LmCompatibilityLevel ni sera ya Windows, si suluhisho la VPN

Mtu hawezi kufikia sehemu ya faili kupitia VPN, anasoma kwamba kupunguza LmCompatibilityLevel kunarekebisha matatizo ya NTLM, na anabadilisha kwenye seva inayoshirikiwa. Asubuhi iliyofuata programu nyingine zinashindikana, na tatizo la awali bado lipo. Mpangilio huu haujawahi kuwa swichi ya handaki moja; ni tamko la ngazi ya kompyuta kuhusu majibu gani ya uthibitishaji mfumo huu utatuma na kukubali. Kuubadilisha ili kurekebisha kuingia moja huandika upya kanuni za kila kuingia ambako kompyuta hufanya.

Kusoma ngazi zilizoandikwa ni njia ya haraka zaidi ya kuacha kuchukua thamani ya sera kama namba ya uchawi.

Ngazi tatu, ahadi tatu tofauti

Ngazi ya 1 inalazimisha mteja kutuma majibu ya LM na NTLM, ikitumia usalama wa kikao cha NTLMv2 wakati majadiliano yanaruhusu. Ngazi ya 3 inalazimisha mteja kutuma majibu ya NTLMv2 pekee, jambo ambalo si sawa na kukataa kila jibu la zamani kwa upande wa mpokeaji. Ngazi ya 5 inaweka mteja kwenye NTLMv2 na kuongeza kukataa kulikoandikwa kwa LM na NTLMv1 na kidhibiti cha kikoa. Namba tatu, na tofauti kati yao ni uamuzi wa sera, si upendeleo.

Tofauti hizo zinaeleza kwa nini kunakili thamani kutoka kwenye kisa kinachofanya kazi hakuaminiki. Kuhamisha mteja aliyesanidiwa vibaya kutoka 1 kwenda mstari wa msingi ulioidhinishwa kunaweza kuwa sahihi. Kuhamisha usambazaji ulioimarishwa kutoka 5 kwenda 3 kwa sababu tu uzi wa jukwaa ulitaja 3 hulegeza mpaka ambao mtu alichagua kwa makusudi, na hufanya hivyo kwa kila huduma ambayo kompyuta inazungumza nayo.

Soma sera inayotumika, si thamani moja ya rejista

Kuangalia thamani ya ndani kwa kusoma tu ni mahali pazuri pa kuanzia: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Thamani kutokuwepo haimaanishi sera inayotumika ni sifuri, kwa sababu sera ya kikoa au sera ya usalama ya ndani inaweza kuiweka mahali pengine, na jukumu la kompyuta hubadilisha inachofanya na namba hiyo.

Kagua sera inayosimamiwa, jukumu la mfumo na build halisi kabla ya kuhitimisha chochote. Kituo cha kazi na kidhibiti cha kikoa chenye thamani sawa hutenda tofauti kwenye upande wa juu, na hiyo ni sehemu ambayo watu husahau wanapolinganisha kompyuta mbili.

Tambua ni uthibitishaji gani ulishindikana kwa kweli

Matatizo ya tikiti za Kerberos, kukataa kwa NTLM na kushindikana kwa kuingia VPN zinahitaji ushahidi tofauti. Weka huduma lengwa, akaunti na kosa kamili pamoja katika kumbuka moja, kisha angalia kile huduma iliomba badala ya kile mteja anapendelea. Kumbuka hilo moja huzuia hatua mbaya inayojulikana zaidi, yaani kubadilisha thamani ya upande wa mteja ili kujibu kukataa kwa upande wa seva.

Kupunguza sera mara kwa mara hadi kosa la jumla la kuingia litoweke si utambuzi; ni mabadiliko yanayoficha ushahidi. Ikiwa programu inatumia Kerberos, ngazi ya utangamano wa NTLM hata si udhibiti unaohusika, na umelegeza mpaka bure.

Baadhi ya msaada wa itifaki hauwezi kurejeshwa

Windows 11 24H2 na Windows Server 2025 hazijumuishi tena uthibitishaji wa mtandao wa NTLMv1 hata kidogo. Hakuna namba ya utangamano inayorudisha itifaki ambayo build haitekelezi tena, kwa hivyo kupunguza kwa toleo la zamani ambako kuliisaidia kutashindikana tu kwenye toleo jipya. Microsoft huandika kuondolewa huko kando na mpangilio wa sera, na kuchanganya mawili huzalisha ushauri ambao hauwezi kufanya kazi.

Kizuizi kinachohusiana lakini tofauti kinatumika kwa vitambulisho vinavyotokana na NTLMv1 ambavyo hutumiwa na kuingia mara moja kunakotegemea MSCHAPv2. Ni swali la vitambulisho vinavyotokana, si itifaki ya mtandao yenyewe, na si thamani hii moja ya rejista. Kuchukua zote tatu kama mada moja ndiyo njia ambayo mashirika huishia kudhoofisha udhibiti mmoja wakati yakijaribu kurekebisha mwingine.

Ibadilishe kupitia mmiliki, kisha jaribu pande zote mbili

Ikiwa marekebisho yanahitajika kweli, yafanye kupitia mmiliki wa sera ili mstari wa msingi ubaki sawia, na andika kwa nini. Kisha jaribu programu iliyoidhinishwa chini ya mpangilio mpya na kisa cha uthibitishaji kilichokatazwa kwa makusudi, kwa sababu mabadiliko yanayorekebisha sehemu moja na kuruhusu kwa utulivu majibu ya zamani mahali pengine si mafanikio. Muunganisho wa VPN unaofanya kazi unathibitisha kwamba kuingia kulifanikiwa. Hauhakikishi sera ya uthibitishaji ya kompyuta, na kwa hakika hauonyeshi kwamba kila huduma iliyo nyuma yake bado inatenda kama ilivyobuniwa.

Ikiwa huduma inayoshindikana inategemea Kerberos, acha kabisa kuangalia mpangilio huu. Ikiwa ni kifaa cha zamani ambacho kwa kweli hakiwezi kufanya bora, andika ubaguzi huo na ueleze wigo wake, kwa sababu mbadala ni mstari wa msingi uliodhoofishwa kwa utulivu ambao hakuna anayekumbuka kuuidhinisha.