Вход в VPN отклонён: сначала проверьте сборку, а не реестр
Отсутствующее значение реестра может после обновления применять собственное значение по умолчанию. Сначала прочитайте уровень сборки, действующую политику и одно подходящее событие.
Вход отклоняется на машине, где никто не правил реестр, а ответ на форуме советует добавить значение, которого там нет. Отсутствие — не находка. Windows применяет значения по умолчанию, значение по умолчанию может измениться с установленным обновлением, и поэтому действующая политика на устройстве может быть строже, чем подсказывает реестр.
Начните с ошибки, которую клиент действительно показал
Читайте сообщение, а не пересказ, дошедший до вас из вторых рук. Запрос, который сразу возвращается, тайм-аут после образования туннеля и сбой, появляющийся только когда подключение пытается повторно использовать вошедшую учётную запись, — три разные ситуации. Только третья вообще связана с единым входом, и первые две ничто в этой статье не исправит.
Слой, принявший решение, определяет, какой журнал на него отвечает. Эти четыре наблюдения указывают на четырёх разных владельцев:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Запишите в заявку точный текст, минуту и контекст учётной записи. Интерактивной была попытка или автоматической — это определяет, какой компонент Windows выполнил вызов, а отчёт «VPN сломан» часто описывает отсутствующий внутренний сайт, а не отклонённые учётные данные.
Читайте действующую политику, а не отсутствующее значение
Сначала определите уровень сборки и обновления, потому что значение по умолчанию для генерации учётных данных, производных от NTLMv1, изменилось в перечисленных выпусках Windows 11 и Windows Server 2025. При выключенном Credential Guard и незаданном BlockNtlmv1SSO обновление, выпущенное 13 октября 2026 года или позже, переводит поведение из аудита в принудительное применение, так и не создав это значение. В реестре ничего не появляется, и устройство становится строже, чем задумывал последний администратор. Именно поэтому поиск в реестре здесь так мало доказывает.
Держите границы раздельно, читая вывод. LmCompatibilityLevel — уровень ответа сетевой проверки подлинности, который определяет, какой запрос и ответ машина отправит серверу; это не элемент управления, регулирующий генерацию учётных данных единого входа, поэтому его снижение не восстанавливает вход. Будет ли устройство вообще говорить NTLMv1 как сетевой протокол — третья граница, и текущие выпуски Windows 11 и Server 2025 уже отказались от него. Credential Guard, четвёртая, защищает секреты на устройстве.
Сопоставьте одну попытку с одним событием
Воспроизведите сбой один раз, отметьте минуту, затем соберите локальные доказательства за один сеанс. Три команды охватывают сборку, действующее значение и операционный журнал NTLM, куда записывается заблокированная генерация учётных данных единого входа:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageСобытие в тот же момент, что и сбой, — доказательство. Событие от вчера, от другой учётной записи или журнал без единой записи — нет, и пустой случай стоит записать как пустой, а не как отсутствующее доказательство. Руководство Microsoft об изменениях NTLMv1 называет идентификатор события для заблокированной генерации учётных данных единого входа, поэтому сравнивайте Id с ним, а не угадывайте по тексту сообщения.
Держите вместе сообщение самого клиента и взгляд шлюза на ту же попытку. Локальная блокировка генерации учётных данных, удалённый отказ в учётной записи и отсутствующий частный маршрут после успешного входа имеют трёх разных владельцев, и только первый — вопрос политики Windows. Очистите событие, прежде чем оно покинет команду: отметка времени и Id события обычно отвечают на вопрос без данных учётной записи.
Перейдите на поддерживаемый способ входа
Если действующая политика — это блокировка, ответ — поддерживаемый путь проверки подлинности, а не тихий откат значения по умолчанию. Проверка подлинности на основе сертификатов — обычная цель там, где развёртывание её поддерживает, и требует регистрации, распространения доверия и шлюза, принимающего сертификаты. Руководство Microsoft о предстоящих изменениях NTLMv1 — документ, на который ссылаются при разборе случая.
Отключение Credential Guard в качестве эксперимента снимает защиту, не давая замены входу, а документированные ограничения на многократно используемые учётные данные — причина, по которой это решение проектирования, а не диагностический шаг. Если разрешено временное исключение, дайте ему область, владельца и дату отмены, и сохраняйте независимый путь администрирования к машине на случай, если изменение отрежет вас от нужного подключения. Приёмочный тест — это предполагаемая проверка подлинности плюс ресурс за ней, а не исчезновение одного локального кода ошибки.