Logowanie VPN odrzucone: sprawdź kompilację przed rejestrem
Brakująca wartość rejestru może po aktualizacji wymuszać własną wartość domyślną. Najpierw przeczytaj poziom kompilacji, obowiązującą politykę i jedno pasujące zdarzenie.
Logowanie jest odrzucane na maszynie, na której nikt nie edytował rejestru, a odpowiedź na forum radzi dodać wartość, której tam nie ma. Nieobecność nie jest ustaleniem. Windows stosuje wartości domyślne, wartość domyślna może się zmienić po zainstalowaniu aktualizacji, dlatego obowiązująca polityka na urządzeniu może być surowsza, niż sugeruje rejestr.
Zacznij od błędu, który klient faktycznie pokazał
Czytaj komunikat, a nie streszczenie, które dotarło do ciebie z drugiej ręki. Monit, który wraca natychmiast, limit czasu po utworzeniu tunelu i awaria pojawiająca się tylko wtedy, gdy połączenie próbuje ponownie użyć zalogowanego konta, to trzy różne sytuacje. Tylko trzecia dotyczy w ogóle logowania jednokrotnego, a pierwszych dwóch nie naprawi nic w tym artykule.
Warstwa, która podjęła decyzję, decyduje o tym, który dziennik na nią odpowiada. Te cztery obserwacje wskazują na czterech różnych właścicieli:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Zapisz w zgłoszeniu dokładny tekst, minutę i kontekst konta. To, czy próba była interaktywna, czy automatyczna, decyduje o tym, który komponent Windows wykonał wywołanie, a raport mówiący, że VPN jest zepsuty, często opisuje brakującą witrynę wewnętrzną, a nie odrzucone poświadczenia.
Czytaj obowiązującą politykę, a nie brakującą wartość
Najpierw ustal poziom kompilacji i aktualizacji, ponieważ domyślne ustawienie generowania poświadczeń pochodnych od NTLMv1 zmieniło się w wymienionych wydaniach Windows 11 i Windows Server 2025. Przy wyłączonym Credential Guard i nieustawionym BlockNtlmv1SSO aktualizacja wydana 13 października 2026 lub później przenosi zachowanie z inspekcji do wymuszania, nigdy nie tworząc tej wartości. W rejestrze nic się nie pojawia, a urządzenie staje się surowsze, niż zamierzał ostatni administrator. To cały powód, dla którego wyszukiwanie w rejestrze tak niewiele tu dowodzi.
Podczas czytania danych wyjściowych trzymaj granice osobno. LmCompatibilityLevel to poziom odpowiedzi uwierzytelniania sieciowego, który decyduje, jakie wyzwanie i odpowiedź maszyna wyśle do serwera; nie jest to kontrolka regulująca generowanie poświadczeń logowania jednokrotnego, więc jej obniżenie nie przywraca logowania. To, czy urządzenie w ogóle będzie mówić NTLMv1 jako protokołem sieciowym, jest trzecią granicą, a obecne wydania Windows 11 i Server 2025 już z tego zrezygnowały. Credential Guard, czwarta, chroni sekrety na urządzeniu.
Powiąż jedną próbę z jednym zdarzeniem
Odtwórz awarię raz, zanotuj minutę, a następnie zbierz dowody lokalne za jednym razem. Trzy polecenia obejmują kompilację, obowiązującą wartość i dziennik operacyjny NTLM, w którym zapisywane jest zablokowane generowanie poświadczeń logowania jednokrotnego:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageZdarzenie w tym samym momencie co awaria jest dowodem. Zdarzenie z wczoraj, z innego konta albo dziennik bez żadnego wpisu nim nie jest, a pusty przypadek warto zapisać jako pusty, a nie jako brakujący dowód. Wskazówki Microsoftu dotyczące zmian NTLMv1 podają identyfikator zdarzenia dla zablokowanego generowania poświadczeń logowania jednokrotnego, więc porównaj Id z nim, zamiast zgadywać z treści komunikatu.
Trzymaj razem komunikat samego klienta i widok bramy na tę samą próbę. Lokalna blokada generowania poświadczeń, zdalne odrzucenie konta i brakująca trasa prywatna po udanym logowaniu mają trzech różnych właścicieli, a tylko pierwszy jest kwestią polityki Windows. Oczyść zdarzenie, zanim opuści zespół: znacznik czasu i Id zdarzenia zwykle odpowiadają na pytanie bez danych konta.
Przejdź na obsługiwaną metodę logowania
Jeśli obowiązującą polityką jest ta blokada, odpowiedzią jest obsługiwana ścieżka uwierzytelniania, a nie ciche cofnięcie ustawienia domyślnego. Uwierzytelnianie oparte na certyfikatach jest zwykłym celem tam, gdzie wdrożenie je obsługuje, i wymaga rejestracji, dystrybucji zaufania oraz bramy akceptującej certyfikaty. Wskazówki Microsoftu dotyczące nadchodzących zmian NTLMv1 to dokument, na który się powołujemy przy przeglądzie sprawy.
Wyłączenie Credential Guard jako eksperyment usuwa ochronę bez zapewnienia zastępczego logowania, a udokumentowane ograniczenia dotyczące poświadczeń wielokrotnego użytku są powodem, dla którego jest to decyzja projektowa, a nie krok diagnostyczny. Jeśli dopuszczono wyjątek tymczasowy, nadaj mu zakres, właściciela i datę wycofania, i utrzymuj niezależną ścieżkę administracji do maszyny, gdyby zmiana odcięła cię od połączenia, którego potrzebujesz. Testem akceptacyjnym jest zamierzone uwierzytelnianie i zasób za nim, a nie zniknięcie jednego lokalnego kodu błędu.