LmCompatibilityLevel je zásada Windows, nie oprava VPN

Niekto sa cez VPN nedostane na súborové zdieľanie, prečíta si, že zníženie LmCompatibilityLevel rieši problémy s NTLM, a zmení ho na zdieľanom serveri. Na druhý deň ráno zlyhajú iné aplikácie a pôvodný problém zostáva. Toto nastavenie nikdy nebolo prepínačom pre jednotlivý tunel; je to vyhlásenie na úrovni celého počítača o tom, ktoré odpovede overovania bude tento systém odosielať a prijímať. Zmena kvôli oprave jedného prihlásenia prepisuje pravidlá pre každé prihlásenie, ktoré počítač vykoná.

Čítanie dokumentovaných úrovní je najrýchlejšia cesta, ako prestať zaobchádzať s hodnotou zásady ako s magickým číslom.

Tri úrovne, tri rôzne sľuby

Úroveň 1 núti klienta odosielať odpovede LM a NTLM a používa zabezpečenie relácie NTLMv2, keď to rokovanie dovolí. Úroveň 3 núti klienta odosielať iba odpovede NTLMv2, čo nie je to isté ako odmietnuť každú staršiu odpoveď na strane príjemcu. Úroveň 5 drží klienta na NTLMv2 a pridáva dokumentované odmietnutie LM a NTLMv1 zo strany radiča domény. Tri čísla a rozdiel medzi nimi je rozhodnutie o zásade, nie preferencia.

Tieto rozdiely vysvetľujú, prečo je kopírovanie hodnoty z funkčného prípadu nespoľahlivé. Presunúť nesprávne nakonfigurovaného klienta z 1 na schválenú základnú líniu môže byť správne. Presunúť spevnené nasadenie z 5 na 3 len preto, že sa 3 spomenula vo vlákne fóra, uvoľňuje hranicu, ktorú niekto zvolil zámerne, a robí tak pre každú službu, s ktorou počítač komunikuje.

Čítajte platnú zásadu, nie jednu hodnotu registra

Pohľad na lokálnu hodnotu iba na čítanie je rozumný východiskový bod: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Chýbajúca hodnota neznamená, že platná zásada je nula, pretože zásada domény alebo lokálna zásada zabezpečenia ju môže nastaviť inde a rola počítača mení, čo s číslom robí.

Pred akýmkoľvek záverom skontrolujte spravovanú zásadu, rolu systému a skutočnú zostavu. Pracovná stanica a radič domény s rovnakou hodnotou sa na hornom konci správajú odlišne, a to je časť, na ktorú ľudia pri porovnávaní dvoch počítačov zabúdajú.

Určte, ktoré overovanie v skutočnosti zlyhalo

Problémy s lístkami Kerberos, odmietnutia NTLM a zlyhania prijatia cez VPN vyžadujú odlišné dôkazy. Držte cieľovú službu, účet a presnú chybu spolu v jednej poznámke, a potom sa pozerajte na to, čo požadovala služba, nie na to, čo preferuje klient. Práve tá jedna poznámka bráni najčastejšiemu nesprávnemu kroku — zmene hodnoty na strane klienta ako odpovedi na odmietnutie na strane servera.

Opakovane znižovať zásadu, kým nezmizne všeobecná chyba prihlásenia, nie je diagnostika; je to zmena, ktorá skrýva dôkaz. Ak aplikácia používa Kerberos, úroveň kompatibility NTLM ani nie je relevantnou kontrolou, a hranicu ste uvoľnili zbytočne.

Niektorú podporu protokolov nemožno obnoviť

Windows 11 24H2 a Windows Server 2025 už vôbec neobsahujú sieťové overovanie NTLMv1. Žiadne číslo kompatibility nevrátia protokol, ktorý zostava už neimplementuje, takže downgrade, ktorý pomohol na staršej verzii, jednoducho zlyhá na novšej. Microsoft dokumentuje toto odstránenie oddelene od nastavenia zásady, a miešanie oboch vytvára rady, ktoré nemôžu fungovať.

Súvisiace, ale odlišné obmedzenie platí pre prihlasovacie údaje odvodené z NTLMv1, ktoré používa jednotné prihlásenie založené na MSCHAPv2. Je to otázka odvodených prihlasovacích údajov, nie samotného sieťového protokolu a nie tejto jednej hodnoty registra. Považovať všetky tri za rovnakú tému je cesta, akou organizácie oslabia jednu kontrolu, zatiaľ čo sa snažia opraviť inú.

Meňte to cez vlastníka, potom otestujte oba smery

Ak je oprava skutočne potrebná, urobte ju cez vlastníka zásady, aby základná línia zostala konzistentná, a zaznamenajte prečo. Potom otestujte povolenú aplikáciu pod novým nastavením a zámerne zakázaný prípad overovania, pretože zmena, ktorá opraví jedno zdieľanie a inde ticho povolí staršie odpovede, nie je úspech. Funkčné pripojenie VPN dokazuje, že prijatie prebehlo. Neoveruje zásadu overovania počítača a už vôbec neukazuje, že každá služba za ním sa stále správa podľa návrhu.

Ak je zlyhávajúca služba založená na Kerberose, prestaňte sa na toto nastavenie úplne pozerať. Ak je to staršie zariadenie, ktoré skutočne nevie lepšie, zdokumentujte túto výnimku a vymedzte jej rozsah, pretože alternatívou je ticho oslabená základná línia, o ktorej schválení si nikto nepamätá.