VPN 로그인 거부: 레지스트리보다 빌드를 먼저 확인하세요
레지스트리에 없는 값이 업데이트 후 자체 기본값을 적용하고 있을 수 있습니다. 먼저 빌드 수준, 적용되는 정책, 일치하는 이벤트 하나를 읽으십시오.
아무도 레지스트리를 편집하지 않은 컴퓨터에서 로그인이 거부되는데, 포럼 답변은 없는 값을 추가하라고 말합니다. 값이 없다는 것 자체가 발견은 아닙니다. Windows는 기본값을 적용하고, 기본값은 설치된 업데이트로 바뀔 수 있으며, 따라서 장치의 적용 정책은 레지스트리가 시사하는 것보다 엄격할 수 있습니다.
클라이언트가 실제로 표시한 오류부터 시작하십시오
전해 들은 요약이 아니라 표시된 메시지를 읽으십시오. 즉시 돌아오는 프롬프트, 터널이 형성된 뒤의 시간 초과, 그리고 연결이 로그온한 계정을 다시 사용하려 할 때만 나타나는 실패는 서로 다른 세 가지 상황입니다. 싱글 사인온과 관련된 것은 세 번째뿐이며, 처음 두 가지는 이 글의 어떤 내용으로도 고쳐지지 않습니다.
결정을 내린 계층이 어느 로그가 그에 답하는지를 정합니다. 다음 네 가지 관찰은 서로 다른 네 명의 담당자를 가리킵니다:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
정확한 문구, 분 단위 시각, 계정 맥락을 티켓에 적으십시오. 시도가 대화형이었는지 자동이었는지가 Windows의 어느 구성 요소가 호출했는지를 결정하고, VPN이 고장 났다는 보고는 흔히 자격 증명 거부가 아니라 없는 내부 사이트를 설명합니다.
없는 값이 아니라 적용 정책을 읽으십시오
먼저 빌드와 업데이트 수준을 확정하십시오. NTLMv1에서 파생된 자격 증명 생성의 기본값이 나열된 Windows 11 및 Windows Server 2025 릴리스에서 바뀌었기 때문입니다. Credential Guard가 꺼져 있고 BlockNtlmv1SSO이 설정되지 않은 상태에서 2026년 시월 13일 이후에 배포된 업데이트는 그 값을 만들지 않은 채 동작을 감사에서 적용으로 옮깁니다. 레지스트리에는 아무것도 나타나지 않고, 장치는 마지막 관리자가 의도한 것보다 엄격해집니다. 여기서 레지스트리 검색이 그렇게 적게 증명하는 이유가 바로 이것입니다.
출력을 읽을 때 경계를 분리해 두십시오. LmCompatibilityLevel는 네트워크 인증 응답 수준으로, 컴퓨터가 서버에 보낼 챌린지와 응답을 결정합니다. 싱글 사인온 자격 증명 생성을 관장하는 제어가 아니므로 이를 낮춘다고 로그인이 복구되지 않습니다. 장치가 NTLMv1을 네트워크 프로토콜로 말할지 여부는 세 번째 경계이며, 현재 Windows 11과 Server 2025 릴리스는 이미 그것을 포기했습니다. 네 번째인 Credential Guard는 장치의 비밀을 보호합니다.
한 번의 시도를 한 이벤트와 연결하십시오
실패를 한 번 재현하고 분 단위 시각을 적은 다음, 로컬 증거를 한 자리에서 모으십시오. 세 가지 명령이 빌드, 적용 값, 그리고 차단된 싱글 사인온 자격 증명 생성이 기록되는 NTLM 운영 로그를 포괄합니다:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Message실패와 같은 순간의 이벤트는 증거입니다. 어제의 것, 다른 계정의 것, 또는 항목이 하나도 없는 로그는 증거가 아니며, 비어 있는 경우는 없는 증거가 아니라 비어 있는 것으로 기록할 가치가 있습니다. NTLMv1 변경에 관한 Microsoft 지침은 차단된 싱글 사인온 자격 증명 생성의 이벤트 식별자를 명시하므로, 메시지 본문에서 추측하지 말고 Id를 그것과 대조하십시오.
클라이언트 자체의 메시지와 같은 시도에 대한 게이트웨이의 관점을 함께 두십시오. 로컬 자격 증명 생성 차단, 원격 계정 거부, 로그온 성공 후 사라진 전용 경로는 서로 다른 세 담당자에게 속하며, Windows 정책 문제인 것은 첫 번째뿐입니다. 팀을 떠나기 전에 이벤트를 정리하십시오. 타임스탬프와 이벤트 Id만으로도 보통 계정 세부 정보 없이 질문에 답합니다.
지원되는 로그인 방식으로 옮기십시오
적용 정책이 그 차단이라면, 답은 기본값을 조용히 되돌리는 것이 아니라 지원되는 인증 경로입니다. 인증서 기반 인증은 배포가 지원하는 곳에서 흔한 목적지이며, 등록, 신뢰 배포, 인증서를 받아들이는 게이트웨이가 필요합니다. 사례를 검토할 때는 NTLMv1의 향후 변경에 관한 Microsoft 지침을 인용하십시오.
실험 삼아 Credential Guard를 끄면 대체 로그인을 마련하지 않은 채 보호가 사라집니다. 재사용 가능한 자격 증명에 관한 문서화된 제한 때문에 이것은 진단 단계가 아니라 설계 결정입니다. 일시적 예외를 승인한다면 범위, 담당자, 폐지 날짜를 정하고, 그 변경으로 필요한 연결에서 잠길 경우를 대비해 컴퓨터로 가는 독립적인 관리 경로를 유지하십시오. 인수 시험은 의도한 인증과 그 뒤의 리소스이며, 로컬 오류 코드 하나가 사라지는 것이 아닙니다.