LmCompatibilityLevel என்பது Windows கொள்கை, VPN தீர்வு அல்ல

ஒருவர் VPN வழியாக கோப்பு பகிர்வை அடைய முடியவில்லை, LmCompatibilityLevel குறைப்பது NTLM சிக்கல்களை சரிசெய்கிறது என்று படித்து, பகிரப்பட்ட சேவையகத்தில் அதை மாற்றுகிறார். அடுத்த நாள் காலையில் மற்ற பயன்பாடுகள் தோல்வியடைகின்றன, அசல் சிக்கல் இன்னும் அப்படியே உள்ளது. இந்த அமைப்பு ஒருபோதும் ஒவ்வொரு சுரங்கப்பாதைக்கும் ஒரு சுவிட்சாக இருந்ததில்லை; இது இந்த அமைப்பு எந்த அங்கீகார பதில்களை அனுப்பி ஏற்கும் என்பதைப் பற்றிய இயந்திர அளவிலான அறிக்கை. ஒரு உள்நுழைவை சரிசெய்ய அதை மாற்றுவது இயந்திரம் செய்யும் ஒவ்வொரு உள்நுழைவுக்கான விதிகளை மீண்டும் எழுதுகிறது.

ஆவணப்படுத்தப்பட்ட நிலைகளைப் படிப்பது கொள்கை மதிப்பை மந்திர எண்ணாகக் கருதுவதை நிறுத்த வேகமான வழி.

மூன்று நிலைகள், மூன்று வேறுபட்ட உறுதிமொழிகள்

நிலை 1 வாடிக்கையாளரை LM மற்றும் NTLM பதில்களை அனுப்ப வைக்கிறது, பேச்சுவார்த்தை அனுமதிக்கும்போது NTLMv2 அமர்வு பாதுகாப்பைப் பயன்படுத்துகிறது. நிலை 3 வாடிக்கையாளரை NTLMv2 பதில்களை மட்டும் அனுப்ப வைக்கிறது, இது பெறும் பக்கத்தில் ஒவ்வொரு பழைய பதிலையும் மறுப்பதற்குச் சமமானது அல்ல. நிலை 5 வாடிக்கையாளரை NTLMv2 இல் வைத்து, களக் கட்டுப்படுத்தியின் ஆவணப்படுத்தப்பட்ட LM மற்றும் NTLMv1 மறுப்பைச் சேர்க்கிறது. மூன்று எண்கள், அவற்றுக்கிடையேயான இடைவெளி விருப்பம் அல்ல, கொள்கை முடிவு.

அந்த வேறுபாடுகளே செயல்படும் நிலையிலிருந்து மதிப்பை நகலெடுப்பது ஏன் நம்பகமற்றது என்பதை விளக்குகின்றன. தவறாக கட்டமைக்கப்பட்ட வாடிக்கையாளரை 1 இலிருந்து அங்கீகரிக்கப்பட்ட அடிப்படைக் கோட்டுக்கு நகர்த்துவது சரியாக இருக்கலாம். ஒரு மன்ற இழை 3 ஐக் குறிப்பிட்டதால் மட்டும் கடினப்படுத்தப்பட்ட வரிசைப்படுத்தலை 5 இலிருந்து 3 க்குக் குறைப்பது யாரோ வேண்டுமென்றே தேர்ந்தெடுத்த எல்லையைத் தளர்த்துகிறது, இயந்திரம் பேசும் ஒவ்வொரு சேவைக்கும் அதைச் செய்கிறது.

பயன்படுத்தப்படும் கொள்கையைப் படியுங்கள், ஒரு பதிவு மதிப்பை அல்ல

உள்ளூர் மதிப்பைப் படிக்க-மட்டும் பார்ப்பது நியாயமான தொடக்கப் புள்ளி: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. மதிப்பு இல்லாதது பயன்படுத்தப்படும் கொள்கை பூஜ்யம் என்று பொருள் அல்ல, ஏனெனில் களம் அல்லது உள்ளூர் பாதுகாப்புக் கொள்கை அதை வேறெங்காவது அமைக்கலாம், இயந்திரத்தின் பங்கு அந்த எண்ணுடன் அது என்ன செய்கிறது என்பதை மாற்றுகிறது.

எந்த முடிவுக்கும் வரும் முன் நிர்வகிக்கப்பட்ட கொள்கை, அமைப்பின் பங்கு மற்றும் உண்மையான build ஆகியவற்றைச் சரிபார்க்கவும். ஒரே மதிப்புள்ள பணிநிலையமும் களக் கட்டுப்படுத்தியும் மேல் முனையில் வேறுபட்டு நடக்கின்றன, இரண்டு இயந்திரங்களை ஒப்பிடும்போது மக்கள் அந்தப் பகுதியையே மறக்கிறார்கள்.

