Autentificare VPN respinsă: verificați build-ul înainte de registru
O valoare lipsă din registru poate impune propria valoare implicită după o actualizare. Citiți mai întâi nivelul de build, politica efectivă și un eveniment potrivit.
Autentificarea este respinsă pe o mașină unde nimeni nu a editat registrul, iar răspunsul de pe forum spune să adăugați o valoare care nu există acolo. Absența nu este constatarea. Windows aplică valori implicite, o valoare implicită se poate schimba cu o actualizare instalată, și de aceea politica efectivă de pe dispozitiv poate fi mai strictă decât sugerează registrul.
Începeți cu eroarea pe care clientul a afișat-o efectiv
Citiți mesajul, nu rezumatul care v-a ajuns din a doua mână. O solicitare care revine imediat, un timeout după formarea tunelului și o defecțiune care apare doar când conexiunea încearcă să reutilizeze contul autentificat sunt trei situații diferite. Doar a treia privește autentificarea unică, iar primele două nu vor fi reparate de nimic din acest articol.
Stratul care a luat decizia stabilește ce jurnal răspunde la ea. Aceste patru observații indică patru proprietari diferiți:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Scrieți în tichet textul exact, minutul și contextul contului. Dacă încercarea a fost interactivă sau automată stabilește ce componentă Windows a făcut apelul, iar un raport care spune că VPN-ul este defect descrie adesea un site intern lipsă, nu acreditări respinse.
Citiți politica efectivă, nu valoarea lipsă
Stabiliți mai întâi nivelul de build și de actualizare, deoarece valoarea implicită pentru generarea acreditărilor derivate din NTLMv1 s-a schimbat în versiunile enumerate de Windows 11 și Windows Server 2025. Cu Credential Guard oprit și BlockNtlmv1SSO nesetat, o actualizare publicată pe 13 octombrie 2026 sau ulterior mută comportamentul din Audit în Aplicare fără a crea vreodată acea valoare. În registru nu apare nimic, iar dispozitivul devine mai strict decât a intenționat ultimul administrator. Acesta este tot motivul pentru care o căutare în registru dovedește atât de puțin aici.
Țineți granițele separate în timp ce citiți rezultatul. LmCompatibilityLevel este nivelul răspunsului de autentificare în rețea, care decide ce provocare și ce răspuns va trimite mașina unui server; nu este controlul care guvernează generarea acreditărilor pentru autentificarea unică, așa că reducerea lui nu restaurează autentificarea. Dacă dispozitivul va vorbi deloc NTLMv1 ca protocol de rețea este o a treia graniță, iar versiunile actuale de Windows 11 și Server 2025 au renunțat deja la el. Credential Guard, a patra, protejează secretele de pe dispozitiv.
Corelați o încercare cu un eveniment
Reproduceți defecțiunea o dată, notați minutul, apoi strângeți dovezile locale într-o singură sesiune. Trei comenzi acoperă build-ul, valoarea efectivă și jurnalul operațional NTLM unde este înregistrată o generare blocată de acreditări pentru autentificarea unică:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageUn eveniment în același moment cu defecțiunea este o dovadă. Un eveniment de ieri, de pe alt cont sau un jurnal fără nicio intrare nu este, iar cazul gol merită înregistrat ca gol și nu ca dovadă lipsă. Îndrumările Microsoft privind modificările NTLMv1 numesc identificatorul evenimentului pentru generarea blocată de acreditări de autentificare unică, așa că comparați Id cu el în loc să ghiciți din textul mesajului.
Țineți împreună mesajul clientului și viziunea gateway-ului asupra aceleiași încercări. Un blocaj local al generării acreditărilor, o respingere la distanță a contului și o rută privată lipsă după o autentificare reușită au trei proprietari diferiți, iar doar primul este o chestiune de politică Windows. Curățați evenimentul înainte să părăsească echipa: o marcă de timp și un Id de eveniment răspund de obicei la întrebare fără datele contului.
Treceți la o metodă de autentificare acceptată
Dacă politica efectivă este blocajul, răspunsul este o cale de autentificare acceptată, nu o revenire silențioasă la valoarea implicită. Autentificarea bazată pe certificate este destinația obișnuită acolo unde implementarea o acceptă, și are nevoie de înscriere, distribuirea încrederii și un gateway care acceptă certificatele. Îndrumările Microsoft privind modificările viitoare la NTLMv1 sunt documentul de citat când cazul este revizuit.
Dezactivarea Credential Guard ca experiment elimină protecția fără a oferi o autentificare de înlocuire, iar restricțiile documentate privind acreditările reutilizabile sunt motivul pentru care aceasta este o decizie de proiectare și nu un pas de diagnostic. Dacă se autorizează o excepție temporară, dați-i un domeniu, un proprietar și o dată de retragere, și păstrați o rută de administrare independentă către mașină în caz că schimbarea vă blochează în afara conexiunii de care aveți nevoie. Testul de acceptare este autentificarea dorită plus resursa din spatele ei, nu dispariția unui cod de eroare local.