VPN-д нэвтрэхээс татгалзсан: бүртгэлээс өмнө бүтээцийг шалгана уу
Бүртгэлд байхгүй утга шинэчлэлтийн дараа өөрийн анхдагч утгыг хэрэгжүүлж болно. Эхлээд бүтээцийн түвшин, үйлчлэх бодлого, нэг тохирох үйл явдлыг уншина уу.
Хэн ч бүртгэлийг засаагүй машин дээр нэвтрэх татгалзаж, форумын хариулт байхгүй утгыг нэмэхийг зөвлөдөг. Байхгүй байх нь өөрөө дүгнэлт биш. Windows анхдагч утгуудыг хэрэгжүүлдэг, анхдагч утга нь суулгасан шинэчлэлтээр өөрчлөгдөж болох тул төхөөрөмж дээрх үйлчлэх бодлого нь бүртгэлд харагдахаас илүү хатуу байж болно.
Клиент үнэхээр харуулсан алдаанаас эхэл
Мессежийг унш, хоёр дахь гараас ирсэн хураангуйг биш. Шууд буцаж ирдэг асуулт, туннель үүссэний дараах хугацааны хязгаар, зөвхөн холболт нэвтэрсэн бүртгэлийг дахин ашиглахыг оролдох үед л гарч буй алдаа — эдгээр нь гурван өөр нөхцөл байдал юм. Зөвхөн гурав дахь нь л нэг удаагийн нэвтрэлттэй холбоотой бөгөөд эхний хоёрыг энэ нийтлэлийн юу ч засахгүй.
Шийдвэр гаргасан түвшин аль бүртгэл түүнд хариу үзүүлэхийг тодорхойлно. Эдгээр дөрвөн ажиглалт дөрвөн өөр эзэмшигчийг зааж байна:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Яг текстийг, минутыг, бүртгэлийн контекстийг тасалбарт бич. Оролдлого интерактив эсвэл автомат байсан нь Windows-ын аль бүрэлдэхүүн дуудлага хийснийг тодорхойлно, харин VPN эвдэрсэн гэсэн тайлан ихэвчлэн татгалзсан итгэмжлэл биш, алга болсон дотоод сайтыг дүрсэлдэг.
Алга болсон утгыг биш, үйлчлэх бодлогыг унш
Эхлээд бүтээц болон шинэчлэлтийн түвшинг тогтоо, учир нь NTLMv1-ээс гаралтай итгэмжлэл үүсгэх анхдагч утга жагсаасан Windows 11 болон Windows Server 2025 хувилбаруудад өөрчлөгдсөн. Credential Guard унтарсан, BlockNtlmv1SSO тохируулаагүй үед 2026 оны аравдугаар сарын 13-ны өдөр буюу түүнээс хойш гарсан шинэчлэлт уг утгыг хэзээ ч үүсгэхгүйгээр зан төлөвийг Аудитаас Хэрэгжүүлэлт рүү шилжүүлнэ. Бүртгэлд юу ч харагдахгүй, төхөөрөмж сүүлчийн администраторын санаж байснаас хатуу болно. Бүртгэлээс хайх нь энд яагаад ийм бага нотолдог шалтгаан бүхэлдээ энэ.
Гаралтыг уншихдаа хил хязгаарыг тусад нь бариарай. LmCompatibilityLevel нь сүлжээний баталгаажуулалтын хариултын түвшин бөгөөд машин серверт ямар сорилт, хариулт илгээхийг тодорхойлно; энэ нь нэг удаагийн нэвтрэлтийн итгэмжлэл үүсгэхийг зохицуулдаг удирдлага биш тул буулгах нь нэвтрэлтийг сэргээхгүй. Төхөөрөмж NTLMv1-ийг сүлжээний протокол болгон огт ярьж чадах эсэх нь гурав дахь хил бөгөөд одоогийн Windows 11 болон Server 2025 хувилбарууд үүнээс аль хэдийн татгалзсан. Credential Guard, дөрөв дэх нь төхөөрөмж дээрх нууцыг хамгаална.
Нэг оролдлогыг нэг үйл явдалтай холбо
Алдааг нэг удаа давтаж, минутыг тэмдэглэ, дараа нь орон нутгийн нотолгоог нэг суултаар цуглуул. Гурван команд бүтээц, үйлчлэх утга, блоклогдсон нэг удаагийн нэвтрэлтийн итгэмжлэл үүсгэлт бүртгэгддэг NTLM үйл ажиллагааны бүртгэлийг хамарна:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageАлдаатай ижил мөчид гарсан үйл явдал бол нотолгоо. Өчигдрийн, өөр бүртгэлийн үйл явдал, эсвэл нэг ч бичлэггүй бүртгэл нотолгоо биш бөгөөд хоосон тохиолдлыг алга болсон нотолгоо гэж биш, хоосон гэж тэмдэглэх нь зүйтэй. NTLMv1-ийн өөрчлөлтийн талаарх Microsoft-ын заавар нь блоклогдсон нэг удаагийн нэвтрэлтийн итгэмжлэл үүсгэлтийн үйл явдлын танигчийг нэрлэдэг тул мессежийн текстээс таамаглахын оронд Id-г түүнтэй харьцуул.
Клиентийн өөрийн мессеж болон гарцын ижил оролдлогын талаарх үзлийг хамт бариарай. Орон нутгийн итгэмжлэл үүсгэлтийг блоклох, алсын бүртгэлийг татгалзах, амжилттай нэвтрэлтийн дараа алга болсон хувийн маршрут — эдгээр гурвын өөр өөр эзэмшигчтэй, зөвхөн эхнийх нь Windows-ын бодлогын асуудал. Багнаас гарахаас өмнө үйл явдлыг цэвэрлэ: цаг хугацааны тэмдэг болон үйл явдлын Id нь ихэвчлэн бүртгэлийн дэлгэрэнгүй мэдээлэлгүйгээр асуултад хариулдаг.
Дэмжигдсэн нэвтрэх аргад шилж
Хэрэв үйлчлэх бодлого нь тэр блоклолт бол хариулт нь анхдагч утгыг чимээгүй эргүүлэх биш, дэмжигдсэн баталгаажуулалтын зам юм. Гэрчилгээнд суурилсан баталгаажуулалт нь байршуулалт дэмждэг газарт ердийн очих газар бөгөөд бүртгэл, итгэлцлийн хуваарилалт, гэрчилгээг хүлээн авдаг гарц шаарддаг. NTLMv1-ийн удахгүй өөрчлөлтийн талаарх Microsoft-ын заавар нь хэргийг хянах үед иш татах баримт бичиг юм.
Credential Guard-ыг туршилт болгон унтраах нь орлуулах нэвтрэлт өгөхгүйгээр хамгаалалтыг арилгадаг бөгөөд дахин ашиглах боломжтой итгэмжлэлийн талаарх баримтжуулсан хязгаарлалтууд нь энэ нь оношлогооны алхам биш, дизайны шийдвэр гэдгийн шалтгаан юм. Түр зуурын үл хамаарах зүйл зөвшөөрөгдвөл түүнд хамрах хүрээ, эзэмшигч, цуцлах огноог өгч, өөрчлөлт таны хэрэгтэй холболтоос гадуур хаавал машин руу хараат бус удирдлагын зам хадгал. Хүлээн авах шалгалт нь зорьсон баталгаажуулалт ба түүний ард байгаа нөөц бөгөөд нэг орон нутгийн алдааны код алга болох нь биш.