LmCompatibilityLevel Windows-ის პოლიტიკაა და არა VPN-ის გამოსწორება

ვიღაც ვერ აღწევს ფაილის გაზიარებამდე VPN-ის გავლით, კითხულობს, რომ LmCompatibilityLevel-ის დაწევა NTLM პრობლემებს აგვარებს, და ცვლის მას საერთო სერვერზე. მეორე დილით სხვა აპლიკაციები ვარდება, და თავდაპირველი პრობლემა ისევ იქ არის. ეს პარამეტრი არასოდეს ყოფილა გვირაბის ცალკე გადამრთველი; ეს არის განცხადება მთელი მანქანის დონეზე იმის შესახებ, თუ რომელ ავთენტიფიკაციის პასუხებს გაგზავნის და მიიღებს ეს სისტემა. მისი შეცვლა ერთი შესვლის გამოსასწორებლად გადაწერს წესებს ყოველი შესვლისთვის, რომელსაც მანქანა ასრულებს.

დოკუმენტირებული დონეების კითხვა ყველაზე სწრაფი გზაა, რომ შეწყვიტოთ პოლიტიკის მნიშვნელობის ჯადოსნურ რიცხვად მიჩნევა.

სამი დონე, სამი განსხვავებული დაპირება

დონე 1 კლიენტს აიძულებს გაგზავნოს LM და NTLM პასუხები და გამოიყენოს NTLMv2 სესიის უსაფრთხოება, როცა მოლაპარაკება ამის საშუალებას იძლევა. დონე 3 კლიენტს აიძულებს გაგზავნოს მხოლოდ NTLMv2 პასუხები, რაც არ ნიშნავს ყველა ძველი პასუხის უარყოფას მიმღებ მხარეს. დონე 5 ინახავს კლიენტს NTLMv2-ზე და ამატებს დომენის კონტროლერის მიერ LM-ისა და NTLMv1-ის დოკუმენტირებულ უარყოფას. სამი რიცხვი, და მათ შორის სხვაობა პოლიტიკის გადაწყვეტილებაა და არა უპირატესობა.

ეს განსხვავებები ხსნის, თუ რატომ არ არის სანდო მნიშვნელობის კოპირება მომუშავე შემთხვევიდან. არასწორად კონფიგურირებული კლიენტის 1-დან დამტკიცებულ საბაზისო ხაზზე გადატანა შეიძლება სწორი იყოს. გამაგრებული განლაგების 5-დან 3-ზე დაწევა მხოლოდ იმიტომ, რომ ფორუმის თემამ 3 ახსენა, ასუსტებს საზღვარს, რომელიც ვიღაცამ განზრახ აირჩია, და ამას აკეთებს ყოველი სერვისისთვის, რომელთანაც მანქანა საუბრობს.

წაიკითხეთ მოქმედი პოლიტიკა და არა ერთი რეესტრის მნიშვნელობა

მხოლოდ-კითხვითი ხედი ლოკალურ მნიშვნელობაზე გონივრული საწყისი წერტილია: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. მნიშვნელობის არარსებობა არ ნიშნავს, რომ მოქმედი პოლიტიკა ნულია, რადგან დომენის ან ლოკალური უსაფრთხოების პოლიტიკამ შეიძლება სხვაგან დააყენოს იგი, და მანქანის როლი ცვლის, რას აკეთებს ის ამ რიცხვით.

სანამ რამეს დაასკვნით, შეამოწმეთ მართული პოლიტიკა, სისტემის როლი და ფაქტობრივი build. სამუშაო სადგური და დომენის კონტროლერი ერთი და იმავე მნიშვნელობით ზედა ბოლოში სხვანაირად იქცევიან, და ეს არის ის ნაწილი, რომელსაც ხალხი ივიწყებს ორი მანქანის შედარებისას.

