VPN സൈൻ-ഇൻ നിരസിക്കപ്പെട്ടു: രജിസ്ട്രിക്ക് മുൻപ് ബിൽഡ് പരിശോധിക്കുക
രജിസ്ട്രിയിൽ ഇല്ലാത്ത ഒരു മൂല്യം അപ്ഡേറ്റിന് ശേഷം സ്വന്തം ഡിഫോൾട്ട് പ്രാബല്യത്തിൽ വരുത്തിയേക്കാം. ആദ്യം ബിൽഡ് നില, ഫലപ്രദമായ നയം, ഒരു പൊരുത്തമുള്ള ഇവന്റ് എന്നിവ വായിക്കുക.
ആരും രജിസ്ട്രി തിരുത്തിയിട്ടില്ലാത്ത ഒരു മെഷീനിൽ സൈൻ-ഇൻ നിരസിക്കപ്പെടുന്നു, ഫോറം ഉത്തരം ഇല്ലാത്ത ഒരു മൂല്യം ചേർക്കാൻ പറയുന്നു. ഇല്ലായ്മ തന്നെ കണ്ടെത്തലല്ല. Windows ഡിഫോൾട്ടുകൾ പ്രയോഗിക്കുന്നു, ഇൻസ്റ്റാൾ ചെയ്ത അപ്ഡേറ്റിലൂടെ ഡിഫോൾട്ട് മാറാം, അതിനാൽ ഉപകരണത്തിലെ ഫലപ്രദമായ നയം രജിസ്ട്രി സൂചിപ്പിക്കുന്നതിനേക്കാൾ കർശനമായിരിക്കാം.
ക്ലയന്റ് യഥാർത്ഥത്തിൽ കാണിച്ച പിശകിൽ നിന്ന് തുടങ്ങുക
രണ്ടാം കൈയിൽ നിന്ന് എത്തിയ സാരാംശമല്ല, സന്ദേശം വായിക്കുക. ഉടൻ മടങ്ങുന്ന പ്രോംപ്റ്റ്, ടണൽ രൂപപ്പെട്ടതിന് ശേഷമുള്ള ടൈംഔട്ട്, കണക്ഷൻ ലോഗിൻ ചെയ്ത അക്കൗണ്ട് വീണ്ടും ഉപയോഗിക്കാൻ ശ്രമിക്കുമ്പോൾ മാത്രം കാണുന്ന പരാജയം — ഇവ മൂന്ന് വ്യത്യസ്ത സാഹചര്യങ്ങളാണ്. മൂന്നാമത്തേതിന് മാത്രമാണ് സിംഗിൾ സൈൻ-ഓണുമായി ബന്ധമുള്ളത്, ആദ്യത്തെ രണ്ടെണ്ണം ഈ ലേഖനത്തിലെ ഒന്നും തിരുത്തില്ല.
തീരുമാനം എടുത്ത പാളിയാണ് ഏത് ലോഗ് അതിന് ഉത്തരം നൽകുന്നതെന്ന് നിർണ്ണയിക്കുന്നത്. ഈ നാല് നിരീക്ഷണങ്ങൾ നാല് വ്യത്യസ്ത ഉടമകളെ ചൂണ്ടുന്നു:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
കൃത്യമായ എഴുത്ത്, മിനിറ്റ്, അക്കൗണ്ട് സന്ദർഭം എന്നിവ ടിക്കറ്റിൽ എഴുതുക. ശ്രമം ഇന്ററാക്ടീവ് ആയിരുന്നോ സ്വയമേവയോ എന്നത് Windows-ന്റെ ഏത് ഘടകം വിളിച്ചു എന്ന് നിർണ്ണയിക്കുന്നു, VPN തകർന്നു എന്ന് പറയുന്ന റിപ്പോർട്ട് പലപ്പോഴും നിരസിച്ച ക്രെഡൻഷ്യലുകളല്ല, കാണാത്ത ഒരു ആന്തരിക സൈറ്റാണ് വിവരിക്കുന്നത്.
