LmCompatibilityLevel ass eng Windows-Politik, keng VPN-Reparatur

Een erreecht eng Dateifreigab iwwer de VPN net, liest datt d'Reduzéiere vum LmCompatibilityLevel NTLM-Problemer behieft, an ännert et op engem gemeinsame Server. Den nächste Moien versoen aner Applikatiounen, an d'ursprénglecht Problem ass nach ëmmer do. Dës Astellung war ni e Schalter pro Tunnel; et ass eng Ausso op Rechnerniveau doriwwer, wéi eng Authentifizéierungsäntwerten dëst System schéckt an akzeptéiert. Et z'änneren, fir eng eenzeg Umeldung ze flécken, schreift d'Regelen fir all Umeldung ëm, déi de Rechner mécht.

Déi dokumentéiert Niveauen ze liesen ass de séiersten Wee, fir opzehalen, e Politikwäert als magesch Zuel ze behandelen.

Dräi Niveauen, dräi verschidde Verspriechen

Niveau 1 bréngt de Client dozou, LM- an NTLM-Äntwerten ze schécken, a benotzt NTLMv2-Sessiounssécherheet, wann d'Verhandlung et erlaabt. Niveau 3 bréngt de Client dozou, just NTLMv2-Äntwerten ze schécken, wat net datselwecht ass wéi all al Äntwert op der Empfängersäit ze refuséieren. Niveau 5 hält de Client op NTLMv2 a bäisetzt de dokumentéierte Refus vu LM an NTLMv1 duerch den Domänencontroller. Dräi Zuelen, an den Ënnerscheed tëscht hinnen ass eng Politikentscheedung an net eng Virléift.

Dës Ënnerscheeder erkläre firwat et onzouverlässeg ass, e Wäert aus engem funktionéierende Fall ze kopéieren. En falsch konfiguréierte Client vun 1 op d'geneemegt Grondlinn ze réckelen kann richteg sinn. Eng gehäert Verdeelung vun 5 op 3 erofzesetzen, just well en Forumsfuedem 3 ernimmt huet, lockert eng Grenz, déi een bewosst gewielt huet, an dat fir all Service, mat deem de Rechner schwätzt.

Liest déi effektiv Politik, net ee Registrierungswäert

En nëmme-Lies-Bléck op de lokale Wäert ass en raisonnabele Startpunkt: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. E fehlende Wäert heescht net, datt déi effektiv Politik null ass, well eng Domänen- oder lokal Sécherheetspolitik en anzwousch anescht setze kann, an d'Roll vum Rechner ännert, wat en mat der Zuel mécht.

Préift déi geréiert Politik, d'Roll vum System an de reelle Build, ier Dir eppes fäert. Eng Aarbechtsplaz an en Domänencontroller mat demselwechte Wäert behuele sech um ieweschten Enn anescht, an dat ass deen Deel, deen d'Leit vergiessen, wann se zwee Rechner vergläichen.

Bestëmmt, wéi eng Authentifizéierung tatsächlech versot huet

Kerberos-Ticketproblemer, NTLM-Refusen an VPN-Agangsfeeler brauchen ënnerschiddlech Beweiser. Hält den Zilservice, de Kont an de geneeë Feeler an enger Notiz beieneen, a kuckt dann op wat de Service gefrot huet, an net op wat de Client léiwer huet. Dës eng Notiz verhënnert dee geleefegste falsche Wee, nämlech e clientseite Wäert ze änneren, fir eng Refus op der Serversäit ze beäntweren.

Eng Politik ëmmer erëm erofzesetzen, bis e generesche Umeldungsfeeler verschwënnt, ass keng Diagnos; et ass eng Ännerung, déi de Beweis verstoppt. Wann d'Applikatioun Kerberos benotzt, ass den NTLM-Kompatibilitéitsniveau net emol déi relevant Kontroll, an Dir hutt eng Grenz ëmsoss gelockert.

Verschidden Protokollënnstëtzung kann net restauréiert ginn

Windows 11 24H2 an Windows Server 2025 enthalen d'NTLMv1-Netzwierkauthentifizéierung guer net méi. Keng Kompatibilitéitszuel bréngt e Protokoll zréck, deen de Build net méi ëmsetzt, sou datt en Downgrade, deen op enger eelerer Verëffentlechung gehollef huet, op enger neier einfach versoe wäert. Microsoft dokumentéiert déi Ewechhuelen getrennt vun der Politikastellung, a béides ze vermëschen ergëtt Rotschléi, déi net kënnen fonctionéieren.

Eng verwandten, awer aner Aschränkung gëllt fir aus NTLMv1 ofgeleet Authentifizéierungsobjeten, déi vun der MSCHAPv2-baséierter Eenzeemeldung benotzt ginn. Et ass eng Fro vun ofgeleet Authentifizéierungsobjeten, net vum Netzwierkprotokoll selwer, an net vun dësem eenzege Registrierungswäert. All dräi als datselwecht Theema ze behandelen ass de Wee, op deem Organisatiounen eng Kontroll schwächen, wärend se eng aner wëllen flécken.

Ännert et iwwer de Besëtzer, da test béid Richtungen

Wann eng Korrektur wierklech néideg ass, maacht se iwwer de Politikbesëtzer, sou datt d'Grondlinn kohärent bleift, a schreift op firwat. Test dann eng autoriséiert Applikatioun ënner der neier Astellung an en bewosst verbuedenen Authentifizéierungsfall, well eng Ännerung, déi eng Freigab fléckt an anzwousch anescht stëll al Äntwerten erlaabt, ass kee Succès. Eng funktionéierend VPN-Verbindung beweist, datt den Agang gegléckt ass. Si validéiert d'Authentifizéierungspolitik vum Rechner net, an et weist sécher net, datt all Service hannendrun sech nach ëmmer wéi geplangt behuelt.

Wann de Service, deen versot, op Kerberos baséiert, hält komplett op, dës Astellung ze kucken. Wann et en ale Gerät ass, dat wierklech net besser kann, dokumentéiert déi Ausnam a begrenzt se, well d'Alternativ ass eng stëll geschwächt Grondlinn, un déi sech kee méi erënnert, datt se geneemegt gouf.