VPN サインインが拒否されたら：レジストリより先にビルドを確認する
レジストリにない値が、更新後に既定値を強制していることがあります。まずビルドの水準、有効なポリシー、一致するイベントを一つ確認してください。
誰もレジストリを編集していないマシンでサインインが拒否され、フォーラムの回答は存在しない値を追加しろと言います。値がないこと自体は発見ではありません。Windows は既定値を適用し、その既定値はインストールされた更新で変わり得るため、端末上の有効なポリシーはレジストリが示すより厳しいことがあります。
クライアントが実際に表示したエラーから始める
伝聞の要約ではなく、表示されたメッセージそのものを読みます。すぐに戻るプロンプト、トンネル形成後のタイムアウト、サインイン済みアカウントを再利用しようとしたときだけ現れる失敗は、三つの異なる状況です。シングルサインオンに関わるのは三つ目だけで、最初の二つは本記事の内容では直りません。
判断を行った層が、どのログがそれに答えるかを決めます。次の四つの観察は、四つの異なる担当を示しています：
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
正確な文言、時刻、アカウントの状況をチケットに書きます。試行が対話的か自動かで、どの Windows コンポーネントが呼び出したかが決まり、VPN が壊れているという報告の多くは、資格情報の拒否ではなく内部サイトの欠落を説明しています。
有効なポリシーを読み、欠けている値に注目しない
まずビルドと更新の水準を確定します。NTLMv1 由来の資格情報生成の既定値は、列挙された Windows 11 と Windows Server 2025 のリリースで変わったからです。Credential Guard が無効で BlockNtlmv1SSO が未設定のとき、2026年十月13日以降に公開された更新は、その値を作らないまま動作を監査から強制へ移します。レジストリには何も現れず、端末は最後の管理者が意図したより厳しくなります。ここでレジストリ検索がほとんど何も証明しない理由は、まさにこれです。
出力を読むときは境界を分けておきます。LmCompatibilityLevel はネットワーク認証の応答水準で、マシンがサーバーに送るチャレンジと応答を決めます。シングルサインオンの資格情報生成を左右する制御ではないため、下げてもサインインは戻りません。端末が NTLMv1 をネットワークプロトコルとして話すかどうかは三つ目の境界で、現在の Windows 11 と Server 2025 はすでに廃止しています。四つ目の Credential Guard は端末上の秘密を守ります。
一つの試行を一つのイベントに対応づける
失敗を一度再現し、時刻を記録してから、ローカルの証拠を一度に集めます。三つのコマンドで、ビルド、有効な値、そしてブロックされたシングルサインオン資格情報生成が記録される NTLM 運用ログを押さえられます：
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Message失敗と同じ瞬間のイベントは証拠です。昨日のもの、別アカウントのもの、あるいは一件も記録がないログは証拠ではなく、空の場合は欠けた証拠ではなく空として記録する価値があります。NTLMv1 の変更に関する Microsoft の指針は、ブロックされたシングルサインオン資格情報生成のイベント ID を示しているので、メッセージ本文から推測せず Id と突き合わせます。
クライアント自身のメッセージと、同じ試行に対するゲートウェイの見方を一緒に保ちます。ローカルの資格情報生成ブロック、リモート側のアカウント拒否、サインイン成功後の専用ルート欠落は三つの異なる担当に属し、Windows のポリシー問題なのは一つ目だけです。チームの外に出す前にイベントを清掃します。タイムスタンプとイベント Id があれば、アカウントの詳細なしで問いに答えるのが普通です。
サポートされるサインイン方式へ移る
有効なポリシーがそのブロックなら、答えは既定値の静かな撤回ではなく、サポートされる認証経路です。証明書ベースの認証は、配備が対応している場合の通常の行き先で、登録、信頼の配布、証明書を受け入れるゲートウェイが必要です。ケースをレビューするときは NTLMv1 の今後の変更に関する Microsoft の指針 を引用します。
実験として Credential Guard を無効にすると、代替のサインインを用意しないまま保護が失われます。再利用可能な資格情報に関する文書化された制約があるため、これは診断手順ではなく設計上の判断です。一時的な例外を認めるなら、範囲、担当者、廃止日を与え、その変更で必要な接続から締め出された場合に備えてマシンへの独立した管理経路を残します。受け入れ試験は、意図した認証とその先のリソースであり、ローカルのエラーコードが一つ消えることではありません。