LmCompatibilityLevel — бұл Windows саясаты, VPN шешімі емес

Біреу VPN арқылы файл алмасуға қол жеткізе алмайды, LmCompatibilityLevel деңгейін төмендету NTLM мәселелерін шешеді деп оқиды және оны ортақ серверде өзгертеді. Келесі күні таңертең басқа қосымшалар істен шығады, ал бастапқы мәселе сол күйінде қалады. Бұл параметр ешқашан туннельге жеке ажыратқыш болған емес; ол осы жүйенің қандай аутентификация жауаптарын жіберетіні мен қабылдайтыны туралы компьютер деңгейіндегі мәлімдеме. Оны бір кіруді түзету үшін өзгерту компьютер жасайтын әрбір кіру ережелерін қайта жазады.

Құжатталған деңгейлерді оқу — саясат мәнін сиқырлы сан ретінде қарастыруды тоқтатудың ең жылдам жолы.

Үш деңгей, үш түрлі уәде

1-деңгей клиентке LM және NTLM жауаптарын жіберуге мәжбүр етеді әрі келіссөз рұқсат еткенде NTLMv2 сессия қауіпсіздігін пайдаланады. 3-деңгей клиентке тек NTLMv2 жауаптарын жіберуге мәжбүр етеді, бұл қабылдаушы жақта барлық ескі жауаптарды қабылдамаумен бірдей емес. 5-деңгей клиентті NTLMv2 деңгейінде ұстайды және домен контроллерінің LM мен NTLMv1-ді құжатталған түрде қабылдамауын қосады. Үш сан, және олардың арасындағы айырмашылық таңдау емес, саяси шешім.

Бұл айырмашылықтар жұмыс істеп тұрған жағдайдан мәнді көшірудің неге сенімсіз екенін түсіндіреді. Қате конфигурацияланған клиентті 1-ден бекітілген базалық сызыққа көшіру дұрыс болуы мүмкін. Қатайтылған орналастыруды 5-тен 3-ке төмендету, тек форум тақырыбында 3 аталғаны үшін, біреудің әдейі таңдаған шекарасын босаңсытады және мұны компьютер сөйлесетін әрбір қызмет үшін жасайды.

Әсер ететін саясатты оқыңыз, бір тіркеу мәнін емес

Жергілікті мәнді тек оқу үшін қарау — орынды бастапқы нүкте: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Мәннің болмауы әсер ететін саясаттың нөл екенін білдірмейді, себебі домен немесе жергілікті қауіпсіздік саясаты оны басқа жерде орнатуы мүмкін, ал компьютердің рөлі бұл санмен не істейтінін өзгертеді.

Қандай да бір қорытынды жасамас бұрын басқарылатын саясатты, жүйе рөлін және нақты build-ті тексеріңіз. Бірдей мәні бар жұмыс станциясы мен домен контроллері жоғарғы шетінде басқаша әрекет етеді, және адамдар екі компьютерді салыстырғанда дәл осы бөлікті ұмытып кетеді.

Нақты қай аутентификация сәтсіз аяқталғанын анықтаңыз

Kerberos билеттерінің мәселелері, NTLM қабылдамаулары және VPN-ға кірудің сәтсіздіктері әртүрлі дәлелдерді қажет етеді. Мақсатты қызметті, тіркелгіні және нақты қатені бір жазбада бірге ұстаңыз, содан кейін клиент не қалайтынын емес, қызмет нені сұрағанын қараңыз. Сол бір жазба ең көп таралған қате бұрылысты болдырмайды, яғни сервер жағындағы бас тартуға жауап ретінде клиент жағындағы мәнді өзгертуді.

Жалпы кіру қатесі жоғалғанша саясатты қайта-қайта төмендету — диагностика емес; бұл дәлелді жасыратын өзгеріс. Егер қосымша Kerberos пайдаланса, NTLM үйлесімділік деңгейі тіпті қатысты басқару элементі емес, және сіз шекараны тегін босаңсыттыңыз.

Кейбір протокол қолдауын қалпына келтіру мүмкін емес

Windows 11 24H2 мен Windows Server 2025 енді NTLMv1 желілік аутентификациясын мүлдем қамтымайды. Ешбір үйлесімділік саны build енді іске асырмайтын протоколды қайтармайды, сондықтан ескірген шығарылымда көмектескен төмендету жаңарақ шығарылымда жай ғана сәтсіз болады. Microsoft бұл жоюды саясат параметрінен бөлек құжаттайды, ал екеуін шатастыру жұмыс істей алмайтын кеңес тудырады.

Байланысты, бірақ бөлек шектеу MSCHAPv2 негізіндегі бірыңғай кіру пайдаланатын NTLMv1-ден туынды тіркелгі деректеріне қолданылады. Бұл туынды тіркелгі деректері туралы мәселе, желілік протоколдың өзі емес және осы бір тіркеу мәні де емес. Үшеуін бір тақырып ретінде қарау — ұйымдардың бір басқару элементін әлсіретіп, екіншісін түзетуге тырысқанда жететін жол.

Оны иесі арқылы өзгертіңіз, содан кейін екі бағытты да сынаңыз

Егер түзету шынымен қажет болса, базалық сызықтың тұтастығы үшін оны саясат иесі арқылы жасаңыз және себебін жазып қойыңыз. Содан кейін жаңа параметрде рұқсат етілген қосымшаны және әдейі тыйым салынған аутентификация жағдайын сынаңыз, өйткені бір ортақтасуды түзетіп, басқа жерде ескі жауаптарға үнсіз жол берген өзгеріс табыс емес. Жұмыс істейтін VPN қосылымы кіру сәтті болғанын дәлелдейді. Ол компьютердің аутентификация саясатын растамайды және оның артындағы әрбір қызметтің әлі де жобаланғандай әрекет ететінін мүлде көрсетпейді.

Егер сәтсіз қызмет Kerberos негізінде болса, бұл параметрге мүлдем қарауды тоқтатыңыз. Егер ол шынымен жақсырақ жасай алмайтын ескі құрылғы болса, бұл ерекшелікті құжаттап, ауқымын шектеңіз, өйткені балама — ешкім оны бекіткенін есіне алмайтын үнсіз әлсіретілген базалық сызық.