Prijava v VPN zavrnjena: pred registrom preverite gradnjo
Manjkajoča vrednost v registru lahko po posodobitvi uveljavlja svojo privzeto vrednost. Najprej preberite raven gradnje, veljavno politiko in en ustrezen dogodek.
Prijava je zavrnjena na računalniku, kjer nihče ni urejal registra, odgovor na forumu pa pravi, naj dodate vrednost, ki je ni. Odsotnost ni ugotovitev. Windows uporablja privzete vrednosti, privzeta vrednost se lahko spremeni z nameščeno posodobitvijo, zato je lahko veljavna politika na napravi strožja, kot nakazuje register.
Začnite z napako, ki jo je odjemalec dejansko prikazal
Berite sporočilo, ne povzetka, ki vas je dosegel iz druge roke. Zahteva, ki se vrne takoj, časovna omejitev po oblikovanju tunela in napaka, ki se pojavi le, ko se povezava poskuša znova uporabiti prijavljeni račun, so tri različne situacije. Samo tretja se sploh nanaša na enotno prijavo, prvih dveh pa nič v tem članku ne bo popravilo.
Sloj, ki je sprejel odločitev, določa, kateri dnevnik ji odgovarja. Ta štiri opažanja kažejo na štiri različne lastnike:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
V zahtevek zapišite natančno besedilo, minuto in kontekst računa. Ali je bil poskus interaktiven ali samodejen, določa, katera komponenta Windows je opravila klic, poročilo, da je VPN pokvarjen, pa pogosto opisuje manjkajoče notranje spletišče in ne zavrnjenih poverilnic.
Berite veljavno politiko, ne manjkajoče vrednosti
Najprej ugotovite raven gradnje in posodobitve, ker se je privzeta vrednost za ustvarjanje poverilnic, izpeljanih iz NTLMv1, spremenila v navedenih izdajah Windows 11 in Windows Server 2025. Ob izključenem Credential Guard in nenastavljenem BlockNtlmv1SSO posodobitev, izdana 13. oktobra 2026 ali pozneje, premakne vedenje iz revizije v uveljavljanje, ne da bi kdaj ustvarila to vrednost. V registru se ne pojavi nič in naprava postane strožja, kot je nameraval zadnji skrbnik. To je ves razlog, da iskanje po registru tukaj dokaže tako malo.
Med branjem izhoda imejte meje ločene. LmCompatibilityLevel je raven odgovora omrežnega preverjanja pristnosti, ki določa, kakšen izziv in odgovor bo stroj poslal strežniku; to ni kontrolnik, ki ureja ustvarjanje poverilnic enotne prijave, zato njegovo znižanje ne obnovi prijave. Ali bo naprava sploh govorila NTLMv1 kot omrežni protokol, je tretja meja, trenutne izdaje Windows 11 in Server 2025 pa so se mu že odpovedale. Credential Guard, četrta, ščiti skrivnosti na napravi.
Povežite en poskus z enim dogodkom
Napako enkrat ponovite, zabeležite minuto in nato zberite lokalne dokaze v enem sedenju. Trije ukazi pokrijejo gradnjo, veljavno vrednost in operativni dnevnik NTLM, kjer se beleži blokirano ustvarjanje poverilnic enotne prijave:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageDogodek v istem trenutku kot napaka je dokaz. Dogodek od včeraj, z drugega računa ali dnevnik brez enega samega vnosa ni, in prazen primer je vredno zabeležiti kot prazen in ne kot manjkajoč dokaz. Microsoftove smernice o spremembah NTLMv1 navajajo identifikator dogodka za blokirano ustvarjanje poverilnic enotne prijave, zato primerjajte Id z njim, namesto da ugibate iz besedila sporočila.
Skupaj držite sporočilo odjemalca in pogled prehoda na isti poskus. Lokalna blokada ustvarjanja poverilnic, oddaljena zavrnitev računa in manjkajoča zasebna pot po uspešni prijavi imajo tri različne lastnike in samo prvi je vprašanje politike Windows. Očistite dogodek, preden zapusti ekipo: časovni žig in Id dogodka običajno odgovorita na vprašanje brez podatkov o računu.
Preidite na podprto metodo prijave
Če je veljavna politika ta blokada, je odgovor podprta pot preverjanja pristnosti in ne tiho vračanje privzete vrednosti. Preverjanje pristnosti s potrdili je običajni cilj tam, kjer ga uvajanje podpira, in zahteva vpis, razširjanje zaupanja in prehod, ki sprejema potrdila. Microsoftove smernice o prihajajočih spremembah NTLMv1 so dokument, na katerega se sklicujemo pri pregledu primera.
Izklop Credential Guard kot poskus odstrani zaščito, ne da bi zagotovil nadomestno prijavo, in dokumentirane omejitve ponovno uporabljivih poverilnic so razlog, da je to oblikovalska odločitev in ne diagnostični korak. Če je odobrena začasna izjema, ji določite obseg, lastnika in datum preklica, ter ohranite neodvisno pot upravljanja do stroja, če bi vas sprememba zaklenila iz povezave, ki jo potrebujete. Sprejemni test je predvidena overitev pristnosti in vir za njo, ne izginotje ene lokalne kode napake.