LmCompatibilityLevel — бул Windows саясаты, VPN чечими эмес

Бирөө VPN аркылуу файл бөлүшүүгө жете албайт, LmCompatibilityLevel деңгээлин төмөндөтүү NTLM маселелерин чечет деп окуйт жана аны жалпы серверде өзгөртөт. Эртең менен башка колдонмолор иштебей калат, ал эми баштапкы маселе ошол бойдон калат. Бул параметр эч качан туннелге өзүнчө которгуч болгон эмес; ал бул система кайсы аутентификация жоопторун жиберерин жана кабыл аларын компьютер деңгээлинде билдирүү. Аны бир кирүүнү оңдоо үчүн өзгөртүү компьютер аткарган ар бир кирүүнүн эрежелерин кайра жазат.

Документтелген деңгээлдерди окуу — саясат маанисин сыйкырдуу сан катары кароону токтотуунун эң тез жолу.

Үч деңгээл, үч башка убада

1-деңгээл кардарды LM жана NTLM жоопторун жиберүүгө мажбурлайт жана сүйлөшүү уруксат бергенде NTLMv2 сессия коопсуздугун колдонот. 3-деңгээл кардарды NTLMv2 жоопторун гана жиберүүгө мажбурлайт, бул кабыл алуучу тарапта бардык эски жоопторду четке кагуу менен бирдей эмес. 5-деңгээл кардарды NTLMv2 деңгээлинде кармап, домен контроллеринин LM жана NTLMv1ден документтелген баш тартуусун кошот. Үч сан, жана алардын ортосундагы айырма тандоо эмес, саясий чечим.

Бул айырмачылыктар иштеген учурдан маанини көчүрүү эмне үчүн ишенимсиз экенин түшүндүрөт. Туура эмес конфигурацияланган кардарды 1ден бекитилген базалык сызыкка которуу туура болушу мүмкүн. Катуулаштырылган жайгаштырууну 5тен 3кө төмөндөтүү, форум темасында 3 аталганы үчүн гана, бирөө атайын тандаган чекти бошотот жана муну компьютер сүйлөшкөн ар бир кызмат үчүн жасайт.

Күчүндөгү саясатты окуңуз, бир реестр маанисин эмес

Жергиликтүү мааниге окуу үчүн гана көз чаптыруу — акылга сыярлык башталгыч чекит: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Маанинин жоктугу күчүндөгү саясат нөл дегенди билдирбейт, анткени домен же жергиликтүү коопсуздук саясаты аны башка жерде коюшу мүмкүн, ал эми компьютердин ролу бул сан менен эмне кылаарын өзгөртөт.

Бир пикир чыгардан мурун башкарылуучу саясатты, системанын ролун жана реалдуу buildди текшериңиз. Бирдей мааниси бар жумуш станциясы менен домен контроллери жогорку четинде башкача жүрүм-турум көрсөтөт, жана адамдар эки компьютерди салыштырганда дал ушул бөлүктү унутушат.

Чындыгында кайсы аутентификация иштебей калганын аныктаңыз

Kerberos билеттеринин маселелери, NTLM баш тартуулары жана VPNга кирүүнүн ийгиликсиздиги ар башка далилдерди талап кылат. Максаттуу кызматты, эсепти жана так катаны бир эскертүүдө чогуу кармаңыз, анан кардар эмнени каалаарын эмес, кызмат эмнени сураганын караңыз. Ошол бир эскертүү эң кеңири тараган туура эмес бурулушту болтурбайт, башкача айтканда сервер тараптагы баш тартууга жооп катары кардар тараптагы маанини өзгөртүүнү.

Жалпы кирүү катасы жок болгонго чейин саясатты кайра-кайра төмөндөтүү — диагностика эмес; бул далилди жашырган өзгөртүү. Эгер колдонмо Kerberos колдонсо, NTLM шайкештик деңгээли тиешелүү көзөмөл да эмес, жана сиз чекти бекер бошоттуңуз.

Айрым протоколдук колдоону калыбына келтирүү мүмкүн эмес

Windows 11 24H2 жана Windows Server 2025 эми NTLMv1 тармактык аутентификациясын таптакыр камтыбайт. Эч бир шайкештик саны build эми ишке ашырбаган протоколду кайтарбайт, ошондуктан эски чыгарылышта жардам берген төмөндөтүү жаңысында жөн гана ийгиликсиз болот. Microsoft бул алып салууну саясат параметринен өзүнчө документтештирет, ал эми экөөнү аралаштыруу иштей албаган кеңеш жаратат.

Байланыштуу, бирок өзүнчө чектөө MSCHAPv2 негизиндеги бирдиктүү кирүү колдонгон NTLMv1ден алынган эсептик маалыматтарга тиешелүү. Бул алынган эсептик маалыматтар жөнүндө маселе, тармактык протоколдун өзү эмес жана бул бир реестр мааниси да эмес. Үчөөнү бир тема катары кароо — уюмдар бир көзөмөлдү алсыратып, экинчисин оңдоого аракет кылганда жеткен жол.

Аны ээси аркылуу өзгөртүңүз, анан эки багытты тең сынаңыз

Эгер оңдоо чын эле керек болсо, базалык сызык бүтүн бойдон калышы үчүн аны саясат ээси аркылуу жасаңыз жана себебин жазып коюңуз. Анан жаңы параметрде уруксат берилген колдонмону жана атайын тыюу салынган аутентификация учурун сынаңыз, анткени бир бөлүшүүнү оңдоп, башка жерде эски жоопторго унчукпай жол берген өзгөртүү ийгилик эмес. Иштеген VPN байланышы кирүү ийгиликтүү болгонун далилдейт. Ал компьютердин аутентификация саясатын текшербейт жана анын артындагы ар бир кызмат дагы эле долбоорленгендей жүрүм-турум көрсөтөрүн такыр көрсөтпөйт.

Иштебей калган кызмат Kerberos негизинде болсо, бул параметрди кароону таптакыр токтотуңуз. Эгер ал чын эле жакшыраак кыла албаган эски түзмөк болсо, бул өзгөчөлүктү документтештирип, анын камтылышын чектеңиз, анткени балама — эч ким аны бекиткенин эстебеген унчукпай алсыратылган базалык сызык.