LmCompatibilityLevel је Windows политика, а не поправка VPN-а

Неко не може да дође до дељења датотека преко VPN-а, прочита да смањење LmCompatibilityLevel решава проблеме са NTLM, и промени то на заједничком серверу. Следећег јутра друге апликације отказују, а првобитни проблем је и даље ту. Ово подешавање никада није било прекидач за појединачни тунел; то је изјава на нивоу целог рачунара о томе које одговоре аутентификације ће овај систем слати и прихватати. Његова промена ради поправке једне пријаве преписује правила за сваку пријаву коју рачунар обави.

Читање документованих нивоа најбржи је начин да престанете да третирате вредност политике као магични број.

Три нивоа, три различита обећања

Ниво 1 тера клијента да шаље LM и NTLM одговоре, користећи NTLMv2 безбедност сесије када то преговарање дозвољава. Ниво 3 тера клијента да шаље само NTLMv2 одговоре, што није исто као одбијање сваког старијег одговора на страни примаоца. Ниво 5 држи клијента на NTLMv2 и додаје документовано одбијање LM и NTLMv1 од стране контролера домена. Три броја, а разлика међу њима је одлука о политици, а не преференција.

Те разлике објашњавају зашто је копирање вредности из радног случаја непоуздано. Премештање погрешно конфигурисаног клијента са 1 на одобрену основну линију може бити исправно. Премештање очврслог распоређивања са 5 на 3 само зато што је нека форумска тема споменула 3 попушта границу коју је неко намерно изабрао, и то чини за сваку услугу са којом рачунар разговара.

Читајте важећу политику, а не једну вредност регистра

Преглед локалне вредности само за читање разумна је почетна тачка: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Одсутна вредност не значи да је важећа политика нула, јер политика домена или локална безбедносна политика може је поставити на другом месту, а улога рачунара мења шта он ради са тим бројем.

Проверите управљану политику, улогу система и стварну верзију пре него што било шта закључите. Радна станица и контролер домена са истом вредношћу понашају се различито на горњем крају, и то је део који људи забораве када пореде два рачунара.

Утврдите која аутентификација је стварно неуспела

Проблеми са Kerberos тикетима, одбијања NTLM-а и неуспеси пријема кроз VPN траже различите доказе. Држите циљну услугу, налог и тачну грешку заједно у једној белешци, па онда гледајте шта је услуга затражила, а не шта клијент преферира. Та једна белешка спречава најчешћи погрешан корак — мењање вредности на страни клијента као одговор на одбијање на страни сервера.

Вишекратно снижавање политике док општа грешка пријаве не нестане није дијагностика; то је промена која скрива доказ. Ако апликација користи Kerberos, ниво NTLM компатибилности није чак ни релевантна контрола, и узалуд сте попустили границу.

Нека подршка протокола не може се вратити

Windows 11 24H2 и Windows Server 2025 више уопште не укључују NTLMv1 мрежну аутентификацију. Ниједан број компатибилности не враћа протокол који верзија више не примењује, па ће деградација која је помогла на старијем издању једноставно пропасти на новијем. Microsoft то уклањање документује одвојено од подешавања политике, а мешање двају даје савет који не може да функционише.

Повезано, али различито ограничење примењује се на акредитиве изведене из NTLMv1 које користи јединствена пријава заснована на MSCHAPv2. То је питање изведених акредитива, а не самог мрежног протокола и не ове једне вредности регистра. Третирање сва три као исте теме пут је којим организације ослабе једну контролу док покушавају да поправе другу.

Мењајте то кроз власника, па тестирајте оба смера

Ако је исправка заиста потребна, урадите је кроз власника политике да основна линија остане усклађена, и забележите зашто. Затим тестирајте овлашћену апликацију под новим подешавањем и намерно забрањен случај аутентификације, јер промена која поправи једно дељење и тихо допусти старије одговоре негде другде није успех. Радна VPN веза доказује да је пријем успео. Она не проверава политику аутентификације рачунара и сигурно не показује да се свака услуга иза њега још понаша како је пројектована.

Ако је услуга која отказује заснована на Kerberos-у, потпуно престаните да гледате ово подешавање. Ако је то стари уређај који заиста не може боље, документујте то изузеће и одредите му обим, јер алтернатива је тихо ослабљена основна линија за чије одобрење се нико не сећа.