LmCompatibilityLevel ialah dasar Windows, bukan pembaikan VPN

Seseorang tidak dapat mencapai perkongsian fail melalui VPN, membaca bahawa menurunkan LmCompatibilityLevel menyelesaikan masalah NTLM, dan menukarnya pada pelayan kongsi. Keesokan paginya aplikasi lain gagal, dan masalah asal masih ada. Tetapan ini tidak pernah menjadi suis setiap terowong; ia adalah pernyataan peringkat mesin tentang respons pengesahan yang akan dihantar dan diterima oleh sistem ini. Menukarnya untuk membaiki satu log masuk menulis semula peraturan bagi setiap log masuk yang dilakukan oleh mesin.

Membaca tahap yang didokumenkan ialah cara terpantas untuk berhenti menganggap nilai dasar sebagai nombor ajaib.

Tiga tahap, tiga janji berbeza

Tahap 1 menyebabkan klien menghantar respons LM dan NTLM, menggunakan keselamatan sesi NTLMv2 apabila rundingan membenarkannya. Tahap 3 menyebabkan klien menghantar respons NTLMv2 sahaja, yang tidak sama dengan menolak setiap respons lama di pihak penerima. Tahap 5 mengekalkan klien pada NTLMv2 dan menambah penolakan LM serta NTLMv1 oleh pengawal domain seperti yang didokumenkan. Tiga nombor, dan jurang antaranya ialah keputusan dasar, bukan keutamaan.

Perbezaan itu menjelaskan mengapa menyalin nilai daripada kes yang berfungsi tidak boleh dipercayai. Memindahkan klien yang tersalah konfigurasi daripada 1 ke garis dasar yang diluluskan mungkin betul. Memindahkan penggunaan yang diperkukuh daripada 5 ke 3 hanya kerana satu utas forum menyebut 3 melonggarkan sempadan yang dipilih oleh seseorang dengan sengaja, dan ia berbuat demikian untuk setiap perkhidmatan yang dihubungi mesin.

Baca dasar berkesan, bukan satu nilai registri

Pandangan baca sahaja pada nilai tempatan ialah titik permulaan yang wajar: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Nilai yang tiada tidak bermakna dasar berkesan ialah sifar, kerana dasar domain atau dasar keselamatan tempatan boleh menetapkannya di tempat lain, dan peranan mesin mengubah apa yang dilakukannya dengan nombor itu.

Semak dasar terurus, peranan sistem dan binaan sebenar sebelum membuat sebarang kesimpulan. Stesen kerja dan pengawal domain dengan nilai yang sama berkelakuan berbeza di hujung atas, dan itulah bahagian yang orang lupakan apabila membandingkan dua mesin.

Kenal pasti pengesahan mana yang benar-benar gagal

Masalah tiket Kerberos, penolakan NTLM dan kegagalan kemasukan VPN memerlukan bukti yang berbeza. Simpan perkhidmatan sasaran, akaun dan ralat tepat bersama dalam satu nota, kemudian lihat apa yang diminta perkhidmatan dan bukan apa yang disukai klien. Nota tunggal itu menghalang kesilapan paling biasa, iaitu menukar nilai di pihak klien untuk menjawab penolakan di pihak pelayan.

Menurunkan dasar berulang kali sehingga ralat log masuk generik hilang bukanlah diagnosis; ia adalah perubahan yang menyembunyikan bukti. Jika aplikasi menggunakan Kerberos, tahap keserasian NTLM bukan pun kawalan yang berkaitan, dan anda telah melonggarkan sempadan secara sia-sia.

Sesetengah sokongan protokol tidak boleh dipulihkan

Windows 11 24H2 dan Windows Server 2025 tidak lagi menyertakan pengesahan rangkaian NTLMv1 sama sekali. Tiada nombor keserasian mengembalikan protokol yang tidak lagi dilaksanakan oleh binaan, jadi penurunan taraf yang kelihatan membantu pada keluaran lama akan gagal pada yang lebih baharu. Microsoft mendokumenkan penyingkiran itu secara berasingan daripada tetapan dasar, dan mencampurkan kedua-duanya menghasilkan nasihat yang tidak mungkin berfungsi.

Sekatan berkaitan tetapi berbeza terpakai kepada kelayakan terbitan NTLMv1 yang digunakan oleh log masuk tunggal berasaskan MSCHAPv2. Ia persoalan kelayakan terbitan, bukan protokol rangkaian itu sendiri, dan bukan nilai registri ini. Menganggap ketiga-tiganya sebagai topik yang sama ialah cara organisasi akhirnya melemahkan satu kawalan sambil cuba membaiki yang lain.

Tukarnya melalui pemiliknya, kemudian uji kedua-dua arah

Jika pembetulan benar-benar diperlukan, lakukan melalui pemilik dasar supaya garis dasar kekal koheren, dan catat sebabnya. Kemudian uji aplikasi yang dibenarkan di bawah tetapan baharu dan kes pengesahan yang sengaja dilarang, kerana perubahan yang membaiki satu perkongsian dan secara senyap membenarkan respons lama di tempat lain bukanlah kejayaan. Sambungan VPN yang berfungsi membuktikan kemasukan berjaya. Ia tidak mengesahkan dasar pengesahan mesin itu, dan jelas tidak menunjukkan bahawa setiap perkhidmatan di belakangnya masih berkelakuan seperti yang direka.

Jika perkhidmatan yang gagal berasaskan Kerberos, berhenti sama sekali melihat tetapan ini. Jika ia peranti lama yang benar-benar tidak mampu berbuat lebih baik, dokumenkan pengecualian itu dan tetapkan skopnya, kerana alternatifnya ialah garis dasar yang dilemahkan secara senyap yang tiada siapa ingat telah meluluskannya.