VPN prijava odbijena: provjerite build prije registra
Nedostajuća vrijednost u registru može nametnuti vlastitu zadanu vrijednost nakon ažuriranja. Najprije pročitajte razinu builda, efektivnu politiku i jedan odgovarajući događaj.
Prijava se odbija na računalu na kojem nitko nije uređivao registar, a odgovor s foruma kaže da dodate vrijednost koje nema. Odsutnost nije nalaz. Windows primjenjuje zadane vrijednosti, zadana se vrijednost može promijeniti instaliranim ažuriranjem, pa efektivna politika na uređaju može biti stroža nego što registar sugerira.
Počnite s greškom koju je klijent doista prikazao
Čitajte poruku, a ne sažetak koji je do vas došao iz druge ruke. Upit koji se vraća odmah, istek vremena nakon što se tunel formira i neuspjeh koji se pojavljuje samo kada veza pokuša ponovno upotrijebiti prijavljeni račun tri su različite situacije. Samo treća uopće uključuje jedinstvenu prijavu, a prve dvije neće popraviti ništa u ovom članku.
Sloj koji je donio odluku određuje koji dnevnik na nju odgovara. Ova četiri zapažanja upućuju na četiri različita vlasnika:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Upišite točan tekst, minutu i kontekst računa u tiket. Je li pokušaj interaktivan ili automatski određuje koja je Windows komponenta uputila poziv, a izvještaj da je VPN pokvaren često opisuje nedostajuće interno web-mjesto, a ne odbijene vjerodajnice.
Čitajte efektivnu politiku, ne nedostajuću vrijednost
Najprije utvrdite razinu builda i ažuriranja, jer se zadana vrijednost za generiranje vjerodajnica izvedenih iz NTLMv1 promijenila u navedenim izdanjima Windows 11 i Windows Server 2025. Uz isključen Credential Guard i nepodešen BlockNtlmv1SSO, ažuriranje objavljeno 13. listopada 2026. ili kasnije prebacuje ponašanje s revizije na prisilu, a da tu vrijednost nikada ne stvori. U registru se ništa ne pojavljuje, a uređaj postaje stroži nego što je posljednji administrator namjeravao. To je cijeli razlog zašto pretraga registra ovdje dokazuje tako malo.
Držite granice odvojeno dok čitate izlaz. LmCompatibilityLevel je razina odgovora mrežne autentifikacije, koja određuje koji će izazov i odgovor računalo poslati poslužitelju; to nije kontrola koja upravlja generiranjem vjerodajnica za jedinstvenu prijavu, pa ga snižavanje ne vraća prijavu. Hoće li uređaj uopće govoriti NTLMv1 kao mrežni protokol treća je granica, a trenutna izdanja Windows 11 i Server 2025 već su ga odbacila. Credential Guard, četvrta, štiti tajne na uređaju.
Povežite jedan pokušaj s jednim događajem
Reproducirajte neuspjeh jednom, zabilježite minutu, pa prikupite lokalne dokaze u jednom sjedenju. Tri naredbe pokrivaju build, efektivnu vrijednost i operativni dnevnik NTLM-a u kojem se bilježi blokirano generiranje vjerodajnica za jedinstvenu prijavu:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageDogađaj u istom trenutku kao neuspjeh jest dokaz. Događaj od jučer, s drugog računa ili dnevnik bez ijednog unosa nije, a prazan slučaj vrijedi zabilježiti kao prazan, a ne kao odsutan dokaz. Microsoftove smjernice za promjene NTLMv1 navode identifikator događaja za blokirano generiranje vjerodajnica za jedinstvenu prijavu, pa usporedite Id s njim umjesto da nagađate iz teksta poruke.
Držite zajedno vlastitu poruku klijenta i pogled pristupnika na isti pokušaj. Lokalna blokada generiranja vjerodajnica, udaljeno odbijanje računa i nedostajuća privatna ruta nakon uspješne prijave imaju tri različita vlasnika, a samo je prvi pitanje Windows politike. Očistite događaj prije nego napusti tim: vremenska oznaka i Id događaja obično odgovaraju na pitanje bez podataka o računu.
Prijeđite na podržanu metodu prijave
Ako je efektivna politika ta blokada, odgovor je podržan put autentifikacije, a ne tiho vraćanje zadanog. Autentifikacija zasnovana na certifikatima uobičajeno je odredište gdje je implementacija podržava, i traži upis, distribuciju povjerenja i pristupnik koji prihvaća certifikate. Microsoftove smjernice o nadolazećim promjenama NTLMv1 dokument je koji se citira kad se slučaj pregledava.
Isključivanje Credential Guarda kao eksperiment uklanja zaštitu bez zamjenske prijave, a dokumentirana ograničenja ponovno upotrebljivih vjerodajnica razlog su zašto je to dizajnerska odluka, a ne dijagnostički korak. Ako se odobri privremena iznimka, dajte joj opseg, vlasnika i datum ukidanja, i zadržite neovisnu administrativnu rutu do računala u slučaju da vas promjena zaključa izvan veze koja vam treba. Prihvatni test je namjeravana autentifikacija plus resurs iza nje, a ne nestanak jednog lokalnog koda greške.