VPN prisijungimas atmestas: pirmiausia patikrinkite versiją, ne registrą
Trūkstama registro reikšmė po naujinimo gali taikyti savo numatytąją reikšmę. Pirmiausia perskaitykite versijos lygį, galiojančią politiką ir vieną atitinkantį įvykį.
Prisijungimas atmetamas kompiuteryje, kuriame niekas nekeitė registro, o forumo atsakymas siūlo pridėti reikšmę, kurios ten nėra. Nebuvimas nėra išvada. Windows taiko numatytąsias reikšmes, numatytoji reikšmė gali pasikeisti įdiegus naujinimą, todėl galiojanti įrenginio politika gali būti griežtesnė, nei rodo registras.
Pradėkite nuo klaidos, kurią klientas tikrai parodė
Skaitykite pranešimą, o ne santrauką, kuri jus pasiekė iš antrų rankų. Iškart grįžtantis raginimas, skirtasis laikas po tunelio suformavimo ir gedimas, pasireiškiantis tik tada, kai ryšys bando dar kartą naudoti prisijungusią paskyrą, yra trys skirtingos situacijos. Tik trečioji apskritai susijusi su vienkartiniu prisijungimu, o pirmųjų dviejų šiame straipsnyje niekas nepataisys.
Sluoksnis, priėmęs sprendimą, nulemia, kuris žurnalas į jį atsako. Šie keturi stebėjimai nurodo keturis skirtingus savininkus:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Įrašykite į bilietą tikslų tekstą, minutę ir paskyros kontekstą. Ar bandymas buvo interaktyvus, ar automatinis, nulemia, kuris Windows komponentas atliko iškvietimą, o pranešimas, kad VPN sugedo, dažnai apibūdina trūkstamą vidinę svetainę, o ne atmestus prisijungimo duomenis.
Skaitykite galiojančią politiką, o ne trūkstamą reikšmę
Pirmiausia nustatykite versijos ir naujinimo lygį, nes numatytoji reikšmė generuoti iš NTLMv1 išvestus prisijungimo duomenis pasikeitė nurodytuose Windows 11 ir Windows Server 2025 leidimuose. Kai Credential Guard išjungtas, o BlockNtlmv1SSO nenustatytas, 2026 m. spalio 13 d. ar vėliau išleistas naujinimas perkelia elgseną iš audito į vykdymą, niekada nesukurdamas tos reikšmės. Registre nieko neatsiranda, o įrenginys tampa griežtesnis, nei paskutinis administratorius ketino. Štai kodėl registro paieška čia tiek mažai įrodo.
Skaitydami išvestį laikykite ribas atskirai. LmCompatibilityLevel yra tinklo autentifikavimo atsakymo lygis, lemiantis, kokį iššūkį ir atsakymą mašina išsiųs serveriui; tai nėra valdiklis, reguliuojantis vienkartinio prisijungimo duomenų generavimą, todėl jo sumažinimas prisijungimo neatkuria. Ar įrenginys apskritai kalbės NTLMv1 kaip tinklo protokolu, yra trečioji riba, o dabartiniai Windows 11 ir Server 2025 leidimai jo jau atsisakė. Credential Guard, ketvirtoji, saugo įrenginio paslaptis.
Suskirkite vieną bandymą su vienu įvykiu
Atkurkite gedimą vieną kartą, užsirašykite minutę, o tada surinkite vietinius įrodymus vieno seanso metu. Trys komandos apima versiją, galiojančią reikšmę ir NTLM operacijų žurnalą, kuriame fiksuojamas užblokuotas vienkartinio prisijungimo duomenų generavimas:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageĮvykis tuo pačiu metu kaip gedimas yra įrodymas. Vakarykštis įvykis, kito asmens paskyros įvykis ar žurnalas be jokio įrašo nėra įrodymas, o tuščią atvejį verta užrašyti kaip tuščią, o ne kaip trūkstamą įrodymą. Microsoft nurodymai dėl NTLMv1 pakeitimų įvardija įvykio identifikatorių užblokuotam vienkartinio prisijungimo duomenų generavimui, todėl palyginkite Id su juo, o ne spėkite iš pranešimo teksto.
Laikykite kartu paties kliento pranešimą ir šliuzo požiūrį į tą patį bandymą. Vietinis prisijungimo duomenų generavimo blokavimas, nuotolinis paskyros atmetimas ir trūkstamas privatus maršrutas po sėkmingo prisijungimo turi tris skirtingus savininkus, ir tik pirmasis yra Windows politikos klausimas. Išvalykite įvykį, prieš jam paliekant komandą: laiko žyma ir įvykio Id paprastai atsako į klausimą be paskyros duomenų.
Pereikite prie palaikomo prisijungimo metodo
Jei galiojanti politika yra tas blokavimas, atsakymas yra palaikomas autentifikavimo kelias, o ne tylus numatytosios reikšmės grąžinimas. Autentifikavimas sertifikatais yra įprasta paskirtis ten, kur diegimas jį palaiko, ir jam reikia registracijos, pasitikėjimo paskirstymo ir šliuzo, kuris priima sertifikatus. Microsoft nurodymai dėl būsimų NTLMv1 pakeitimų yra dokumentas, kuriuo remiamasi nagrinėjant atvejį.
Credential Guard išjungimas kaip eksperimentas pašalina apsaugą nepateikdamas pakaitinio prisijungimo, o dokumentuoti daugkartinio naudojimo prisijungimo duomenų apribojimai yra priežastis, kodėl tai yra projektavimo sprendimas, o ne diagnostikos žingsnis. Jei leidžiama laikina išimtis, suteikite jai apimtį, savininką ir panaikinimo datą, ir palikite nepriklausomą administravimo kelią į kompiuterį, jei pakeitimas užrakintų jus už reikalingo ryšio. Priėmimo testas yra numatytas autentifikavimas ir už jo esantis išteklius, o ne vieno vietinio klaidos kodo išnykimas.