LmCompatibilityLevel د Windows یوه تګلاره ده، د VPN حل نه دی

یو څوک د VPN له لارې د فایل شریکولو ته نشي رسیدلی، لولي چې د LmCompatibilityLevel کمول د NTLM ستونزې حل کوي، او په یو شریک سرور کې یې بدلوي۔ بله سهار نور اپلیکیشنونه ناکام کیږي، او اصلي ستونزه لا هم هلته ده۔ دا تنظیم هېڅکله د هر تونل لپاره سوئیچ نه و؛ دا د ټولې ماشین په کچه یوه اعلامیه ده چې دا سیستم کوم د تصدیق ځوابونه لیږي او مني۔ د یو ننوتلو د سمولو لپاره یې بدلول هغه ټول قواعد بیا لیکي چې ماشین یې هر ننوتلو لپاره لري۔

د مستندو کچو لوستل ترټولو ژر لاره ده چې د تګلارې ارزښت د جادویي عدد په توګه لیدل بند کړئ۔

درې کچې، درې بېلابېل ژمنې

کچه 1 کلاینټ ته اړ باسي چې د LM او NTLM ځوابونه ولیږي، او کله چې خبرې اترې اجازه ورکړي د NTLMv2 غونډې امنیت کاروي۔ کچه 3 کلاینټ ته اړ باسي چې یوازې د NTLMv2 ځوابونه ولیږي، کوم چې په ترلاسه کوونکې خوا کې د هر پخواني ځواب ردولو سره یو شان نه دی۔ کچه 5 کلاینټ په NTLMv2 کې ساتي او د ډومین کنټرولر له خوا د LM او NTLMv1 مستند رد اضافه کوي۔ درې عددونه، او د دوی ترمنځ توپیر د غوراوي نه، د تګلارې پریکړه ده۔

همدا توپیرونه ښيي چې ولې د یوې کار کوونکې قضیې څخه ارزښت کاپي کول باوري نه دي۔ ناسم تنظیم شوی کلاینټ له 1 څخه تایید شوې بنسټیزې کرښې ته وړل سم کېدای شي۔ کلک شوی ځای پرځای کول له 5 څخه 3 ته راټیټول یوازې ځکه چې په یو فورم موضوع کې 3 یاد شوی و، هغه پوله سستوي چې یو چا په قصد غوره کړې وه، او دا د هر هغه خدمت لپاره کوي چې ماشین ورسره خبرې کوي۔

اغېزمنه تګلاره ولولئ، نه یو راجستر ارزښت

یوازې-لوستلو کتنه پر ځایي ارزښت د پیل یو مناسب ټکی دی: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel۔ د ارزښت نه شتون معنا نه لري چې اغېزمنه تګلاره صفر ده، ځکه چې د ډومین یا ځایي امنیت تګلاره کولای شي دا بل چیرې وټاکي، او د ماشین رول بدلوي چې دا له دې عدد سره څه کوي۔

مخکې لدې چې کومه پایله وټاکئ، مدیریت شوې تګلاره، د سیستم رول او ریښتینی جوړښت وګورئ۔ هماغه ارزښت لرونکی ورک سټیشن او ډومین کنټرولر په پورتنۍ څنډه کې بېلابېل ځواب ورکوي، او دا هغه برخه ده چې خلک یې هېروي کله چې دوه ماشینونه پرتله کوي۔

وټاکئ چې په رښتیا کوم تصدیق ناکام شو

د Kerberos ټیکټ ستونزې، د NTLM ردونه او د VPN د ننوتلو ناکامۍ بېلابېل شواهد غواړي۔ هدف خدمت، حساب او دقیق خطا په یوه یادښت کې یوځای وساتئ، بیا وګورئ چې خدمت څه غوښتي، نه هغه څه چې کلاینټ غوره ګڼي۔ هماغه یو یادښت ترټولو عامه غلطه واپیچنه منع کوي، یعنې د سرور خوا ته د رد ځواب ورکولو لپاره د کلاینټ خوا ارزښت بدلول۔

د تګلارې تکراري راټیټول ترڅو یو عمومي د ننوتلو خطا ورک شي، تشخیص نه دی؛ دا هغه بدلون دی چې شواهد پټوي۔ که اپلیکیشن Kerberos کاروي، د NTLM مطابقت کچه حتی اړونده کنټرول هم نه ده، او تاسو بې ګټې یوه پوله سسته کړې۔

د ځینو پروتوکولونو ملاتړ نشي بحالیدلی

Windows 11 24H2 او Windows Server 2025 نور د NTLMv1 شبکې تصدیق په بشپړه توګه نه لري۔ هېڅ د مطابقت عدد هغه پروتوکول نه راګرځوي چې جوړښت یې نور نه پلي کوي، نو هغه تنزل چې په زوړ خپریدو کې یې مرسته کړې وه، په نوي کې به یوازې ناکام شي۔ Microsoft هغه لرې کول د تګلارې تنظیم څخه جلا مستند کوي، او د دواړو ګډول هغه مشوره جوړوي چې کار نشي کولی۔

یو اړونده خو بېل محدودیت پر هغو اسنادو پلي کیږي چې له NTLMv1 څخه اخیستل شوي او د MSCHAPv2 پر بنسټ یوځلي ننوتل یې کاروي۔ دا د اخیستل شوو اسنادو پوښتنه ده، نه د شبکې پروتوکول پخپله، او نه د دې یو راجستر ارزښت۔ د درېیو یو څېز ګڼل هغه لاره ده چې موسسې پرې یو کنټرول کمزوری کوي کله چې د بل سمولو هڅه کوي۔

دا د مالک له لارې بدل کړئ، بیا دواړه لوري وازموئ

که واقعاً سمون ته اړتیا وي، د تګلارې مالک له لارې یې وکړئ ترڅو بنسټیزه کرښه یوځای پاتې شي، او ولیکئ چې ولې۔ بیا د نوي تنظیم لاندې یو مجاز اپلیکیشن او په قصد بند شوې د تصدیق قضیه وازموئ، ځکه هغه بدلون چې یو شریکول سم کړي او بل چیرې په خاموشۍ زاړه ځوابونه اجازه کړي، بریا نه ده۔ کار کوونکې VPN اړیکه ثابتوي چې ننوتل بریالي شول۔ دا د ماشین د تصدیق تګلاره نه تاییدوي، او یقیناً نه ښيي چې د هغې شاته هر خدمت لا هم لکه څنګه چې طراحی شوی رفتار کوي۔

که ناکام شوی خدمت پر Kerberos ولاړ دی، دې تنظیم ته کتل په بشپړه توګه بند کړئ۔ او که دا یو زوړ وسیله ده چې واقعاً نور ښه نشي کولی، هغه استثنا مستند کړئ او د هغې حد وټاکئ، ځکه بدیل هغه په خاموشۍ کمزورې شوې بنسټیزه کرښه ده چې هیڅوک نه یادېږي چې منلې وه۔