VPN-innlogging avvist: sjekk bygget før registeret
Ein manglande registerverdi kan handheva sin eigen standardverdi etter ei oppdatering. Les byggenivået, den effektive policyen og éi samsvarande hending først.
Innlogginga vert avvist på ein maskin der ingen har redigert registeret, og forumsvaret seier at du skal leggje til ein verdi som ikkje finst der. Fråvær er ikkje funnet. Windows brukar standardverdiar, ein standardverdi kan endrast med ei installert oppdatering, og difor kan den effektive policyen på eininga vere strengare enn registeret antydar.
Start med feilen klienten faktisk viste
Les meldinga i staden for samandraget som nådde deg på andre hand. Ei førespurnad som kjem straks tilbake, ein tidsavbrot etter at tunnelen er danna, og ein feil som berre viser seg når tilkoplinga prøver å bruke den innlogga kontoen om att, er tre ulike situasjonar. Berre den tredje handlar i det heile om einskild innlogging, og dei to første vert ikkje retta av noko i denne artikkelen.
Laget som tok avgjerda avgjer kva logg som svarar på henne. Desse fire observasjonane peikar på fire ulike eigarar:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Skriv den nøyaktige teksten, minuttet og kontokonteksten i saka. Om forsøket var interaktivt eller automatisk avgjer kva Windows-komponent som gjorde kallet, og ein rapport som seier at VPN-en er øydelagd, skildrar ofte eit manglande internt nettstad i staden for avviste påloggingsdata.
Les den effektive policyen, ikkje den manglande verdien
Fastset byggje- og oppdateringsnivået først, fordi standarden for generering av påloggingsdata avleidde frå NTLMv1 vart endra i dei oppførte utgåvene av Windows 11 og Windows Server 2025. Med Credential Guard av og BlockNtlmv1SSO ikkje sett flyttar ei oppdatering gjeven ut 13. oktober 2026 eller seinare åtferda frå Revisjon til Handheving utan nokon gong å opprette den verdien. Ingenting viser seg i registeret, og eininga vert strengare enn den siste administratoren hadde tenkt. Det er heile grunnen til at eit registersøk beviser så lite her.
Hald grensene fråskilde medan du les utdata. LmCompatibilityLevel er svarnivået for nettverksautentisering, som avgjer kva utfordring og respons maskinen sender til ein tenar; det er ikkje kontrollen som styrer generering av påloggingsdata for einskild innlogging, så å senke det gjenopprettar ikkje innlogginga. Om eininga i det heile vil snakke NTLMv1 som nettverksprotokoll, er ei tredje grense, og dei gjeldande utgåvene av Windows 11 og Server 2025 har alt sloppe henne. Credential Guard, den fjerde, verner hemmelegheiter på eininga.
Korreler eitt forsøk med éi hending
Gjenskap feilen éin gong, noter minuttet, og hent deretter dei lokale prova i éi økt. Tre kommandoar dekkjer bygget, den effektive verdien og NTLM-driftsloggen der ei blokkert generering av påloggingsdata for einskild innlogging vert registrert:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageEi hending på same tidspunkt som feilen er prov. Ei hending frå i går, frå ein annan konto eller ein logg utan noka oppføring er det ikkje, og det tome tilfellet er verdt å registrere som tomt i staden for som manglande prov. Microsoft si rettleiing om NTLMv1-endringane namngjev hendings-ID-en for blokkert generering av påloggingsdata for einskild innlogging, så samanlikn Id med han i staden for å gjette ut frå meldingsteksten.
Hald meldinga til klienten sjølv og synet til gatewayen på same forsøk saman. Ei lokal blokkering av påloggingsdatagenerering, ei avvising av konto frå avstand og ei manglande privat rute etter vellukka innlogging har tre ulike eigarar, og berre den første er eit Windows-policyspørsmål. Reins hendinga før ho forlèt teamet: eit tidsstempel og ein hendings-ID svarar vanlegvis på spørsmålet utan kontoopplysningane.
Byt til ein støtta innloggingsmetode
Om den effektive policyen er blokkeringa, er svaret ein støtta autentiseringsveg og ikkje ein stille tilbakeføring av standarden. Sertifikatbasert autentisering er det vanlege målet der utrullinga støttar det, og ho krev registrering, distribusjon av tillit og ein gateway som godtek sertifikata. Microsoft si rettleiing om dei komande NTLMv1-endringane er dokumentet som vert sitert når saka vert gått gjennom.
Å slå av Credential Guard som eit eksperiment fjernar vernet utan å levere ei erstatningsinnlogging, og dei dokumenterte avgrensingane på gjenbrukbare påloggingsdata er grunnen til at dette er ei designavgjerd og ikkje eit diagnostisk steg. Om eit mellombels unntak vert godkjent, gje det eit omfang, ein eigar og ein sluttdato, og hald ein uavhengig administrasjonsveg til maskinen i tilfelle endringa låser deg ute frå tilkoplinga du treng. Aksepttesten er den tiltenkte autentiseringa pluss ressursen bak henne, ikkje forsvinninga av éin lokal feilkode.