya satu kode galat lokal.