കാണാത്ത മൂല്യമല്ല, ഫലപ്രദമായ നയം വായിക്കുക
ആദ്യം ബിൽഡ്, അപ്ഡേറ്റ് നില എന്നിവ നിർണ്ണയിക്കുക, കാരണം NTLMv1-ൽ നിന്ന് ഉരുത്തിരിഞ്ഞ ക്രെഡൻഷ്യലുകൾ സൃഷ്ടിക്കുന്നതിന്റെ ഡിഫോൾട്ട് പട്ടികപ്പെടുത്തിയ Windows 11, Windows Server 2025 റിലീസുകളിൽ മാറി. Credential Guard ഓഫ് ആയിരിക്കുകയും BlockNtlmv1SSO സെറ്റ് ചെയ്യാതിരിക്കുകയും ചെയ്യുമ്പോൾ, 2026 ഒക്ടോബർ 13-നോ അതിന് ശേഷമോ പുറത്തിറങ്ങിയ അപ്ഡേറ്റ് ആ മൂല്യം ഒരിക്കലും സൃഷ്ടിക്കാതെ പെരുമാറ്റം ഓഡിറ്റിൽ നിന്ന് നിർബന്ധിത നിർവ്വഹണത്തിലേക്ക് മാറ്റുന്നു. രജിസ്ട്രിയിൽ ഒന്നും പ്രത്യക്ഷപ്പെടുന്നില്ല, ഉപകരണം അവസാന അഡ്മിനിസ്ട്രേറ്റർ ഉദ്ദേശിച്ചതിനേക്കാൾ കർശനമാകുന്നു. ഇവിടെ രജിസ്ട്രി തിരയൽ ഇത്ര കുറച്ച് മാത്രം തെളിയിക്കുന്നതിന്റെ പൂർണ്ണ കാരണം ഇതാണ്.
ഔട്ട്പുട്ട് വായിക്കുമ്പോൾ അതിരുകൾ വേർതിരിച്ച് സൂക്ഷിക്കുക. LmCompatibilityLevel നെറ്റ്വർക്ക് പ്രാമാണീകരണ പ്രതികരണ നിലയാണ്, മെഷീൻ സെർവറിന് ഏത് വെല്ലുവിളിയും പ്രതികരണവും അയയ്ക്കുമെന്ന് അത് നിർണ്ണയിക്കുന്നു; സിംഗിൾ സൈൻ-ഓൺ ക്രെഡൻഷ്യൽ സൃഷ്ടി നിയന്ത്രിക്കുന്ന നിയന്ത്രണമല്ല അത്, അതിനാൽ അത് താഴ്ത്തുന്നത് സൈൻ-ഇൻ പുനഃസ്ഥാപിക്കുന്നില്ല. ഉപകരണം NTLMv1 ഒരു നെറ്റ്വർക്ക് പ്രോട്ടോക്കോളായി സംസാരിക്കുമോ എന്നത് മൂന്നാം അതിരാണ്, നിലവിലെ Windows 11, Server 2025 റിലീസുകൾ അത് ഉപേക്ഷിച്ചു കഴിഞ്ഞു. Credential Guard, നാലാമത്തേത്, ഉപകരണത്തിലെ രഹസ്യങ്ങൾ സംരക്ഷിക്കുന്നു.
ഒരു ശ്രമത്തെ ഒരു ഇവന്റുമായി ബന്ധിപ്പിക്കുക
പരാജയം ഒരിക്കൽ പുനർനിർമ്മിക്കുക, മിനിറ്റ് രേഖപ്പെടുത്തുക, പിന്നീട് പ്രാദേശിക തെളിവുകൾ ഒരൊറ്റ സിറ്റിംഗിൽ ശേഖരിക്കുക. മൂന്ന് കമാൻഡുകൾ ബിൽഡ്, ഫലപ്രദമായ മൂല്യം, തടഞ്ഞ സിംഗിൾ സൈൻ-ഓൺ ക്രെഡൻഷ്യൽ സൃഷ്ടി രേഖപ്പെടുത്തുന്ന NTLM പ്രവർത്തന ലോഗ് എന്നിവ ഉൾക്കൊള്ളുന്നു:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Messageപരാജയത്തിന്റെ അതേ നിമിഷത്തിലെ ഇവന്റ് തെളിവാണ്. ഇന്നലത്തേത്, മറ്റൊരു അക്കൗണ്ടിൽ നിന്നുള്ളത്, അല്ലെങ്കിൽ ഒരു എൻട്രിയും ഇല്ലാത്ത ലോഗ് തെളിവല്ല, ശൂന്യമായ സന്ദർഭം കാണാത്ത തെളിവായല്ല, ശൂന്യമായി രേഖപ്പെടുത്താൻ യോഗ്യമാണ്. NTLMv1 മാറ്റങ്ങളെക്കുറിച്ചുള്ള Microsoft മാർഗ്ഗനിർദ്ദേശം തടഞ്ഞ സിംഗിൾ സൈൻ-ഓൺ ക്രെഡൻഷ്യൽ സൃഷ്ടിക്കുള്ള ഇവന്റ് ഐഡന്റിഫയർ പേരിടുന്നു, അതിനാൽ സന്ദേശത്തിന്റെ എഴുത്തിൽ നിന്ന് ഊഹിക്കാതെ Id അതുമായി താരതമ്യം ചെയ്യുക.
