Log masuk VPN ditolak: semak binaan sebelum registri
Nilai registri yang hilang mungkin menguatkuasakan nilai lalainya sendiri selepas kemas kini. Baca dahulu tahap binaan, dasar berkesan dan satu peristiwa yang sepadan.
Log masuk ditolak pada mesin yang registrinya tidak pernah diubah oleh sesiapa, dan jawapan forum menyuruh menambah nilai yang tidak ada. Ketiadaan bukanlah penemuan. Windows menggunakan nilai lalai, nilai lalai boleh berubah dengan kemas kini yang dipasang, dan oleh itu dasar berkesan pada peranti mungkin lebih ketat daripada yang ditunjukkan oleh registri.
Mulakan dengan ralat yang benar-benar dipaparkan klien
Baca mesej itu, bukan ringkasan yang sampai kepada anda dari tangan kedua. Gesaan yang kembali serta-merta, tamat masa selepas terowong terbentuk, dan kegagalan yang muncul hanya apabila sambungan cuba menggunakan semula akaun yang telah log masuk ialah tiga situasi berbeza. Hanya yang ketiga melibatkan log masuk tunggal, dan dua yang pertama tidak akan dibaiki oleh apa-apa dalam artikel ini.
Lapisan yang membuat keputusan menentukan log mana yang menjawabnya. Empat pemerhatian ini menunjuk kepada empat pemilik berbeza:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Tulis teks tepat, minit dan konteks akaun dalam tiket. Sama ada percubaan itu interaktif atau automatik menentukan komponen Windows mana yang membuat panggilan, dan laporan yang menyatakan VPN rosak selalunya menerangkan tapak dalaman yang hilang dan bukan kelayakan yang ditolak.
Baca dasar berkesan, bukan nilai yang hilang
Tetapkan dahulu tahap binaan dan kemas kini, kerana nilai lalai untuk penjanaan kelayakan terbitan NTLMv1 berubah dalam keluaran Windows 11 dan Windows Server 2025 yang disenaraikan. Dengan Credential Guard dimatikan dan BlockNtlmv1SSO tidak ditetapkan, kemas kini yang dikeluarkan pada atau selepas 13 Oktober 2026 memindahkan tingkah laku daripada Audit kepada Penguatkuasaan tanpa pernah mencipta nilai itu. Tiada apa yang muncul dalam registri, dan peranti menjadi lebih ketat daripada yang dimaksudkan oleh pentadbir terakhir. Itulah keseluruhan sebab carian dalam registri membuktikan begitu sedikit di sini.
Asingkan sempadan itu semasa membaca output. LmCompatibilityLevel ialah tahap tindak balas pengesahan rangkaian, yang menentukan cabaran dan tindak balas yang akan dihantar mesin kepada pelayan; ia bukan kawalan yang mentadbir penjanaan kelayakan log masuk tunggal, jadi menurunkannya tidak memulihkan log masuk. Sama ada peranti akan bercakap NTLMv1 sebagai protokol rangkaian langsung ialah sempadan ketiga, dan keluaran Windows 11 serta Server 2025 semasa sudah meninggalkannya. Credential Guard, yang keempat, melindungi rahsia pada peranti.
Kaitkan satu percubaan dengan satu peristiwa
Hasilkan semula kegagalan sekali, catat minitnya, kemudian kumpulkan bukti tempatan dalam satu sesi. Tiga arahan meliputi binaan, nilai berkesan dan log operasi NTLM tempat penjanaan kelayakan log masuk tunggal yang disekat direkodkan:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessagePeristiwa pada saat yang sama dengan kegagalan ialah bukti. Peristiwa dari semalam, dari akaun lain atau log tanpa sebarang entri bukan bukti, dan kes kosong wajar direkodkan sebagai kosong dan bukan sebagai bukti yang tiada. Panduan Microsoft tentang perubahan NTLMv1 menamakan pengecam peristiwa untuk penjanaan kelayakan log masuk tunggal yang disekat, jadi bandingkan Id dengannya dan jangan meneka daripada teks mesej.
Simpan bersama mesej klien sendiri dan pandangan get laluan tentang percubaan yang sama. Sekatan penjanaan kelayakan tempatan, penolakan akaun jauh dan laluan peribadi yang hilang selepas log masuk berjaya mempunyai tiga pemilik berbeza, dan hanya yang pertama ialah persoalan dasar Windows. Bersihkan peristiwa itu sebelum ia meninggalkan pasukan: cap masa dan Id peristiwa biasanya menjawab soalan tanpa butiran akaun.
Beralih kepada kaedah log masuk yang disokong
Jika dasar berkesan itu ialah sekatan, jawapannya ialah laluan pengesahan yang disokong dan bukan pembalikan senyap nilai lalai. Pengesahan berasaskan sijil ialah destinasi biasa di tempat penggunaan menyokongnya, dan ia memerlukan pendaftaran, pengedaran kepercayaan dan get laluan yang menerima sijil. Panduan Microsoft tentang perubahan NTLMv1 yang akan datang ialah dokumen yang dipetik semasa kes disemak.
Mematikan Credential Guard sebagai eksperimen menghapuskan perlindungan tanpa menyediakan log masuk ganti, dan sekatan yang didokumenkan ke atas kelayakan yang boleh diguna semula ialah sebab perkara ini keputusan reka bentuk dan bukan langkah diagnostik. Jika pengecualian sementara dibenarkan, berikan skop, pemilik dan tarikh persaraan, dan kekalkan laluan pentadbiran bebas ke mesin itu sekiranya perubahan itu mengunci anda daripada sambungan yang anda perlukan. Ujian penerimaan ialah pengesahan yang dimaksudkan serta sumber di belakangnya, bukan hilangnya satu kod ralat tempatan.