Início de sessão VPN rejeitado: verifique a compilação antes do registo
Um valor ausente no registo pode estar a impor o seu próprio valor predefinido após uma atualização. Leia primeiro o nível de compilação, a política efetiva e um evento correspondente.
O início de sessão é rejeitado numa máquina onde ninguém editou o registo, e a resposta do fórum diz para adicionar um valor que não está lá. A ausência não é o achado. O Windows aplica valores predefinidos, um valor predefinido pode mudar com uma atualização instalada, e por isso a política efetiva no dispositivo pode ser mais restrita do que o registo sugere.
Comece pelo erro que o cliente mostrou realmente
Leia a mensagem, não o resumo que lhe chegou em segunda mão. Um pedido que regressa imediatamente, um tempo limite depois de o túnel se formar e uma falha que só aparece quando a ligação tenta reutilizar a conta com sessão iniciada são três situações diferentes. Só a terceira diz respeito ao início de sessão único, e as duas primeiras não serão corrigidas por nada neste artigo.
A camada que tomou a decisão determina qual registo lhe responde. Estas quatro observações apontam para quatro responsáveis diferentes:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Escreva o texto exato, o minuto e o contexto da conta no ticket. Se a tentativa foi interativa ou automática determina que componente do Windows fez a chamada, e um relatório que diz que a VPN está avariada descreve muitas vezes um site interno em falta e não credenciais rejeitadas.
Leia a política efetiva, não o valor em falta
Estabeleça primeiro o nível de compilação e de atualização, porque o valor predefinido para a geração de credenciais derivadas do NTLMv1 mudou nas versões indicadas do Windows 11 e do Windows Server 2025. Com o Credential Guard desativado e o BlockNtlmv1SSO não definido, uma atualização publicada a 13 de outubro de 2026 ou depois move o comportamento de Auditoria para Aplicação sem nunca criar esse valor. Não aparece nada no registo, e o dispositivo torna-se mais restrito do que o último administrador pretendia. É toda a razão pela qual uma pesquisa no registo prova tão pouco aqui.
Mantenha as fronteiras separadas enquanto lê a saída. O LmCompatibilityLevel é o nível de resposta da autenticação de rede, que decide que desafio e que resposta a máquina enviará a um servidor; não é o controlo que rege a geração de credenciais para o início de sessão único, por isso baixá-lo não restaura o início de sessão. Se o dispositivo falará sequer NTLMv1 como protocolo de rede é uma terceira fronteira, e as versões atuais do Windows 11 e do Server 2025 já o abandonaram. O Credential Guard, a quarta, protege os segredos no dispositivo.
Correlacione uma tentativa com um evento
Reproduza a falha uma vez, anote o minuto e depois reúna as provas locais numa só sessão. Três comandos cobrem a compilação, o valor efetivo e o registo operacional do NTLM onde é registada uma geração bloqueada de credenciais de início de sessão único:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageUm evento no mesmo momento da falha é prova. Um evento de ontem, de outra conta ou um registo sem qualquer entrada não é, e o caso vazio merece ser registado como vazio e não como prova ausente. As orientações da Microsoft sobre as alterações ao NTLMv1 indicam o identificador de evento para a geração bloqueada de credenciais de início de sessão único, por isso compare o Id com ele em vez de adivinhar pelo texto da mensagem.
Mantenha juntas a mensagem do cliente e a visão da gateway da mesma tentativa. Um bloqueio local da geração de credenciais, uma rejeição remota da conta e uma rota privada em falta após um início de sessão bem-sucedido têm três responsáveis diferentes, e só o primeiro é uma questão de política do Windows. Sanitize o evento antes de sair da equipa: um carimbo temporal e um Id de evento respondem geralmente à pergunta sem os dados da conta.
Passar para um método de início de sessão suportado
Se a política efetiva for o bloqueio, a resposta é um caminho de autenticação suportado e não uma reversão silenciosa do valor predefinido. A autenticação baseada em certificados é o destino habitual onde a implementação a suporta, e exige inscrição, distribuição de confiança e uma gateway que aceite os certificados. As orientações da Microsoft sobre as próximas alterações ao NTLMv1 são o documento a citar quando o caso é revisto.
Desativar o Credential Guard como experiência remove a proteção sem fornecer um início de sessão substituto, e as restrições documentadas sobre credenciais reutilizáveis são a razão pela qual isto é uma decisão de conceção e não um passo de diagnóstico. Se for autorizada uma exceção temporária, dê-lhe âmbito, responsável e data de retirada, e mantenha um caminho de administração independente até à máquina caso a alteração o deixe fora da ligação de que precisa. O teste de aceitação é a autenticação pretendida mais o recurso por detrás dela, e não o desaparecimento de um código de erro local.