LmCompatibilityLevel ir Windows politika, ne VPN labojums

Kāds nevar piekļūt failu koplietojumam caur VPN, izlasa, ka LmCompatibilityLevel pazemināšana atrisina NTLM problēmas, un maina to koplietotā serverī. Nākamajā rītā citas programmas sabrūk, un sākotnējā problēma joprojām pastāv. Šis iestatījums nekad nav bijis atsevišķa tuneļa slēdzis; tas ir paziņojums visas datora līmenī par to, kādas autentifikācijas atbildes šī sistēma sūtīs un pieņems. Tā maiņa, lai salabotu vienu pieteikšanos, pārraksta noteikumus katrai pieteikšanās reizei, ko dators veic.

Dokumentēto līmeņu lasīšana ir ātrākais veids, kā pārstāt uzskatīt politikas vērtību par maģisku skaitli.

Trīs līmeņi, trīs dažādi solījumi

1. līmenis liek klientam sūtīt LM un NTLM atbildes un izmanto NTLMv2 sesijas drošību, kad sarunas to atļauj. 3. līmenis liek klientam sūtīt tikai NTLMv2 atbildes, kas nav tas pats, kas atteikties no katras vecās atbildes saņēmēja pusē. 5. līmenis notur klientu pie NTLMv2 un pievieno dokumentēto domēna kontroliera atteikumu LM un NTLMv1. Trīs skaitļi, un atšķirība starp tiem ir politikas lēmums, nevis izvēle.

Šīs atšķirības izskaidro, kāpēc vērtības kopēšana no strādājoša gadījuma nav uzticama. Nepareizi konfigurētu klientu pārvietot no 1 uz apstiprināto bāzes līniju var būt pareizi. Pārvietot nostiprinātu izvietojumu no 5 uz 3 tikai tāpēc, ka foruma pavedienā tika minēts 3, nozīmē atslābināt robežu, ko kāds izvēlējās apzināti, un tas tiek darīts katrai pakalpojumam, ar kuru dators sarunājas.

Lasiet spēkā esošo politiku, nevis vienu reģistra vērtību

Tikai lasīšanas ieskats vietējā vērtībā ir saprātīgs sākumpunkts: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Vērtības neesamība nenozīmē, ka spēkā esošā politika ir nulle, jo domēna vai vietējā drošības politika var to noteikt citur, un datora loma maina to, ko tā dara ar šo skaitli.

Pirms kaut ko secināt, pārbaudiet pārvaldīto politiku, sistēmas lomu un faktisko buildu. Darbstacija un domēna kontrolieris ar vienu un to pašu vērtību augšējā galā uzvedas atšķirīgi, un tieši to cilvēki aizmirst, salīdzinot divus datorus.

Nosakiet, kura autentifikācija patiešām neizdevās

Kerberos biļešu problēmas, NTLM atteikumi un VPN uzņemšanas neveiksmes prasa dažādus pierādījumus. Turiet mērķa pakalpojumu, kontu un precīzo kļūdu kopā vienā piezīmē, pēc tam skatieties, ko pieprasīja pakalpojums, nevis ko dod priekšroku klients. Šī vienā piezīme novērš visbiežāk sastopamo nepareizo pagriezienu, proti, klienta puses vērtības maiņu, lai atbildētu uz servera puses atteikumu.

Atkārtota politikas pazemināšana, līdz vispārīga pieteikšanās kļūda pazūd, nav diagnostika; tas ir labojums, kas slēpj pierādījumus. Ja programma izmanto Kerberos, NTLM saderības līmenis pat nav attiecīgā kontrole, un jūs veltīgi atslābinājāt robežu.

Dažu protokolu atbalstu nevar atjaunot

Windows 11 24H2 un Windows Server 2025 vairs vispār neietver NTLMv1 tīkla autentifikāciju. Neviens saderības skaitlis neatgriež protokolu, ko būvējums vairs neievieš, tāpēc pazeminājums, kas palīdzēja vecākā laidienā, vienkārši neizdosies jaunākā. Microsoft dokumentē šo noņemšanu atsevišķi no politikas iestatījuma, un abu sajaukšana rada padomus, kas nevar darboties.

Saistīts, bet atšķirīgs ierobežojums attiecas uz no NTLMv1 atvasinātiem akreditācijas datiem, ko izmanto MSCHAPv2 balstīta vienotā pieteikšanās. Tas ir atvasinātu akreditācijas datu jautājums, nevis paša tīkla protokola un nevis šīs vienas reģistra vērtības. Visu trīs uzskatīt par vienu tēmu ir ceļš, kā organizācijas vājina vienu kontroli, cenšoties salabot citu.

Mainiet to caur īpašnieku, pēc tam pārbaudiet abus virzienus

Ja labojums patiešām ir nepieciešams, veiciet to caur politikas īpašnieku, lai bāzes līnija paliktu saskaņota, un pierakstiet, kāpēc. Pēc tam pārbaudiet atļautu programmu pie jaunā iestatījuma un apzināti aizliegtu autentifikācijas gadījumu, jo izmaiņa, kas salabo vienu koplietojumu un klusi pieļauj vecās atbildes citur, nav panākums. Strādājošs VPN savienojums pierāda, ka uzņemšana izdevās. Tas neapstiprina datora autentifikācijas politiku un noteikti neparāda, ka katrs pakalpojums aiz tā joprojām uzvedas kā projektēts.

Ja neveiksmīgais pakalpojums balstīts uz Kerberos, pilnībā pārtrauciet skatīties uz šo iestatījumu. Ja tas ir vecs aparāts, kas patiešām nevar labāk, dokumentējiet šo izņēmumu un norobežojiet to, jo alternatīva ir klusi novājināta bāzes līnija, kuras apstiprināšanu neviens neatceras.