დაადგინეთ, რომელი ავთენტიფიკაცია ჩავარდა სინამდვილეში

Kerberos-ის ბილეთების პრობლემები, NTLM-ის უარყოფები და VPN-ში შესვლის წარუმატებლობები სხვადასხვა მტკიცებულებას მოითხოვს. შეინახეთ სამიზნე სერვისი, ანგარიში და ზუსტი შეცდომა ერთად ერთ შენიშვნაში, შემდეგ შეხედეთ, რა მოითხოვა სერვისმა და არა რა ურჩევნია კლიენტს. ეს ერთი შენიშვნა ხელს უშლის ყველაზე გავრცელებულ არასწორ მოხვევას, კერძოდ კლიენტის მხარეს მნიშვნელობის შეცვლას სერვერის მხარის უარყოფაზე პასუხად.

პოლიტიკის განმეორებით დაწევა მანამ, სანამ ზოგადი შესვლის შეცდომა გაქრება, დიაგნოსტიკა არ არის; ეს არის ცვლილება, რომელიც მტკიცებულებას მალავს. თუ აპლიკაცია Kerberos-ს იყენებს, NTLM-ის თავსებადობის დონე შესაბამისი კონტროლიც კი არ არის, და თქვენ უსაფუძვლოდ შეასუსტეთ საზღვარი.

ზოგიერთი პროტოკოლური მხარდაჭერა არ აღდგება

Windows 11 24H2 და Windows Server 2025 საერთოდ აღარ შეიცავენ NTLMv1 ქსელურ ავთენტიფიკაციას. ვერც ერთი თავსებადობის რიცხვი ვერ დააბრუნებს პროტოკოლს, რომელსაც build აღარ ახორციელებს, ამიტომ ძველ გამოშვებაზე დამხმარე დაწევა უბრალოდ ჩავარდება ახალზე. Microsoft ამ მოხსნას პოლიტიკის პარამეტრისგან ცალკე აღწერს, და ორივეს შერევა წარმოშობს რჩევას, რომელიც ვერ იმუშავებს.

დაკავშირებული, მაგრამ განსხვავებული შეზღუდვა ვრცელდება MSCHAPv2-ზე დაფუძნებული ერთიანი შესვლის მიერ გამოყენებულ NTLMv1-იდან წარმოებულ სანდოობის მონაცემებზე. ეს წარმოებული სანდოობის მონაცემების საკითხია და არა თავად ქსელური პროტოკოლისა და არც ამ ერთი რეესტრის მნიშვნელობისა. სამივეს ერთ თემად მიჩნევა ის გზაა, რომლითაც ორგანიზაციები ერთ კონტროლს ასუსტებენ, სანამ მეორის გამოსწორებას ცდილობენ.

შეცვალეთ ის მფლობელის მეშვეობით, შემდეგ გამოსცადეთ ორივე მიმართულება

თუ შესწორება ნამდვილად საჭიროა, გააკეთეთ ის პოლიტიკის მფლობელის მეშვეობით, რომ საბაზისო ხაზი თანმიმდევრული დარჩეს, და ჩაწერეთ რატომ. შემდეგ გამოსცადეთ ავტორიზებული აპლიკაცია ახალი პარამეტრის ქვეშ და განზრახ აკრძალული ავთენტიფიკაციის შემთხვევა, რადგან ცვლილება, რომელიც ერთ გაზიარებას ასწორებს და სხვაგან ჩუმად უშვებს ძველ პასუხებს, წარმატება არ არის. მუშა VPN კავშირი ამტკიცებს, რომ შესვლა წარმატებით დასრულდა. ის არ ამოწმებს მანქანის ავთენტიფიკაციის პოლიტიკას და ნამდვილად არ აჩვენებს, რომ მის უკან მდგარი ყოველი სერვისი ჯერ კიდევ ისე იქცევა, როგორც დაპროექტდა.

თუ წარუმატებელი სერვისი Kerberos-ზეა დაფუძნებული, საერთოდ შეწყვიტეთ ამ პარამეტრის ყურება. თუ ეს ძველი მოწყობილობაა, რომელიც ნამდვილად ვერ უმჯობესდება, დააფიქსირეთ ეს გამონაკლისი და შემოსაზღვრეთ ის, რადგან ალტერნატივაა ჩუმად შესუსტებული საბაზისო ხაზი, რომლის დამტკიცებაც არავის ახსოვს.