Најавата во VPN е одбиена: проверете го билдот пред регистарот
Вредност што недостасува во регистарот може по ажурирање да го наметне сопственото стандардно ниво. Најпрво прочитајте го нивото на билдот, ефективната политика и еден соодветен настан.
Најавата се одбива на машина на која никој не го уредувал регистарот, а одговорот на форумот вели да се додаде вредност што ја нема. Отсуството не е наодот. Windows применува стандардни вредности, стандардната вредност може да се смени со инсталирано ажурирање, и затоа ефективната политика на уредот може да биде построга од она што го навестува регистарот.
Започнете со грешката што клиентот навистина ја прикажа
Читајте ја пораката, а не резимето што ви стигнало од втора рака. Барањето што веднаш се враќа, истекот на време по формирањето на тунелот и дефектот што се појавува само кога врската се обидува повторно да ја искористи најавената сметка се три различни ситуации. Само третата воопшто се однесува на еднократната најава, а првите две нема да ги поправи ништо во овој текст.
Слојот што ја донел одлуката одредува кој дневник одговара на неа. Овие четири набљудувања укажуваат на четири различни сопственици:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Запишете го точниот текст, минутата и контекстот на сметката во тикетот. Дали обидот бил интерактивен или автоматски одредува која компонента на Windows го направила повикот, а извештајот дека VPN-от е расипан често опишува внатрешна страница што недостасува, а не одбиени податоци за најава.
Читајте ја ефективната политика, а не вредноста што недостасува
Најпрво утврдете го нивото на билдот и ажурирањето, бидејќи стандардната вредност за создавање податоци за најава изведени од NTLMv1 се смени во наведените изданија на Windows 11 и Windows Server 2025. Со исклучен Credential Guard и непоставен BlockNtlmv1SSO, ажурирањето објавено на 13 октомври 2026 или подоцна го преместува однесувањето од ревизија во спроведување, без некогаш да ја создаде таа вредност. Во регистарот не се појавува ништо, а уредот станува построг отколку што мислел последниот администратор. Тоа е целата причина зошто пребарувањето во регистарот овде докажува толку малку.
Држете ги границите одвоени додека ја читате излезната информација. LmCompatibilityLevel е нивото на одговор при мрежна автентикација, кое одредува каков предизвик и одговор машината ќе испрати до серверот; тоа не е контролата што го регулира создавањето податоци за еднократна најава, па неговото намалување не ја враќа најавата. Дали уредот воопшто ќе зборува NTLMv1 како мрежен протокол е трета граница, а тековните изданија на Windows 11 и Server 2025 веќе се откажаа од него. Credential Guard, четвртата, ги штити тајните на уредот.
Поврзете еден обид со еден настан
Репродуцирајте го дефектот еднаш, забележете ја минутата, потоа соберете ги локалните докази во една седница. Три команди ги покриваат билдот, ефективната вредност и оперативниот дневник на NTLM каде се запишува блокирано создавање податоци за еднократна најава:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageНастан во истиот момент како дефектот е доказ. Настан од вчера, од друга сметка или дневник без ниту еден запис не е доказ, а празниот случај вреди да се запише како празен, а не како доказ што недостасува. Упатството на Microsoft за промените во NTLMv1 го наведува идентификаторот на настанот за блокирано создавање податоци за еднократна најава, затоа споредете го Id со него наместо да погодувате од текстот на пораката.
Држете ги заедно сопствената порака на клиентот и погледот на портата за истиот обид. Локално блокирање на создавањето податоци за најава, одбивање на сметка од далечина и приватна рута што недостасува по успешна најава имаат три различни сопственици, а само првиот е прашање на политика на Windows. Исчистете го настанот пред да ја напушти екипата: временска ознака и Id на настан обично одговараат на прашањето без податоците за сметката.
Преминете на поддржан метод на најава
Ако ефективната политика е токму блокирањето, одговорот е поддржана патека за автентикација, а не тивко враќање на стандардната вредност. Автентикацијата заснована на сертификати е вообичаената цел каде распоредувањето ја поддржува, и бара регистрација, распространување на доверба и порта што ги прима сертификатите. Упатството на Microsoft за претстојните промени во NTLMv1 е документот што се цитира при разгледување на случајот.
Исклучувањето на Credential Guard како експеримент ја отстранува заштитата без да обезбеди заменска најава, а документираните ограничувања за повеќекратно употребливи податоци за најава се причината зошто тоа е дизајнерска одлука, а не дијагностички чекор. Ако се одобри привремен исклучок, дајте му опфат, сопственик и датум на повлекување, и задржете независна административна патека до машината во случај промената да ве заклучи надвор од врската што ви треба. Приемниот тест е предвидената автентикација плус ресурсот зад неа, а не исчезнувањето на еден локален код за грешка.