Hyrja në VPN u refuzua: kontrolloni ndërtimin para regjistrit
Një vlerë që mungon në regjistër mund të imponojë vlerën e vet të paracaktuar pas një përditësimi. Lexoni së pari nivelin e ndërtimit, politikën efektive dhe një ngjarje që përputhet.
Hyrja refuzohet në një makinë ku askush nuk ka redaktuar regjistrin, dhe përgjigjja në forum thotë të shtoni një vlerë që nuk është aty. Mungesa nuk është gjetja. Windows zbaton vlera të paracaktuara, një vlerë e paracaktuar mund të ndryshojë me një përditësim të instaluar, dhe për këtë arsye politika efektive në pajisje mund të jetë më e rreptë sesa sugjeron regjistri.
Filloni me gabimin që klienti shfaqi vërtet
Lexoni mesazhin, jo përmbledhjen që ju arriti dorë së dytë. Një kërkesë që kthehet menjëherë, një afat kohor pasi formohet tuneli dhe një dështim që shfaqet vetëm kur lidhja përpiqet të ripërdorë llogarinë e hyrë janë tre situata të ndryshme. Vetëm e treta ka të bëjë fare me hyrjen e vetme, dhe dy të parat nuk do të rregullohen nga asgjë në këtë artikull.
Shtresa që mori vendimin përcakton cili regjistër i përgjigjet atij. Këto katër vëzhgime tregojnë katër pronarë të ndryshëm:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Shkruani në tiketë tekstin e saktë, minutën dhe kontekstin e llogarisë. Nëse përpjekja ishte interaktive ose automatike përcakton cili komponent i Windows bëri thirrjen, dhe një raport që thotë se VPN-ja është prishur shpesh përshkruan një sajt të brendshëm që mungon dhe jo kredenciale të refuzuara.
Lexoni politikën efektive, jo vlerën që mungon
Së pari përcaktoni nivelin e ndërtimit dhe të përditësimit, sepse vlera e paracaktuar për gjenerimin e kredencialeve të rrjedhura nga NTLMv1 ndryshoi në botimet e listuara të Windows 11 dhe Windows Server 2025. Me Credential Guard të fikur dhe BlockNtlmv1SSO të pacaktuar, një përditësim i publikuar më 13 tetor 2026 ose më vonë e zhvendos sjelljen nga Auditi në Zbatim pa krijuar kurrë atë vlerë. Në regjistër nuk shfaqet asgjë, dhe pajisja bëhet më e rreptë sesa synonte administratori i fundit. Kjo është e gjithë arsyeja pse një kërkim në regjistër provon kaq pak këtu.
Mbajini kufijtë të ndarë ndërsa lexoni daljen. LmCompatibilityLevel është niveli i përgjigjes së vërtetimit të rrjetit, i cili vendos çfarë sfide dhe përgjigje makina do të dërgojë te një server; nuk është kontrolli që rregullon gjenerimin e kredencialeve për hyrjen e vetme, ndaj ulja e tij nuk e rikthen hyrjen. Nëse pajisja do të flasë fare NTLMv1 si protokoll rrjeti është kufiri i tretë, dhe botimet aktuale të Windows 11 dhe Server 2025 tashmë e kanë braktisur atë. Credential Guard, i katërti, mbron sekretet në pajisje.
Lidhni një përpjekje me një ngjarje
Riprodhoni dështimin një herë, shënoni minutën, pastaj mblidhni provat lokale në një seancë të vetme. Tre komanda mbulojnë ndërtimin, vlerën efektive dhe regjistrin operacional të NTLM ku regjistrohet një gjenerim i bllokuar i kredencialeve për hyrjen e vetme:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageNjë ngjarje në të njëjtin moment me dështimin është provë. Një ngjarje e djeshme, e një llogarie tjetër ose një regjistër pa asnjë hyrje nuk është, dhe rasti bosh ia vlen të regjistrohet si bosh dhe jo si provë që mungon. Udhëzimet e Microsoft për ndryshimet e NTLMv1 emërtojnë identifikuesin e ngjarjes për gjenerimin e bllokuar të kredencialeve të hyrjes së vetme, ndaj krahasoni Id me atë në vend që të hamendësoni nga teksti i mesazhit.
Mbajini së bashku mesazhin e klientit dhe pamjen e portës për të njëjtën përpjekje. Një bllokim lokal i gjenerimit të kredencialeve, një refuzim në distancë i llogarisë dhe një rrugë private që mungon pas një hyrjeje të suksesshme kanë tre pronarë të ndryshëm, dhe vetëm i pari është çështje e politikës së Windows. Pastroni ngjarjen përpara se të largohet nga ekipi: një vulë kohore dhe një Id ngjarjeje zakonisht i përgjigjen pyetjes pa të dhënat e llogarisë.
Kaloni në një metodë hyrjeje të mbështetur
Nëse politika efektive është ai bllokim, përgjigjja është një rrugë e mbështetur vërtetimi dhe jo një kthim i heshtur i vlerës së paracaktuar. Vërtetimi i bazuar në certifikata është destinacioni i zakonshëm atje ku vendosja e mbështet, dhe kërkon regjistrim, shpërndarje të besimit dhe një portë që pranon certifikatat. Udhëzimet e Microsoft për ndryshimet e ardhshme të NTLMv1 janë dokumenti që citohet kur shqyrtohet rasti.
Fikja e Credential Guard si eksperiment heq mbrojtjen pa ofruar një hyrje zëvendësuese, dhe kufizimet e dokumentuara për kredencialet e ripërdorshme janë arsyeja pse ky është një vendim projektimi dhe jo një hap diagnostik. Nëse autorizohet një përjashtim i përkohshëm, jepini atij fushëveprim, pronar dhe datë tërheqjeje, dhe mbani një rrugë administrimi të pavarur drejt makinës në rast se ndryshimi ju nxjerr jashtë lidhjes që ju nevojitet. Testi i pranimit është vërtetimi i synuar plus burimi pas tij, dhe jo zhdukja e një kodi gabimi lokal.