உண்மையில் எந்த அங்கீகாரம் தோல்வியடைந்தது என்பதை அடையாளம் காணுங்கள்

Kerberos டிக்கெட் சிக்கல்கள், NTLM மறுப்புகள் மற்றும் VPN நுழைவுத் தோல்விகளுக்கு வெவ்வேறு சான்றுகள் தேவை. இலக்கு சேவை, கணக்கு மற்றும் துல்லியமான பிழையை ஒரே குறிப்பில் சேர்த்து வைத்து, பின்னர் வாடிக்கையாளர் விரும்புவதை அல்ல, சேவை கேட்டதைப் பாருங்கள். அந்த ஒரே குறிப்பு மிகவும் பொதுவான தவறான திருப்பத்தைத் தடுக்கிறது, அதாவது சேவையகப் பக்க மறுப்புக்குப் பதிலளிக்க வாடிக்கையாளர் பக்க மதிப்பை மாற்றுவது.

பொதுவான உள்நுழைவுப் பிழை மறையும் வரை கொள்கையை மீண்டும் மீண்டும் குறைப்பது நோயறிதல் அல்ல; அது சான்றை மறைக்கும் மாற்றம். பயன்பாடு Kerberos ஐப் பயன்படுத்தினால், NTLM இணக்க நிலை தொடர்புடைய கட்டுப்பாடும் அல்ல, வீணாக ஒரு எல்லையைத் தளர்த்தியுள்ளீர்கள்.

சில நெறிமுறை ஆதரவை மீட்டெடுக்க முடியாது

Windows 11 24H2 மற்றும் Windows Server 2025 இனி NTLMv1 பிணைய அங்கீகாரத்தை முற்றிலும் கொண்டிருக்கவில்லை. build இனி செயல்படுத்தாத நெறிமுறையை எந்த இணக்க எண்ணும் திரும்பக் கொண்டுவராது, எனவே பழைய வெளியீட்டில் உதவிய தரமிறக்கம் புதியதில் வெறுமனே தோல்வியடையும். Microsoft அந்த நீக்கத்தைக் கொள்கை அமைப்பிலிருந்து தனியாக ஆவணப்படுத்துகிறது, இரண்டையும் கலப்பது வேலை செய்ய முடியாத ஆலோசனையை உருவாக்குகிறது.

தொடர்புடைய ஆனால் வேறுபட்ட கட்டுப்பாடு MSCHAPv2 அடிப்படையிலான ஒற்றை உள்நுழைவு பயன்படுத்தும் NTLMv1 இலிருந்து பெறப்பட்ட சான்றுகளுக்குப் பொருந்தும். இது பெறப்பட்ட சான்றுகளின் கேள்வி, பிணைய நெறிமுறையின் கேள்வியல்ல, இந்த ஒரு பதிவு மதிப்பின் கேள்வியும் அல்ல. மூன்றையும் ஒரே தலைப்பாகக் கருதுவதே நிறுவனங்கள் ஒரு கட்டுப்பாட்டை பலவீனப்படுத்தி மற்றொன்றை சரிசெய்ய முயலும் வழி.

உரிமையாளர் மூலம் அதை மாற்றுங்கள், பின்னர் இரு திசைகளையும் சோதிக்கவும்

உண்மையில் திருத்தம் தேவைப்பட்டால், அடிப்படைக் கோடு ஒத்திசைவாக இருக்க கொள்கை உரிமையாளர் மூலம் செய்யுங்கள், ஏன் என்று பதிவு செய்யுங்கள். பின்னர் புதிய அமைப்பின் கீழ் அங்கீகரிக்கப்பட்ட பயன்பாடு மற்றும் வேண்டுமென்றே தடைசெய்யப்பட்ட அங்கீகார நிகழ்வைச் சோதிக்கவும், ஏனெனில் ஒரு பகிர்வைச் சரிசெய்து வேறெங்கு பழைய பதில்களை அமைதியாக அனுமதிக்கும் மாற்றம் வெற்றி அல்ல. செயல்படும் VPN இணைப்பு நுழைவு வெற்றியடைந்ததை நிரூபிக்கிறது. அது இயந்திரத்தின் அங்கீகாரக் கொள்கையைச் சரிபார்க்காது, அதன் பின்னால் உள்ள ஒவ்வொரு சேவையும் இன்னும் வடிவமைக்கப்பட்டபடி நடக்கிறது என்பதை நிச்சயமாகக் காட்டாது.

தோல்வியடையும் சேவை Kerberos அடிப்படையிலானது என்றால், இந்த அமைப்பைப் பார்ப்பதை முழுவதுமாக நிறுத்துங்கள். அது உண்மையில் சிறப்பாகச் செய்ய முடியாத பழைய சாதனம் என்றால், அந்த விதிவிலக்கை ஆவணப்படுத்தி அதன் எல்லையைத் தீர்மானியுங்கள், ஏனெனில் மாற்று வழி யாரும் அங்கீகரித்ததாக நினைவில் இல்லாத அமைதியாக பலவீனப்படுத்தப்பட்ட அடிப்படைக் கோடு.