LmCompatibilityLevel hi politika ta' Windows, mhux tiswija tal-VPN

Xi ħadd ma jistax jasal għal kondiviżjoni ta' fajls fuq il-VPN, jaqra li t-tnaqqis ta' LmCompatibilityLevel jsewwi l-problemi tal-NTLM, u jbiddlu fuq server kondiviż. L-għada filgħodu applikazzjonijiet oħra jonqsu, u l-problema oriġinali għadha hemm. Dan is-setting qatt ma kien swiċċ għal kull mina; hija dikjarazzjoni fil-livell tal-magna dwar liema tweġibiet ta' awtentikazzjoni dan is-sistema tibgħat u taċċetta. Li tbiddel biex issewwi għodwa waħda terġa' tikteb ir-regoli għal kull għodwa li tagħmel il-magna.

Li taqra l-livelli dokumentati hija l-eħfef triq biex tieqaf tittratta valur ta' politika bħala numru maġiku.

Tliet livelli, tliet wegħdiet differenti

Il-livell 1 iġiegħel il-klijent jibgħat tweġibiet LM u NTLM, billi juża s-sigurtà tas-sessjoni NTLMv2 meta n-negozjar jippermettih. Il-livell 3 iġiegħel il-klijent jibgħat biss tweġibiet NTLMv2, li mhuwiex l-istess bħal li tirrifjuta kull tweġiba antika fuq in-naħa li tirċievi. Il-livell 5 iżomm il-klijent fuq NTLMv2 u jżid ir-rifjut dokumentat ta' LM u NTLMv1 mill-kontrollur tad-dominju. Tliet numri, u l-firxa bejniethom hija deċiżjoni ta' politika mhux preferenza.

Dawn id-differenzi jispjegaw għala l-kopja ta' valur minn każ li jaħdem mhijiex affidabbli. Li ċċaqlaq klijent konfigurat ħażin minn 1 għal-linja bażi approvata tista' tkun korretta. Li ċċaqlaq installazzjoni msaħħa minn 5 għal 3 biss għax ħajta ta' forum semmiet 3 tħoll fruntiera li xi ħadd għażel apposta, u tagħmel dan għal kull servizz li l-magna tkellem.

Aqra l-politika effettiva, mhux valur wieħed tar-reġistru

Ħarsa biss-qari lejn il-valur lokali hija punt tat-tluq raġonevoli: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Valur nieqes ma jfissirx li l-politika effettiva hija żero, għax politika tad-dominju jew politika tas-sigurtà lokali tista' tistabbilixxih x'imkien ieħor, u r-rwol tal-magna jbiddel x'tagħmel b'dan in-numru.

Iċċekkja l-politika ġestita, ir-rwol tas-sistema u l-build attwali qabel ma tikkonkludi xi ħaġa. Stazzjon tax-xogħol u kontrollur tad-dominju bl-istess valur iġibu ruħhom b'mod differenti fit-tarf ta' fuq, u dan huwa l-parti li n-nies jinsa meta jqabblu żewġ magni.

Identifika liema awtentikazzjoni fil-fatt falliet

Problemi ta' biljetti Kerberos, rifjuti NTLM u fallimenti tad-dħul fil-VPN jeħtieġu provi differenti. Żomm is-servizz fil-mira, il-kont u l-iżball eżatt flimkien f'nota waħda, imbagħad ħares lejn dak li talab is-servizz u mhux lejn dak li jippreferi l-klijent. Dik in-nota waħda tipprevjeni l-iżball l-aktar komuni, jiġifieri li tbiddel valur fuq in-naħa tal-klijent biex twieġeb għal rifjut fuq in-naħa tas-server.

Li tnaqqas politika darba wara l-oħra sakemm tisparixxi żball ġeneriku ta' għodwa mhuwiex dijanjosi; hija bidla li taħbi l-prova. Jekk l-applikazzjoni tuża Kerberos, il-livell ta' kompatibilità NTLM lanqas mhuwa l-kontroll rilevanti, u tkun ħallejt fruntiera għal xejn.

Xi appoġġ għal protokolli ma jistax jiġi restawrat

Windows 11 24H2 u Windows Server 2025 m'għadhomx jinkludu awtentikazzjoni tan-network NTLMv1 xejn aktar. Ebda numru ta' kompatibilità ma jġib lura protokoll li l-build m'għadux jimplimenta, għalhekk degradazzjoni li dehret tgħin fuq rilaxx antik se tonqos biss fuq wieħed aktar ġdid. Microsoft tiddokumenta dik it-tneħħija b'mod separat mis-setting tal-politika, u li tħallat it-tnejn tipproduċi pariri li ma jistgħux jaħdmu.

Restrizzjoni relatata iżda differenti tapplika għall-kredenzjali derivati mill-NTLMv1 li jintużaw mill-għodwa waħdanija bbażata fuq MSCHAPv2. Hija kwistjoni ta' kredenzjali derivati, mhux tal-protokoll tan-network innifsu, u mhux ta' dan il-valur tar-reġistru. Li tittratta t-tlieta bħala l-istess suġġett hija t-triq li biha organizzazzjonijiet jispiċċaw idgħajfu kontroll waqt li jippruvaw isewwu ieħor.

Ibiddlu permezz tas-sid, imbagħad iġġerba ż-żewġ direzzjonijiet

Jekk tassew meħtieġa korrezzjoni, agħmilha permezz tas-sid tal-politika sabiex il-linja bażi tibqa' koerenti, u noti għaliex. Imbagħad iġġerba applikazzjoni awtorizzata taħt is-setting il-ġdid u każ ta' awtentikazzjoni pprojbit apposta, għax bidla li ssewwi kondiviżjoni waħda u tippermetti bil-kwiet tweġibiet antiki x'imkien ieħor mhijiex suċċess. Konnessjoni VPN li taħdem turi li d-dħul irnexxa. Hija ma tivvalidax il-politika tal-awtentikazzjoni tal-magna, u żgur ma turix li kull servizz warajha għadu jġib ruħu kif inġie ddisinjat.

Jekk is-servizz li qed jonqos huwa bbażat fuq Kerberos, waqaf għal kollox milli tħares lejn dan is-setting. Jekk huwa apparat antik li tassew ma jistax jagħmel aħjar, iddokumenta dik l-eċċezzjoni u illimita l-ambitu tagħha, għax l-alternattiva hija linja bażi mdgħajfa bil-kwiet li ħadd ma jiftakar li approva.