LmCompatibilityLevel er Windows-stefna, ekki VPN-lagfæring

Einhver kemst ekki að skráardeilingu yfir VPN, les að lækkun LmCompatibilityLevel leysi NTLM-vandamál, og breytir því á sameiginlegum netþjóni. Næsta morgun mistakast önnur forrit, og upprunalega vandamálið er enn þar. Þessi stilling var aldrei rofi fyrir hverja göng; hún er yfirlýsing á vélarstigi um hvaða auðkenningarsvör þetta kerfi muni senda og samþykkja. Að breyta henni til að laga eina innskráningu endurskrifar reglurnar fyrir hverja innskráningu sem vélin framkvæmir.

Að lesa skjöluðu stigin er fljótlegasta leiðin til að hætta að meðhöndla stefnugildi sem töfratölu.

Þrjú stig, þrjú mismunandi loforð

Stig 1 fær biðlarann til að senda LM- og NTLM-svör, og notar NTLMv2 lotuöryggi þegar samningaviðræðurnar leyfa það. Stig 3 fær biðlarann til að senda aðeins NTLMv2-svör, sem er ekki það sama og að hafna öllum gömlum svörum á móttökuhliðinni. Stig 5 heldur biðlaranum á NTLMv2 og bætir við skjöluðu synjun lénsstjórans á LM og NTLMv1. Þrjár tölur, og bilið á milli þeirra er stefnuákvörðun en ekki persónulegt val.

Þessi munur útskýrir hvers vegna það er óáreiðanlegt að afrita gildi úr virku tilviki. Að færa rangt stilltan biðlara frá 1 á samþykktu grunnlínuna getur verið rétt. Að færa harða uppsetningu frá 5 niður í 3 bara af því að þráður á vefspjalli nefndi 3 slakar á mörkum sem einhver valdi viljandi, og gerir það fyrir hverja þjónustu sem vélin talar við.

Lestu virku stefnuna, ekki eitt skráargildi

Lestrar-abeins gluggi á staðbundna gildið er sanngjarn upphafspunktur: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Gildi sem vantar þýðir ekki að virka stefnan sé núll, því lénsstefna eða staðbundin öryggisstefna getur sett það annars staðar, og hlutverk vélarinnar breytir því hvað hún gerir með töluna.

Athugaðu stýrðu stefnuna, hlutverk kerfisins og raunverulega bygginguna áður en þú ályktar nokkuð. Vinnustöð og lénsstjóri með sama gildi hegða sér öðruvísi á efri endanum, og það er það sem fólk gleymir þegar það ber saman tvær vélar.

Greindu hvaða auðkenning mistókst í raun

Kerberos-miðavandamál, NTLM-synjanir og misheppnuð VPN-innganga þurfa mismunandi sönnunargögn. Haltu markþjónustunni, reikningnum og nákvæmri villu saman í einni athugasemd, og skoðaðu svo hvað þjónustan bað um frekar en hvað biðlarinn kýs. Þessi eina athugasemd kemur í veg fyrir algengustu röngu beygjuna, það er að breyta gildi á biðlarahlið til að svara synjun á netþjónshlið.

Að lækka stefnu aftur og aftur þar til almenn innskráningarvilla hverfur er ekki greining; það er breyting sem felur sönnunargögnin. Ef forritið notar Kerberos er NTLM-samhæfisstigið ekki einu sinni viðeigandi stýring, og þú hefur slakað á mörkum að ósekju.

Ekki er hægt að endurheimta allan samskiptareglustuðning

Windows 11 24H2 og Windows Server 2025 innihalda ekki lengur NTLMv1 netauðkenningu yfirhöfuð. Engin samhæfistala færir til baka samskiptareglu sem byggingin útfærir ekki lengur, svo niðurfærsla sem virtist hjálpa á eldri útgáfu mun einfaldlega mistakast á nýrri. Microsoft skjalfestir þá fjarlægingu aðskilið frá stefnustillingunni, og að rugla þeim saman framleiðir ráð sem geta ekki virkað.

Skyld takmörkun, en önnur, gildir um skilríki sem eru leidd af NTLMv1 og eru notuð af einni innskráningu sem byggir á MSCHAPv2. Þetta er spurning um leidd skilríki, ekki netkerfissamskiptaregluna sjálfa, og ekki þetta eina skráargildi. Að meðhöndla öll þrjú sem sama efnið er leiðin sem stofnanir enda á að veikja eina stýringu á meðan þær reyna að laga aðra.

Breyttu því í gegnum eigandann, prófaðu svo báðar áttir

Ef leiðrétting er sannarlega nauðsynleg, gerðu hana í gegnum eiganda stefnunnar svo grunnlínan haldist samkvæm, og skráðu hvers vegna. Prófaðu svo heimilað forrit undir nýju stillingunni og viljandi bannað auðkenningartilvik, því breyting sem lagar eina skráardeilingu og leyfir hljóðlega gömul svör annars staðar er ekki árangur. Virk VPN-tenging sannar að inngangan tókst. Hún staðfestir ekki auðkenningarstefnu vélarinnar, og sýnir alls ekki að hver þjónusta bak við hana hegði sér enn eins og hún var hönnuð.

Ef þjónustan sem mistekst byggir á Kerberos skaltu hætta alfarið að skoða þessa stillingu. Ef um er að ræða gamalt tæki sem getur sannarlega ekki betur skaltu skjalfesta þá undantekningu og afmarka hana, því valkosturinn er hljóðlega veikt grunnlína sem enginn man að hafi verið samþykkt.