ക്ലയന്റിന്റെ സ്വന്തം സന്ദേശവും അതേ ശ്രമത്തെക്കുറിച്ചുള്ള ഗേറ്റ്വേയുടെ വീക്ഷണവും ഒരുമിച്ച് സൂക്ഷിക്കുക. പ്രാദേശിക ക്രെഡൻഷ്യൽ-സൃഷ്ടി തടയൽ, ദൂരസ്ഥ അക്കൗണ്ട് നിരസിക്കൽ, വിജയകരമായ സൈൻ-ഇന് ശേഷം കാണാത്ത സ്വകാര്യ റൂട്ട് — ഇവയ്ക്ക് മൂന്ന് വ്യത്യസ്ത ഉടമകളാണ്, Windows നയത്തിന്റെ ചോദ്യം ആദ്യത്തേത് മാത്രമാണ്. ടീം വിടുന്നതിന് മുൻപ് ഇവന്റ് ശുദ്ധീകരിക്കുക: ടൈംസ്റ്റാമ്പും ഇവന്റ് Id-യും സാധാരണയായി അക്കൗണ്ട് വിശദാംശങ്ങളില്ലാതെ ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു.
പിന്തുണയുള്ള സൈൻ-ഇൻ രീതിയിലേക്ക് മാറുക
ഫലപ്രദമായ നയം ആ തടയലാണെങ്കിൽ, ഉത്തരം ഡിഫോൾട്ട് നിശബ്ദമായി തിരിച്ചുമാറ്റുന്നതല്ല, പിന്തുണയുള്ള പ്രാമാണീകരണ പാതയാണ്. സർട്ടിഫിക്കറ്റ് അടിസ്ഥാനമാക്കിയ പ്രാമാണീകരണം വിന്യാസം പിന്തുണയ്ക്കുന്നിടത്ത് സാധാരണ ലക്ഷ്യസ്ഥാനമാണ്, അതിന് രജിസ്ട്രേഷൻ, വിശ്വാസ വിതരണം, സർട്ടിഫിക്കറ്റുകൾ സ്വീകരിക്കുന്ന ഗേറ്റ്വേ എന്നിവ വേണം. വരാനിരിക്കുന്ന NTLMv1 മാറ്റങ്ങളെക്കുറിച്ചുള്ള Microsoft മാർഗ്ഗനിർദ്ദേശം കേസ് അവലോകനം ചെയ്യുമ്പോൾ ഉദ്ധരിക്കേണ്ട രേഖയാണ്.
പരീക്ഷണമെന്ന നിലയിൽ Credential Guard ഓഫ് ചെയ്യുന്നത് പകരം സൈൻ-ഇൻ നൽകാതെ സംരക്ഷണം നീക്കുന്നു, കൂടാതെ പുനരുപയോഗിക്കാവുന്ന ക്രെഡൻഷ്യലുകളിലെ രേഖപ്പെടുത്തിയ നിയന്ത്രണങ്ങളാണ് ഇത് ഡയഗ്നോസ്റ്റിക് ഘട്ടമല്ല, രൂപകൽപ്പന തീരുമാനമാണ് എന്നതിന്റെ കാരണം. താൽക്കാലിക ഒഴിവുകഴിവ് അനുവദിക്കുകയാണെങ്കിൽ, അതിന് പരിധി, ഉടമ, അവസാന തീയതി നൽകുക, മാറ്റം നിങ്ങൾക്ക് ആവശ്യമായ കണക്ഷനിൽ നിന്ന് നിങ്ങളെ പുറത്താക്കിയാൽ മെഷീനിലേക്ക് സ്വതന്ത്ര അഡ്മിനിസ്ട്രേഷൻ പാത സൂക്ഷിക്കുക. സ്വീകാര്യതാ പരീക്ഷ ഉദ്ദേശിച്ച പ്രാമാണീകരണവും അതിന് പിന്നിലെ വിഭവവുമാണ്, ഒരു പ്രാദേശിക പിശക് കോഡ് അപ്രത്യക്ഷമാകുന്നതല്ല.