LmCompatibilityLevel je pravilnik sistema Windows, ne popravek VPN

Nekdo ne doseže skupne rabe datotek prek VPN, prebere, da znižanje LmCompatibilityLevel odpravi težave z NTLM, in ga spremeni na skupnem strežniku. Naslednje jutro druge aplikacije odpovejo, prvotna težava pa ostaja. Ta nastavitev nikoli ni bila stikalo za posamezni tunel; je izjava na ravni celega računalnika o tem, katere odgovore preverjanja pristnosti bo ta sistem pošiljal in sprejemal. Njena sprememba zaradi popravka ene prijave prepiše pravila za vsako prijavo, ki jo računalnik izvede.

Branje dokumentiranih ravni je najhitrejša pot, da prenehate vrednost pravilnika obravnavati kot čarobno število.

Tri ravni, tri različne obljube

Raven 1 prisili odjemalca, da pošilja odgovore LM in NTLM, in uporablja varnost seje NTLMv2, ko pogajanja to dovolijo. Raven 3 prisili odjemalca, da pošilja samo odgovore NTLMv2, kar ni isto kot zavrnitev vsakega starejšega odgovora na prejemnikovi strani. Raven 5 ohranja odjemalca na NTLMv2 in doda dokumentirano zavrnitev LM in NTLMv1 s strani krmilnika domene. Tri številke, in razlika med njimi je odločitev o pravilniku, ne preferenca.

Te razlike pojasnjujejo, zakaj je kopiranje vrednosti iz delujočega primera nezanesljivo. Premik napačno konfiguriranega odjemalca z 1 na odobreno osnovno črto je lahko pravilen. Premik utrjene namestitve s 5 na 3 samo zato, ker je nit na forumu omenila 3, sprosti mejo, ki jo je nekdo izbral namenoma, in to za vsako storitev, s katero se računalnik pogovarja.

Berite dejanski pravilnik, ne ene vrednosti v registru

Pogled na lokalno vrednost samo za branje je razumno izhodišče: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Manjkajoča vrednost ne pomeni, da je dejanski pravilnik nič, ker ga lahko pravilnik domene ali lokalni varnostni pravilnik nastavi drugje, vloga računalnika pa spremeni, kaj počne s to številko.

Preden kar koli sklepate, preverite upravljani pravilnik, vlogo sistema in dejansko različico. Delovna postaja in krmilnik domene z enako vrednostjo se na zgornjem koncu obnašata različno, in to je del, ki ga ljudje pozabijo pri primerjavi dveh računalnikov.

Ugotovite, katero preverjanje pristnosti je dejansko spodletelo

Težave z vstopnicami Kerberos, zavrnitve NTLM in neuspešni sprejemi prek VPN zahtevajo različne dokaze. Ciljno storitev, račun in točno napako hranite skupaj v eni opombi, nato pa glejte, kaj je zahtevala storitev, ne kaj ima raje odjemalec. Prav ta opomba prepreči najpogostejšo napačno potezo, to je spremembo vrednosti na odjemalčevi strani kot odgovor na zavrnitev na strežnikovi strani.

Večkratno zniževanje pravilnika, dokler splošna napaka prijave ne izgine, ni diagnostika; je sprememba, ki skrije dokaz. Če aplikacija uporablja Kerberos, raven združljivosti NTLM sploh ni ustrezna kontrola, in mejo ste sprostili zaman.

Nekatere podpore protokolom ni mogoče obnoviti

Windows 11 24H2 in Windows Server 2025 ne vključujeta več omrežnega preverjanja pristnosti NTLMv1. Nobena številka združljivosti ne vrne protokola, ki ga različica ne izvaja več, zato bo poslabšanje, ki je pomagalo na starejši izdaji, preprosto spodletelo na novejši. Microsoft to odstranitev dokumentira ločeno od nastavitve pravilnika, mešanje obojega pa ustvari nasvete, ki ne morejo delovati.

Sorodna, a drugačna omejitev velja za poverilnice, izpeljane iz NTLMv1, ki jih uporablja enotna prijava na osnovi MSCHAPv2. To je vprašanje izpeljanih poverilnic, ne omrežnega protokola samega in ne te ene vrednosti v registru. Obravnavati vse tri kot isto temo je pot, po kateri organizacije oslabijo en nadzor, medtem ko poskušajo popraviti drugega.

Spreminjajte ga prek lastnika, nato preizkusite obe smeri

Če je popravek res potreben, ga izvedite prek lastnika pravilnika, da osnovna črta ostane skladna, in zapišite zakaj. Nato preizkusite pooblaščeno aplikacijo pod novo nastavitvijo in namerno prepovedan primer preverjanja pristnosti, ker sprememba, ki popravi eno skupno rabo in drugje tiho dovoli starejše odgovore, ni uspeh. Delujoča povezava VPN dokazuje, da je sprejem uspel. Ne potrjuje pravilnika preverjanja pristnosti računalnika in zagotovo ne kaže, da se vsaka storitev za njim še vedno obnaša, kot je bila zasnovana.

Če storitev, ki odpoveduje, temelji na Kerberosu, prenehajte povsem gledati to nastavitev. Če je to starejša naprava, ki res ne zmore bolje, dokumentirajte to izjemo in jo omejite, ker alternativa je tiho oslabljena osnovna črta, katere odobritve se nihče ne spomni.