LmCompatibilityLevel yra „Windows“ strategija, o ne VPN taisymas

Kažkas negali pasiekti failų bendrinimo per VPN, perskaito, kad LmCompatibilityLevel sumažinimas išsprendžia NTLM problemas, ir pakeičia jį bendrame serveryje. Kitą rytą kitos programos sugenda, o pradinė problema tebėra. Šis nustatymas niekada nebuvo atskiro tunelio jungiklis; tai viso kompiuterio lygio pareiškimas apie tai, kokius autentifikavimo atsakymus ši sistema siųs ir priims. Jo pakeitimas norint sutaisyti vieną prisijungimą perrašo taisykles kiekvienam kompiuterio atliekamam prisijungimui.

Dokumentuotų lygių skaitymas yra greičiausias būdas nustoti traktuoti strategijos reikšmę kaip magišką skaičių.

Trys lygiai, trys skirtingi pažadai

1 lygis verčia klientą siųsti LM ir NTLM atsakymus ir naudoja NTLMv2 sesijos saugumą, kai derybos tai leidžia. 3 lygis verčia klientą siųsti tik NTLMv2 atsakymus, o tai nėra tas pats, kas atmesti kiekvieną seną atsakymą priėmėjo pusėje. 5 lygis palaiko klientą ties NTLMv2 ir prideda dokumentuotą domeno valdytojo atsisakymą priimti LM ir NTLMv1. Trys skaičiai, o skirtumas tarp jų yra strategijos sprendimas, o ne pageidavimas.

Šie skirtumai paaiškina, kodėl vertės kopijavimas iš veikiančio atvejo yra nepatikimas. Neteisingai sukonfigūruotą klientą perkelti iš 1 į patvirtintą bazinę liniją gali būti teisinga. Perkelti sustiprintą diegimą iš 5 į 3 tik todėl, kad forumo gijoje buvo paminėtas 3, reiškia atlaisvinti ribą, kurią kažkas pasirinko sąmoningai, ir tai daroma kiekvienai paslaugai, su kuria kompiuteris kalba.

Skaitykite galiojančią strategiją, o ne vieną registro reikšmę

Tik skaitymui skirtas vietinės vertės patikrinimas yra pagrįstas atspirties taškas: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Nesančios vertės nebuvimas nereiškia, kad galiojanti strategija yra nulis, nes domeno arba vietinė saugumo strategija gali ją nustatyti kitur, o kompiuterio vaidmuo keičia tai, ką jis daro su šiuo skaičiumi.

Prieš darydami bet kokią išvadą patikrinkite valdomą strategiją, sistemos vaidmenį ir faktinę versiją. Darbo stotis ir domeno valdytojas su ta pačia verte viršutiniame gale elgiasi skirtingai, ir būtent tai žmonės pamiršta lygindami du kompiuterius.

Nustatykite, kuri autentifikacija iš tikrųjų nepavyko

Kerberos bilietų problemos, NTLM atsisakymai ir VPN priėmimo nesėkmės reikalauja skirtingų įrodymų. Laikykite tikslinę paslaugą, paskyrą ir tikslią klaidą kartu vienoje pastaboje, tada žiūrėkite, ko paprašė paslauga, o ne ko nori klientas. Ta viena pastaba užkerta kelią dažniausiai klaidai – kliento pusės vertės keitimui atsakant į serverio pusės atsisakymą.

Kartoti strategijos mažinimą, kol bendra prisijungimo klaida išnyks, nėra diagnostika; tai pakeitimas, kuris paslepia įrodymus. Jei programa naudoja Kerberos, NTLM suderinamumo lygis net nėra susijusi kontrolė, ir jūs be reikalo atlaisvinote ribą.

Kai kurios protokolų palaikymo dalys nebeatkuriamos

Windows 11 24H2 ir Windows Server 2025 jau visai nebeturi NTLMv1 tinklo autentifikacijos. Joks suderinamumo skaičius negrąžina protokolo, kurio versija nebeįgyvendina, todėl naujesnėje versijoje paprasčiausiai žlugs tas sumažinimas, kuris padėjo senesnėje. „Microsoft“ dokumentuoja šį pašalinimą atskirai nuo strategijos nustatymo, o abiejų sumaišymas duoda patarimus, kurie negali veikti.

Susijęs, bet kitoks apribojimas taikomas iš NTLMv1 išvestiems prisijungimo duomenims, kuriuos naudoja MSCHAPv2 pagrįstas vienkartinis prisijungimas. Tai išvestų prisijungimo duomenų klausimas, o ne paties tinklo protokolo ir ne šios vienos registro vertės. Visų trijų traktavimas kaip tos pačios temos yra kelias, kuriuo organizacijos susilpnina vieną kontrolę bandydamos sutaisyti kitą.

Keiskite per savininką, tada išbandykite abi kryptis

Jei pataisa tikrai reikalinga, atlikite ją per strategijos savininką, kad bazinė linija išliktų nuosekli, ir užrašykite kodėl. Tada išbandykite leidžiamą programą pagal naują nustatymą ir sąmoningai draudžiamą autentifikavimo atvejį, nes pakeitimas, kuris sutaiso vieną bendrinimą ir tyliai leidžia senus atsakymus kitur, nėra sėkmė. Veikiantis VPN ryšys įrodo, kad priėmimas pavyko. Jis nepatvirtina kompiuterio autentifikavimo strategijos ir tikrai neparodo, kad kiekviena už jo esanti paslauga tebesielgia taip, kaip suprojektuota.

Jei nepavykstanti paslauga pagrįsta Kerberos, visiškai nustokite žiūrėti į šį nustatymą. Jei tai senas įrenginys, kuris tikrai negali geriau, dokumentuokite šią išimtį ir apibrėžkite jos apimtį, nes alternatyva yra tyliai susilpninta bazinė linija, kurios patvirtinimo niekas neprisimena.