LmCompatibilityLevel бол Windows-ийн бодлого, VPN-ийн засвар биш

Хэн нэгэн VPN-ээр файл хуваалцалт руу хүрч чадахгүй, LmCompatibilityLevel-ийг бууруулах нь NTLM-ийн асуудлыг шийднэ гэж уншихдаа, үүнийг хуваалцсан сервер дээр өөрчилдөг. Дараагийн өглөө бусад аппликейшн бүтэлгүйтэж, анхны асуудал хэвээр үлддэг. Энэ тохиргоо хэзээ ч туннель бүрийн унтраалга байгаагүй; энэ нь машин даяар энэ систем ямар баталгаажуулалтын хариу илгээж, хүлээн авах тухай мэдэгдэл юм. Үүнийг нэг нэвтрэлтийг засахын тулд өөрчлөх нь машин хийдэг нэвтрэлт бүрийн дүрмийг дахин бичдэг.

Баримтжуулсан түвшнүүдийг унших нь бодлогын утгыг ид шидийн тоо гэж үзэхээ болих хамгийн хурдан арга юм.

Гурван түвшин, гурван өөр амлалт

1-р түвшин клиентийг LM ба NTLM хариу илгээхэд хүргэж, хэлэлцээр зөвшөөрвөл NTLMv2 сессийн аюулгүй байдлыг ашигладаг. 3-р түвшин клиентийг зөвхөн NTLMv2 хариу илгээхэд хүргэдэг бөгөөд энэ нь хүлээн авагч талд бүх хуучин хариунаас татгалзахтай ижил биш. 5-р түвшин клиентийг NTLMv2 дээр байлгаж, домэйны хянагчийн LM ба NTLMv1-ээс татгалзах баримтжуулсан үйлдлийг нэмдэг. Гурван тоо, тэдгээрийн хоорондох ялгаа нь сонголт биш, бодлогын шийдвэр юм.

Эдгээр ялгаа нь ажиллаж буй тохиолдлоос утга хуулах нь яагаад найдваргүй болохыг тайлбарладаг. Буруу тохируулсан клиентийг 1-ээс батлагдсан суурь шугам руу шилжүүлэх нь зөв байж болно. Хатуужсан байршуулалтыг 5-аас 3 руу буулгах нь зөвхөн форумын сэдэв 3-ыг дурдсан учраас хэн нэгний санаатай сонгосон хязгаарыг суллаж, машины ярьдаг бүх үйлчилгээнд үүнийг хийдэг.

Үйлчлэх бодлогыг уншаарай, нэг бүртгэлийн утгыг биш

Локал утгыг зөвхөн унших байдлаар харах нь боломжит эхлэл юм: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Утга байхгүй байх нь үйлчлэх бодлого тэг гэсэн үг биш, учир нь домэйн эсвэл локал аюулгүй байдлын бодлого үүнийг өөр газар тогтоож болох бөгөөд машины үүрэг энэ тоогоор юу хийдгийг өөрчилдөг.

Ямар нэг дүгнэлт хийхээс өмнө удирдлагын бодлого, системийн үүрэг, бодит build-ийг шалгаарай. Ижил утгатай ажлын станц ба домэйны хянагч дээд хэсэгт өөрөөр ажилладаг бөгөөд хүмүүс хоёр машин харьцуулахдаа яг энэ хэсгийг мартдаг.

Яг ямар баталгаажуулалт бүтэлгүйтсэнийг тодорхойлоорой

Kerberos тасалбарын асуудал, NTLM-ийн татгалзал, VPN-д нэвтрэх бүтэлгүйтэл нь өөр нотолгоо шаарддаг. Зорилтот үйлчилгээ, бүртгэл, яг алдааг нэг тэмдэглэлд хамт байлгаад, дараа нь клиент юу илүүд үздэг биш, үйлчилгээ юу шаардсаныг хараарай. Тэр нэг тэмдэглэл нь хамгийн түгээмэл буруу эргэлтийг сэргийлдэг, өөрөөр хэлбэл серверийн талын татгалзалд хариу өгөхийн тулд клиентийн талын утгыг өөрчлөхийг.

Ерөнхий нэвтрэлтийн алдаа арилах хүртэл бодлогыг дахин дахин буулгах нь оношлогоо биш; энэ нь нотолгоог нуудаг өөрчлөлт юм. Хэрэв аппликейшн Kerberos ашигладаг бол NTLM-ийн нийцлийн түвшин нь хамааралтай хяналт ч биш бөгөөд та хязгаарыг үргүй сулласан.

Зарим протоколын дэмжлэгийг сэргээх боломжгүй

Windows 11 24H2 болон Windows Server 2025-д NTLMv1 сүлжээний баталгаажуулалт огт байхгүй болсон. build цаашид хэрэгжүүлэхгүй протоколыг ямар ч нийцлийн тоо буцааж авчрахгүй, тиймээс хуучин хувилбарт тусалсан буулгалт шинэ хувилбарт зүгээр л бүтэлгүйтэх болно. Microsoft энэ хасалтыг бодлогын тохиргооноос тусад нь баримтжуулдаг бөгөөд хоёрыг хольсон нь ажиллах боломжгүй зөвлөгөө гаргадаг.

Холбоотой боловч өөр хязгаарлалт нь MSCHAPv2-д суурилсан нэгдсэн нэвтрэлтийн ашигладаг NTLMv1-ээс гаралтай итгэмжлэлд хамаарна. Энэ нь гаралтай итгэмжлэлийн асуудал бөгөөд сүлжээний протоколын өөрөө ч биш, энэ нэг бүртгэлийн утгын ч биш. Гурвыг нэг сэдэв гэж үзэх нь байгууллагууд нэг хяналтыг сулруулж, нөгөөг засах гэж оролдох зам юм.

Үүнийг эзэмшигчээр нь өөрчилж, дараа нь хоёр чиглэлийг шалгаарай

Хэрэв засвар үнэхээр шаардлагатай бол суурь шугам уялдаатай байхын тулд бодлогын эзэмшигчээр хийж, яагаад гэдгийг тэмдэглээрэй. Дараа нь шинэ тохиргоонд зөвшөөрөгдсөн аппликейшн ба санаатайгаар хориглосон баталгаажуулалтын тохиолдлыг шалгаарай, учир нь нэг хуваалцалтыг засаж, өөр газар хуучин хариунд чимээгүй зөвшөөрөл өгсөн өөрчлөлт амжилт биш. Ажиллаж буй VPN холболт нэвтрэлт амжилттай болсныг нотолдог. Энэ нь машины баталгаажуулалтын бодлогыг баталгаажуулахгүй бөгөөд түүний ард байгаа үйлчилгээ бүр төлөвлөсний дагуу ажилласныг огт харуулахгүй.

Хэрэв бүтэлгүйтэж буй үйлчилгээ Kerberos-д суурилсан бол энэ тохиргоог харахаа бүрэн зогсоо. Хэрэв энэ нь үнэхээр илүү сайн хийж чадахгүй хуучин төхөөрөмж бол тэр үл хамаарах зүйлийг баримтжуулж, хүрээг нь тодорхойлоорой, учир нь өөр хувилбар нь хэн ч баталснаа санахгүй чимээгүй суларсан суурь шугам юм.