Prihlásenie k VPN zamietnuté: overte zostavenie skôr než register
Chýbajúca hodnota registra môže po aktualizácii presadzovať vlastnú predvolenú hodnotu. Najprv si prečítajte úroveň zostavenia, platnú politiku a jednu zodpovedajúcu udalosť.
Prihlásenie sa zamieta na počítači, kde nikto neupravoval register, a odpoveď na fóre radí pridať hodnotu, ktorá tam nie je. Neprítomnosť nie je zistenie. Windows uplatňuje predvolené hodnoty, predvolená hodnota sa môže zmeniť nainštalovanou aktualizáciou, a preto môže byť platná politika na zariadení prísnejšia, než register naznačuje.
Začnite chybou, ktorú klient skutočne zobrazil
Čítajte správu, nie zhrnutie, ktoré sa k vám dostalo z druhej ruky. Výzva, ktorá sa vráti okamžite, časový limit po vytvorení tunela a zlyhanie, ktoré sa objaví len vtedy, keď sa pripojenie pokúsi znova použiť prihlásený účet, sú tri rôzne situácie. Jednotného prihlásenia sa týka len tretia a prvé dve tento článok neopraví.
Vrstva, ktorá rozhodla, určuje, ktorý protokol udalostí na to odpovedá. Tieto štyri pozorovania ukazujú na štyroch rôznych vlastníkov:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Zapíšte do tiketu presný text, minútu a kontext účtu. Či bol pokus interaktívny alebo automatický, určuje, ktorá komponenta Windows vykonala volanie, a správa, že VPN je pokazená, často opisuje chýbajúci interný web, nie odmietnuté prihlasovacie údaje.
Čítajte platnú politiku, nie chýbajúcu hodnotu
Najprv zistite úroveň zostavenia a aktualizácie, pretože predvolená hodnota generovania prihlasovacích údajov odvodených z NTLMv1 sa zmenila v uvedených verziách Windows 11 a Windows Server 2025. Pri vypnutom Credential Guard a nenastavenom BlockNtlmv1SSO presúva aktualizácia vydaná 13. októbra 2026 alebo neskôr správanie z auditu na vynútenie bez toho, aby túto hodnotu niekedy vytvorila. V registri sa nič neobjaví a zariadenie je prísnejšie, než zamýšľal posledný správca. To je celý dôvod, prečo tu hľadanie v registri dokazuje tak málo.
Pri čítaní výstupu držte hranice oddelene. LmCompatibilityLevel je úroveň odozvy sieťového overovania, ktorá určuje, akú výzvu a odpoveď počítač odošle serveru; nie je to ovládací prvok, ktorý riadi generovanie prihlasovacích údajov jednotného prihlásenia, takže jeho zníženie prihlásenie neobnoví. Či bude zariadenie vôbec hovoriť NTLMv1 ako sieťovým protokolom, je tretia hranica a súčasné verzie Windows 11 a Server 2025 ho už opustili. Credential Guard, štvrtá, chráni tajomstvá na zariadení.
Spojte jeden pokus s jednou udalosťou
Zlyhanie raz zopakujte, poznamenajte minútu a potom miestne dôkazy získajte v jednom sedení. Tri príkazy pokrývajú zostavenie, platnú hodnotu a operačný protokol NTLM, kde sa zaznamenáva zablokované generovanie prihlasovacích údajov jednotného prihlásenia:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageUdalosť v tom istom okamihu ako zlyhanie je dôkaz. Udalosť z včera, z iného účtu alebo protokol bez jediného záznamu ňou nie je, a prázdny prípad sa oplatí zapísať ako prázdny, nie ako chýbajúci dôkaz. Pokyny Microsoftu k zmenám NTLMv1 uvádzajú identifikátor udalosti pre zablokované generovanie prihlasovacích údajov jednotného prihlásenia, preto Id porovnajte s ním, namiesto hádania z textu správy.
Držte pohromade vlastnú správu klienta a pohľad brány na ten istý pokus. Miestne blokovanie generovania údajov, odmietnutie účtu na diaľku a chýbajúca privátna trasa po úspešnom prihlásení majú troch rôznych vlastníkov a len prvý je otázkou politiky Windows. Udalosť pred odchodom z tímu vyčistite: časová pečiatka a Id udalosti zvyčajne otázku zodpovedajú bez údajov o účte.
Prejdite na podporovanú metódu prihlásenia
Ak je platnou politikou blokovanie, odpoveďou je podporovaná cesta overovania, nie tiché vrátenie predvolenej hodnoty. Overovanie založené na certifikátoch je obvyklým cieľom tam, kde ho nasadenie podporuje, a vyžaduje zápis, distribúciu dôvery a bránu, ktorá certifikáty prijíma. Pokyny Microsoftu k pripravovaným zmenám NTLMv1 sú dokumentom, ktorý sa cituje pri preskúmaní prípadu.
Vypnutie Credential Guard ako experiment odstráni ochranu bez toho, aby ponúklo náhradné prihlásenie, a dokumentované obmedzenia opakovane použiteľných prihlasovacích údajov sú dôvodom, prečo je to rozhodnutie o návrhu, nie diagnostický krok. Ak sa povolí dočasná výnimka, dajte jej rozsah, vlastníka a dátum ukončenia a udržujte nezávislú cestu správy k počítaču pre prípad, že vás zmena uzamkne mimo pripojenia, ktoré potrebujete. Prijímacím testom je zamýšľané overovanie plus zdroj za ním, nie zmiznutie jedného miestneho kódu chyby.