Пријава на VPN одбијена: прво проверите билд, па регистар
Вредност која недостаје у регистру може после ажурирања да наметне сопствену подразумевану вредност. Прво прочитајте ниво билда, ефективну политику и један одговарајући догађај.
Пријава се одбија на рачунару на ком нико није уређивао регистар, а одговор са форума каже да додате вредност које нема. Одсуство није налаз. Windows примењује подразумеване вредности, подразумевана вредност може да се промени инсталираним ажурирањем, и зато ефективна политика на уређају може бити строжа него што регистар сугерише.
Почните са грешком коју је клијент заиста приказао
Читајте поруку, а не резиме који је до вас стигао из друге руке. Захтев који се одмах враћа, истек времена после формирања тунела и отказ који се појављује само када веза покуша поново да искористи пријављени налог три су различите ситуације. Само трећа уопште има везе са јединственом пријавом, а прве две ништа у овом тексту неће поправити.
Слој који је донео одлуку одређује који дневник на њу одговара. Ова четири запажања упућују на четири различита власника:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Упишите тачан текст, минут и контекст налога у тикет. Да ли је покушај био интерактиван или аутоматски одређује која је компонента Windows-а обавила позив, а извештај да је VPN покварен често описује несталу интерну страницу, а не одбијене акредитиве.
Читајте ефективну политику, а не вредност која недостаје
Прво утврдите ниво билда и ажурирања, јер се подразумевана вредност за генерисање акредитива изведених из NTLMv1 променила у наведеним издањима Windows 11 и Windows Server 2025. Уз искључен Credential Guard и неподешен BlockNtlmv1SSO, ажурирање објављено 13. октобра 2026. или касније премешта понашање са ревизије на принуду, а да ту вредност никада не створи. У регистру се ништа не појављује, а уређај постаје строжи него што је последњи администратор намеравао. То је цео разлог зашто претрага регистра овде доказује тако мало.
Држите границе одвојено док читате излаз. LmCompatibilityLevel је ниво одговора мрежне аутентификације, који одређује који ће изазов и одговор машина послати серверу; то није контрола која управља генерисањем акредитива за јединствену пријаву, па га снижавање не враћа пријаву. Да ли ће уређај уопште говорити NTLMv1 као мрежни протокол трећа је граница, а тренутна издања Windows 11 и Server 2025 већ су га одбацила. Credential Guard, четврта, штити тајне на уређају.
Повежите један покушај са једним догађајем
Репродукујте отказ једном, забележите минут, па прикупите локалне доказе у једном седењу. Три наредбе покривају билд, ефективну вредност и оперативни дневник NTLM-а у ком се бележи блокирано генерисање акредитива за јединствену пријаву:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageДогађај у истом тренутку као отказ јесте доказ. Догађај од јуче, са другог налога или дневник без иједног уноса није, а празан случај вреди забележити као празан, а не као доказ који недостаје. Microsoftове смернице за промене NTLMv1 наводе идентификатор догађаја за блокирано генерисање акредитива за јединствену пријаву, па упоредите Id са њим уместо да нагађате из текста поруке.
Држите заједно сопствену поруку клијента и поглед гејтвеја на исти покушај. Локална блокада генерисања акредитива, удаљено одбијање налога и нестала приватна рута после успешне пријаве имају три различита власника, а само је први питање Windows политике. Очистите догађај пре него што напусти тим: временска ознака и Id догађаја обично одговарају на питање без података о налогу.
Пређите на подржану методу пријаве
Ако је ефективна политика та блокада, одговор је подржан пут аутентификације, а не тихо враћање подразумеваног. Аутентификација заснована на сертификатима уобичајено је одредиште где је распоређивање подржава, и тражи упис, дистрибуцију поверења и гејтвеј који прихвата сертификате. Microsoftове смернице о предстојећим променама NTLMv1 документ је који се цитира када се случај прегледа.
Искључивање Credential Guard-а као експеримент уклања заштиту без заменске пријаве, а документована ограничења за вишекратно употребљиве акредитиве разлог су зашто је то дизајнерска одлука, а не дијагностички корак. Ако се одобри привремена изнимка, дајте јој обим, власника и датум укидања, и задржите независну административну руту до машине у случају да вас промена закључа изван везе која вам је потребна. Прихватни тест је намеравана аутентификација плус ресурс иза ње, а не нестанак једног локалног кода грешке.