VPN-Anmeldung ofgeleent: iwwerpréift de Build virun der Registry
En feelende Registrierungswäert kann no engem Update säin eegenen Standard duerchsetzen. Liest als éischt de Build-Niveau, déi effektiv Politik an een entspriechend Evenement.
D’Anmeldung gëtt op enger Maschinn ofgeleent, op där keen d’Registrierung geännert huet, an d’Äntwert am Forum seet, Dir sollt e Wäert bäisetzen, deen et net gëtt. D’Feele vun engem Wäert ass net de Befund. Windows applizéiert Standardwäerter, en Standardwäert kann duerch en installéierten Update änneren, an dofir kann déi effektiv Politik um Apparat méi streng sinn, wéi d’Registrierung et suggeréiert.
Fänkt mat dem Feeler un, deen de Client tatsächlech gewisen huet
Liest d’Message an net d’Zesummefaassung, déi Iech aus zweeter Hand erreecht huet. Eng Ufro, déi direkt zréckkënnt, en Timeout nodeem den Tunnel entstanen ass, an e Feeler, deen nëmmen daerscheint, wann d’Verbindung versicht, dee ugemellte Kont erëm ze benotzen, sinn dräi verschidde Situatiounen. Nëmmen déi drëtt betrëfft iwwerhaapt Single Sign-on, an déi zwou éischt ginn duerch näischt an dësem Artikel behuewen.
D’Schicht, déi d’Entscheedung getraff huet, bestëmmt, wéi ee Logbuch se beäntwert. Dës véier Observatioune weisen op véier verschidde Besëtzer:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Schreift den exakten Text, d’Minutt an de Kontext vum Kont an den Ticket. Ob den Test interaktiv oder automatesch war, bestëmmt wéi eng Windows-Komponent deen Opruff gemaach huet, an e Bericht, deen seet d’VPN wier futti, beschreift dacks eng feelend intern Säit an net ofgeleente Umellungsdaten.
Liest déi effektiv Politik, net de feelende Wäert
Bestëmmt als éischt den Niveau vum Build an dem Update, well de Standard fir d’Generatioun vun Umellungsdaten aus NTLMv1 sech an de genannten Editioune vu Windows 11 a Windows Server 2025 geännert huet. Mat Credential Guard aus an BlockNtlmv1SSO net gesat, verréckelt en Update, dee sech op oder nom 13. Oktober 2026 erauskomm ass, d’Verhalen vun der Iwwerpréiwung op d’Duerchsetzung, ouni dee Wäert je ze kreéieren. An der Registrierung erschéngt näischt, an den Apparat gëtt méi streng wéi de leschte Verwalter et wollt. Dat ass de ganzen Grond, firwat eng Sich an der Registrierung hei esou wéineg beweist.
Halt d’Grenzen auseneen, wann Dir d’Ausgab liest. LmCompatibilityLevel ass den Niveau vun der Äntwert vun der Netz-Authentifizéierung, dee festleet, wéi eng Erausfuerderung an Äntwert d’Maschinn un e Server schéckt; et ass net d’Kontroll, déi d’Generatioun vun Umellungsdaten fir Single Sign-on regléiert, dofir stellt eng Reduktioun d’Anmeldung net erëm hier. Ob den Apparat NTLMv1 iwwerhaapt als Netzwierkprotokoll schwätze wäert, ass eng drëtt Grenz, an déi aktuell Editioune vu Windows 11 a Server 2025 hu se schonn opginn. Credential Guard, déi véiert, schützt Geheimnisser um Apparat.
Correléiert ee Versuch mat engem Evenement
Reproduzéiert de Feeler eemol, notéiert d’Minutt, an da sammelt d’lokal Beweiser an engem Sëtz. Dräi Befehler decken de Build, den effektive Wäert an de Betribslog vun NTLM of, an deem eng blockéiert Generatioun vun Single-Sign-on-Umellungsdaten opgezeechent gëtt:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageEn Evenement zur selwechter Zäit wéi de Feeler ass e Beweis. En Evenement vun gëschter, vun engem anere Kont oder e Logbuch ouni een Andro ass keen, an dee lesche Fall ass et wäert, als lesch ze notéieren an net als feelende Beweis. D’Microsoft-Leedung zu den NTLMv1-Ännerungen nennt den Evenement-Identifiant fir eng blockéiert Generatioun vun Single-Sign-on-Umellungsdaten, also vergläicht d’Id domat, amplaz aus dem Message-Text ze roden.
Halt d’Message vum Client an d’Siicht vum Gateway op dee selwechte Versuch zesummen. Eng lokal Blockéierung vun der Generatioun vun Umellungsdaten, eng Oflehnung vum Kont aus der Ferne an en feelende private Wee nodeem enger erfollegräicher Anmeldung hunn dräi verschidde Besëtzer, an nëmmen déi éischt ass eng Fro vun der Windows-Politik. Botzt den Evenement, ier en d’Equipe verléisst: en Zäitstempel an eng Evenement-Id beäntweren d’Fro meeschtens ouni d’Detailer vum Kont.
Wiesselt op eng ënnerstëtzte Umellungsmethod
Wann déi effektiv Politik d’Blockéierung ass, ass d’Äntwert en ënnerstëtzten Authentifizéierungswee an net eng stille Réckféierung vum Standard. Zertifikatbaséiert Authentifizéierung ass de gewéinleche Bestëmmungsort, wou d’Bereetstellung se ënnerstëtzt, an se brauch Aschreiwung, Verdeelung vum Vertrauen an en Gateway, deen d’Zertifikater acceptéiert. D’Microsoft-Leedung zu den nächsten NTLMv1-Ännerungen ass dat Dokument, dat bei der Iwwerpréiwung vum Fall zitéiert gëtt.
De Credential Guard als Experiment ausschalten hëlt de Schutz ewech, ouni eng Ersatzanmeldung ze liwweren, an déi dokumentéiert Aschränkunge fir erëmbenotzbar Umellungsdaten sinn de Grond, firwat dat eng Designentscheedung an net eng diagnostesch Etapp ass. Wann eng temporär Ausnam autoriséiert gëtt, gitt hir en Ëmfang, e Verantwortlechen an en Datum vum Ofbau, an haalt en onofhängege Verwaltungswee op d’Maschinn, am Fall datt d’Ännerung Iech aus der Verbindung ausschléisst, déi Dir braucht. Den Akzeptanztest ass déi virgesinn Authentifizéierung plus d’Ressource hannendrun, net d’Verschwannen vun engem lokalen Feelerkode.