VPN-aanmelding geweigerd: controleer de build vóór het register
Een ontbrekende registerwaarde kan na een update zijn eigen standaardwaarde afdwingen. Lees eerst het buildniveau, het effectieve beleid en één overeenkomende gebeurtenis.
De aanmelding wordt geweigerd op een machine waar niemand het register heeft bewerkt, en het forumantwoord zegt dat je een waarde moet toevoegen die er niet is. Afwezigheid is niet de bevinding. Windows past standaardwaarden toe, een standaardwaarde kan met een geïnstalleerde update veranderen, en daarom kan het effectieve beleid op het apparaat strenger zijn dan het register suggereert.
Begin bij de fout die de client werkelijk toonde
Lees het bericht, niet de samenvatting die je uit tweede hand bereikte. Een prompt die meteen terugkeert, een time-out nadat de tunnel is gevormd, en een fout die pas verschijnt wanneer de verbinding het aangemelde account opnieuw probeert te gebruiken, zijn drie verschillende situaties. Alleen de derde gaat überhaupt over eenmalige aanmelding, en de eerste twee worden door niets in dit artikel verholpen.
De laag die de beslissing nam, bepaalt welk logboek er antwoord op geeft. Deze vier waarnemingen wijzen op vier verschillende eigenaren:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Schrijf de exacte tekst, de minuut en de accountcontext in het ticket. Of de poging interactief of automatisch was, bepaalt welke Windows-component de aanroep deed, en een rapport dat zegt dat de VPN kapot is, beschrijft vaak een ontbrekende interne site in plaats van geweigerde inloggegevens.
Lees het effectieve beleid, niet de ontbrekende waarde
Stel eerst het build- en updateniveau vast, omdat de standaard voor het genereren van van NTLMv1 afgeleide inloggegevens is gewijzigd in de genoemde releases van Windows 11 en Windows Server 2025. Met Credential Guard uit en BlockNtlmv1SSO niet ingesteld, verplaatst een update die op of na 13 oktober 2026 is uitgebracht het gedrag van Audit naar Afdwingen zonder die waarde ooit aan te maken. Er verschijnt niets in het register, en het apparaat wordt strenger dan de laatste beheerder bedoelde. Dat is de hele reden waarom een zoekopdracht in het register hier zo weinig bewijst.
Houd de grenzen gescheiden terwijl je de uitvoer leest. LmCompatibilityLevel is het antwoordniveau van netwerkauthenticatie, dat bepaalt welke uitdaging en welk antwoord de machine naar een server stuurt; het is niet de controle die het genereren van inloggegevens voor eenmalige aanmelding regelt, dus het verlagen ervan herstelt de aanmelding niet. Of het apparaat NTLMv1 überhaupt als netwerkprotocol spreekt, is een derde grens, en de huidige releases van Windows 11 en Server 2025 hebben het al laten vallen. Credential Guard, de vierde, beschermt geheimen op het apparaat.
Correleer één poging met één gebeurtenis
Reproduceer de fout één keer, noteer de minuut en haal daarna de lokale bewijzen in één sessie op. Drie opdrachten dekken de build, de effectieve waarde en het NTLM-operationele logboek waarin een geblokkeerde generatie van inloggegevens voor eenmalige aanmelding wordt vastgelegd:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageEen gebeurtenis op hetzelfde moment als de fout is bewijs. Een gebeurtenis van gisteren, van een ander account of een logboek zonder enige vermelding is dat niet, en het lege geval is het waard om als leeg vast te leggen in plaats van als ontbrekend bewijs. De Microsoft-richtlijn over de NTLMv1-wijzigingen noemt de gebeurtenis-id voor een geblokkeerde generatie van inloggegevens voor eenmalige aanmelding, dus vergelijk de Id daarmee in plaats van te raden uit de berichttekst.
Houd het eigen bericht van de client en de kijk van de gateway op dezelfde poging bij elkaar. Een lokale blokkade van het genereren van inloggegevens, een weigering van een account op afstand en een ontbrekende privéroute na een geslaagde aanmelding hebben drie verschillende eigenaren, en alleen de eerste is een vraag over Windows-beleid. Zuiver de gebeurtenis voordat die het team verlaat: een tijdstempel en een gebeurtenis-id beantwoorden de vraag meestal zonder de accountgegevens.
Stap over op een ondersteunde aanmeldingsmethode
Als het effectieve beleid de blokkade is, is het antwoord een ondersteund authenticatiepad en niet een stille terugdraaiing van de standaard. Op certificaten gebaseerde authenticatie is de gebruikelijke bestemming waar de uitrol die ondersteunt, en die vereist inschrijving, vertrouwensdistributie en een gateway die de certificaten accepteert. De Microsoft-richtlijn over de komende NTLMv1-wijzigingen is het document dat wordt geciteerd wanneer de zaak wordt beoordeeld.
Credential Guard als experiment uitschakelen verwijdert de bescherming zonder een vervangende aanmelding te leveren, en de gedocumenteerde beperkingen op herbruikbare inloggegevens zijn de reden dat dit een ontwerpbeslissing is en geen diagnostische stap. Wordt een tijdelijke uitzondering goedgekeurd, geef die dan een bereik, een eigenaar en een einddatum, en houd een onafhankelijke beheerroute naar de machine aan voor het geval de wijziging je buiten de verbinding sluit die je nodig hebt. De acceptatietest is de bedoelde authenticatie plus de resource erachter, niet het verdwijnen van één lokale foutcode.