LmCompatibilityLevel është një politikë e Windows, jo një rregullim i VPN

Dikush nuk arrin një ndarje skedarësh përmes VPN, lexon se ulja e LmCompatibilityLevel rregullon problemet me NTLM, dhe e ndryshon atë në një server të përbashkët. Të nesërmen në mëngjes aplikacione të tjera dështojnë, dhe problemi fillestar është ende aty. Ky cilësim nuk ka qenë kurrë një çelës për çdo tunel; është një deklaratë në nivel makine për atë se cilat përgjigje autentikimi ky sistem do të dërgojë dhe do të pranojë. Ndryshimi i tij për të rregulluar një hyrje të vetme rishkruan rregullat për çdo hyrje që kryen makina.

Leximi i niveleve të dokumentuara është mënyra më e shpejtë për të ndaluar trajtimin e një vlere politike si numër magjik.

Tre nivele, tre premtime të ndryshme

Niveli 1 e detyron klientin të dërgojë përgjigje LM dhe NTLM, duke përdorur sigurinë e sesionit NTLMv2 kur negociimi e lejon. Niveli 3 e detyron klientin të dërgojë vetëm përgjigje NTLMv2, që nuk është e njëjta gjë me refuzimin e çdo përgjigjeje të vjetër në anën marrëse. Niveli 5 e mban klientin në NTLMv2 dhe shton refuzimin e dokumentuar të LM dhe NTLMv1 nga kontrolluesi i domenit. Tre numra, dhe diferenca mes tyre është një vendim politike, jo një preferencë.

Këto dallime shpjegojnë pse kopjimi i një vlere nga një rast që funksionon nuk është i besueshëm. Zhvendosja e një klienti të konfiguruar gabimisht nga 1 në vijën bazë të miratuar mund të jetë e saktë. Zhvendosja e një vendosjeje të forcuar nga 5 në 3 vetëm sepse një temë forumi përmendi 3 liron një kufi që dikush e zgjodhi me qëllim, dhe e bën këtë për çdo shërbim me të cilin makina flet.

Lexoni politikën efektive, jo një vlerë regjistri

Një vështrim vetëm-lexim mbi vlerën lokale është një pikënisje e arsyeshme: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Mungesa e vlerës nuk do të thotë që politika efektive është zero, sepse një politikë domeni ose një politikë sigurie lokale mund ta vendosë diku tjetër, dhe roli i makinës ndryshon atë që bën me këtë numër.

Kontrolloni politikën e menaxhuar, rolin e sistemit dhe ndërtimin aktual përpara se të nxirrni ndonjë përfundim. Një stacion pune dhe një kontrollues domeni me të njëjtën vlerë sillen ndryshe në skajin e sipërm, dhe kjo është pjesa që njerëzit harrojnë kur krahasojnë dy makina.

Identifikoni cili autentikim dështoi në të vërtetë

Problemet me biletat Kerberos, refuzimet NTLM dhe dështimet e pranimit përmes VPN kërkojnë prova të ndryshme. Mbani shërbimin objektiv, llogarinë dhe gabimin e saktë së bashku në një shënim, pastaj shikoni çfarë kërkoi shërbimi dhe jo çfarë preferon klienti. Ky shënim i vetëm parandalon hapin më të zakonshëm të gabuar, domethënë ndryshimin e një vlere në anën e klientit për t'iu përgjigjur një refuzimi në anën e serverit.

Ulja e përsëritur e një politike derisa të zhduket një gabim i përgjithshëm hyrjeje nuk është diagnozë; është një ndryshim që fsheh provën. Nëse aplikacioni përdor Kerberos, niveli i përputhshmërisë NTLM as nuk është kontrolli përkatës, dhe e keni liruar një kufi më kot.

Disa mbështetje protokolli nuk mund të rikthehen

Windows 11 24H2 dhe Windows Server 2025 nuk përfshijnë më fare autentikimin e rrjetit NTLMv1. Asnjë numër përputhshmërie nuk rikthen një protokoll që ndërtimi nuk e zbaton më, kështu që një downgrade që ndihmoi në një version më të vjetër do të dështojë thjesht në një më të ri. Microsoft e dokumenton atë heqje veçmas nga cilësimi i politikës, dhe përzierja e të dyjave prodhon këshilla që nuk mund të funksionojnë.

Një kufizim i lidhur por i ndryshëm zbatohet për kredencialet e nxjerra nga NTLMv1 që përdoren nga hyrja e vetme e bazuar në MSCHAPv2. Është çështje kredencialesh të nxjerra, jo e vetë protokollit të rrjetit, dhe jo e kësaj vlere të vetme regjistri. Trajtimi i të treve si e njëjta temë është rruga me të cilën organizatat dobësojnë një kontroll ndërsa përpiqen të rregullojnë një tjetër.

Ndryshojeni përmes pronarit, pastaj provoni të dy drejtimet

Nëse një korrigjim është vërtet i nevojshëm, bëjeni përmes pronarit të politikës që vija bazë të mbetet koherente, dhe shënoni pse. Pastaj provoni një aplikacion të autorizuar nën cilësimin e ri dhe një rast autentikimi të ndaluar qëllimisht, sepse një ndryshim që rregullon një ndarje dhe lejon në heshtje përgjigje të vjetra diku tjetër nuk është sukses. Një lidhje VPN që funksionon provon se pranimi pati sukses. Ajo nuk vërteton politikën e autentikimit të makinës, dhe sigurisht nuk tregon se çdo shërbim pas saj sillet ende siç është projektuar.

Nëse shërbimi që dështon bazohet në Kerberos, ndaloni plotësisht së shikuari këtë cilësim. Nëse është një pajisje e vjetër që vërtet nuk mund të bëjë më mirë, dokumentoni atë përjashtim dhe kufizoni shtrirjen e tij, sepse alternativa është një vijë bazë e dobësuar në heshtje për të cilën askush nuk kujtohet ta ketë miratuar.