VPN pieteikšanās noraidīta: pirms reģistra pārbaudiet būvējumu
Trūkstoša reģistra vērtība pēc atjauninājuma var piemērot savu noklusējuma vērtību. Vispirms izlasiet būvējuma līmeni, faktisko politiku un vienu atbilstošu notikumu.
Pieteikšanās tiek noraidīta datorā, kurā neviens nav rediģējis reģistru, un foruma atbilde iesaka pievienot vērtību, kuras tur nav. Neesamība nav atradums. Windows piemēro noklusējuma vērtības, noklusējuma vērtība var mainīties ar instalētu atjauninājumu, un tāpēc ierīcē spēkā esošā politika var būt stingrāka, nekā liecina reģistrs.
Sāciet ar kļūdu, ko klients patiešām parādīja
Lasiet ziņojumu, nevis kopsavilkumu, kas jūs sasniedza no otrās rokas. Uzreiz atgriežošs pieprasījums, taimauts pēc tuneļa izveidošanās un kļūme, kas parādās tikai tad, kad savienojums mēģina atkārtoti izmantot pieteikto kontu, ir trīs dažādas situācijas. Tikai trešā vispār attiecas uz vienreizēju pieteikšanos, un pirmās divas šajā rakstā nekas nelabos.
Slānis, kas pieņēma lēmumu, nosaka, kurš žurnāls uz to atbild. Šie četri novērojumi norāda uz četriem dažādiem īpašniekiem:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Ierakstiet biļetē precīzo tekstu, minūti un konta kontekstu. Tas, vai mēģinājums bija interaktīvs vai automātisks, nosaka, kura Windows komponente veica izsaukumu, un ziņojums, ka VPN ir salauzts, bieži apraksta trūkstošu iekšējo vietni, nevis noraidītus akreditācijas datus.
Lasiet faktisko politiku, nevis trūkstošo vērtību
Vispirms nosakiet būvējuma un atjauninājuma līmeni, jo noklusējums no NTLMv1 atvasinātu akreditācijas datu ģenerēšanai mainījās minētajos Windows 11 un Windows Server 2025 laidienos. Ja Credential Guard ir izslēgts un BlockNtlmv1SSO nav iestatīts, atjauninājums, kas izlaists 2026. gada 13. oktobrī vai vēlāk, pārvieto uzvedību no audita uz izpildi, nekad neizveidojot šo vērtību. Reģistrā nekas neparādās, un ierīce kļūst stingrāka, nekā pēdējais administrators bija iecerējis. Tas ir viss iemesls, kāpēc reģistra meklēšana šeit pierāda tik maz.
Lasot izvadi, turiet robežas atsevišķi. LmCompatibilityLevel ir tīkla autentifikācijas atbildes līmenis, kas nosaka, kādu izaicinājumu un atbildi mašīna nosūtīs serverim; tas nav vadīkls, kas regulē vienreizējas pieteikšanās akreditācijas datu ģenerēšanu, tāpēc tā samazināšana pieteikšanos neatjauno. Vai ierīce vispār runās NTLMv1 kā tīkla protokolā, ir trešā robeža, un pašreizējie Windows 11 un Server 2025 laidieni no tā jau ir atteikušies. Credential Guard, ceturtā, aizsargā ierīces noslēpumus.
Saistiet vienu mēģinājumu ar vienu notikumu
Atkārtojiet kļūmi vienreiz, pierakstiet minūti un pēc tam savāciet vietējos pierādījumus vienā sesijā. Trīs komandas aptver būvējumu, faktisko vērtību un NTLM darbības žurnālu, kurā tiek reģistrēta bloķēta vienreizējas pieteikšanās akreditācijas datu ģenerēšana:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageNotikums tajā pašā brīdī kā kļūme ir pierādījums. Vakardienas notikums, cita konta notikums vai žurnāls bez neviena ieraksta nav pierādījums, un tukšo gadījumu ir vērts pierakstīt kā tukšu, nevis kā trūkstošu pierādījumu. Microsoft norādījumi par NTLMv1 izmaiņām nosauc notikuma identifikatoru bloķētai vienreizējas pieteikšanās akreditācijas datu ģenerēšanai, tāpēc salīdziniet Id ar to, nevis miniet no ziņojuma teksta.
Turiet kopā paša klienta ziņojumu un vārtejas skatījumu uz to pašu mēģinājumu. Vietēja akreditācijas datu ģenerēšanas bloķēšana, attālināta konta noraidīšana un trūkstošs privātais maršruts pēc veiksmīgas pieteikšanās ir trim dažādiem īpašniekiem, un tikai pirmais ir Windows politikas jautājums. Notīriet notikumu, pirms tas atstāj komandu: laika zīmogs un notikuma Id parasti atbild uz jautājumu bez konta datiem.
Pārejiet uz atbalstītu pieteikšanās metodi
Ja faktiskā politika ir šis bloķējums, atbilde ir atbalstīts autentifikācijas ceļš, nevis klusa noklusējuma atcelšana. Autentifikācija ar sertifikātiem ir ierastais galamērķis tur, kur izvietošana to atbalsta, un tai vajadzīga reģistrācija, uzticības izplatīšana un vārteja, kas pieņem sertifikātus. Microsoft norādījumi par gaidāmajām NTLMv1 izmaiņām ir dokuments, uz kuru atsaucas, izskatot lietu.
Credential Guard izslēgšana kā eksperiments noņem aizsardzību, nenodrošinot aizstājēju pieteikšanos, un dokumentētie ierobežojumi atkārtoti lietojamiem akreditācijas datiem ir iemesls, kāpēc tas ir projektēšanas lēmums, nevis diagnostikas solis. Ja tiek atļauts pagaidu izņēmums, piešķiriet tam tvērumu, īpašnieku un izbeigšanas datumu, un saglabājiet neatkarīgu administrēšanas ceļu uz datoru, ja izmaiņas jūs izslēgtu no nepieciešamā savienojuma. Pieņemšanas tests ir paredzētā autentifikācija un aiz tās esošais resurss, nevis viena vietēja kļūdas koda pazušana.