LmCompatibilityLevel е политика на Windows, не поправка за VPN

Некој не може да стигне до споделување на датотеки преку VPN, чита дека намалувањето на LmCompatibilityLevel ги решава проблемите со NTLM и го менува на заеднички сервер. Следното утро други апликации откажуваат, а првичниот проблем останува. Оваа поставка никогаш не била прекинувач по тунел; таа е изјава на ниво на компјутер за тоа кои одговори за автентикација системот ќе ги испраќа и прифаќа. Нејзиното менување за да се поправи едно најавување ги препишува правилата за секое најавување што компјутерот го прави.

Читањето на документираните нивоа е најбрзиот начин да престанете да третирате вредност на политика како магичен број.

Три нивоа, три различни ветувања

Нивото 1 го тера клиентот да испраќа LM и NTLM одговори, користејќи NTLMv2 сесиска безбедност кога преговорот го дозволува тоа. Нивото 3 го тера клиентот да испраќа само NTLMv2 одговори, што не е исто како одбивање на секој стар одговор на страната на примачот. Нивото 5 го држи клиентот на NTLMv2 и го додава документираното одбивање на LM и NTLMv1 од страна на контролорот на доменот. Три броја, а разликата меѓу нив е одлука за политика, а не преференца.

Овие разлики објаснуваат зошто копирањето вредност од работен случај е несигурно. Преместувањето на погрешно конфигуриран клиент од 1 на одобрената основна линија може да биде точно. Преместувањето на зацврстено распоредување од 5 на 3 само затоа што некоја форумска тема спомена 3 ја олабавува границата што некој свесно ја избрал, и тоа го прави за секоја услуга со која компјутерот разговара.

Читајте ја важечката политика, не една вредност во регистарот

Прегледот само за читање на локалната вредност е разумна почетна точка: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Отсутната вредност не значи дека важечката политика е нула, бидејќи политика на домен или локална безбедносна политика може да ја постави на друго место, а улогата на компјутерот менува што прави со тој број.

Проверете ја управуваната политика, улогата на системот и вистинската верзија пред да заклучите нешто. Работна станица и контролор на домен со иста вредност се однесуваат различно на горниот крај, и токму тоа луѓето го забораваат кога споредуваат два компјутера.

Утврдете која автентикација навистина не успеа

Проблемите со билети на Kerberos, одбивањата на NTLM и неуспесите при прием преку VPN бараат различен доказ. Држете ја целната услуга, сметката и точната грешка заедно во една белешка, потоа гледајте што побарала услугата, а не што преферира клиентот. Таа една белешка го спречува најчестиот погрешен чекор — менување на вредност на клиентската страна како одговор на одбивање на серверската страна.

Повторното намалување на политика додека не исчезне општа грешка при најавување не е дијагноза; тоа е промена што го крие доказот. Ако апликацијата користи Kerberos, нивото на компатибилност со NTLM дури и не е релевантната контрола, и залудно сте олабавиле граница.

Делот од поддршката на протоколи не може да се врати

Windows 11 24H2 и Windows Server 2025 повеќе воопшто не вклучуваат мрежна автентикација NTLMv1. Ниту еден број за компатибилност не враќа протокол што верзијата повеќе не го спроведува, па намалувањето што помогнало на постаро издание едноставно ќе откаже на поново. Microsoft го документира тоа отстранување одделно од поставката за политика, а мешањето на двете дава совет што не може да работи.

Поврзано, но различно ограничување важи за акредитиви изведени од NTLMv1 што ги користи еднократното најавување засновано на MSCHAPv2. Тоа е прашање на изведени акредитиви, не на самиот мрежен протокол и не на оваа една вредност во регистарот. Третирањето на сите три како иста тема е патот по кој организациите ослабуваат една контрола додека се обидуваат да поправат друга.

Менувајте ја преку сопственикот, потоа тестирајте ги двете насоки

Ако поправката навистина е потребна, направете ја преку сопственикот на политиката за основната линија да остане кожерентна, и запишете зошто. Потоа тестирајте овластена апликација под новата поставка и намерно забранет случај на автентикација, бидејќи промена што поправа едно споделување и тивко дозволува стари одговори на друго место не е успех. Работна VPN врска докажува дека приемот успеал. Таа не ја валидира политиката за автентикација на компјутерот и сигурно не покажува дека секоја услуга зад него сѐ уште се однесува како што е проектирана.

Ако услугата што откажува е заснована на Kerberos, целосно престанете да ја гледате оваа поставка. Ако е стар уред што навистина не може подобро, документирајте го тоа исклучок и ограничете го неговиот опфат, бидејќи алтернативата е тивко ослабена основна линија за чие одобрување никој не се сеќава.