การลงชื่อเข้าใช้ VPN ถูกปฏิเสธ: ตรวจสอบบิลด์ก่อนรีจิสทรี
ค่าที่หายไปในรีจิสทรีอาจบังคับใช้ค่าเริ่มต้นของตัวเองหลังการอัปเดต อ่านระดับบิลด์ นโยบายที่มีผล และเหตุการณ์ที่ตรงกันหนึ่งรายการก่อน
การลงชื่อเข้าใช้ถูกปฏิเสธบนเครื่องที่ไม่มีใครแก้ไขรีจิสทรี และคำตอบในฟอรัมบอกให้เพิ่มค่าที่ไม่มีอยู่ การไม่มีอยู่ไม่ใช่ข้อค้นพบ Windows ใช้ค่าเริ่มต้น ค่าเริ่มต้นสามารถเปลี่ยนได้เมื่อมีการติดตั้งการอัปเดต ดังนั้นนโยบายที่มีผลบนอุปกรณ์อาจเข้มงวดกว่าที่รีจิสทรีบ่งชี้
เริ่มจากข้อผิดพลาดที่ไคลเอนต์แสดงจริง
อ่านข้อความ ไม่ใช่สรุปที่มาถึงคุณแบบมือสอง พรอมต์ที่กลับมาทันที การหมดเวลาหลังอุโมงค์เกิดขึ้น และความล้มเหลวที่ปรากฏเฉพาะเมื่อการเชื่อมต่อพยายามใช้บัญชีที่ลงชื่อเข้าใช้ซ้ำ เป็นสามสถานการณ์ที่แตกต่างกัน มีเพียงสถานการณ์ที่สามเท่านั้นที่เกี่ยวข้องกับการลงชื่อเข้าใช้ครั้งเดียว และสองสถานการณ์แรกจะไม่ได้รับการแก้ไขด้วยสิ่งใดในบทความนี้
ชั้นที่ตัดสินใจเป็นตัวกำหนดว่าบันทึกใดจะตอบคำถามนั้น การสังเกตสี่ประการนี้ชี้ไปยังเจ้าของที่แตกต่างกันสี่ราย:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
เขียนข้อความ นาที และบริบทของบัญชีลงในตั๋ว การที่ความพยายามเป็นแบบโต้ตอบหรืออัตโนมัติเป็นตัวกำหนดว่าส่วนประกอบใดของ Windows เป็นผู้เรียก และรายงานที่บอกว่า VPN เสียหายมักอธิบายไซต์ภายในที่หายไป ไม่ใช่ข้อมูลรับรองที่ถูกปฏิเสธ
อ่านนโยบายที่มีผล ไม่ใช่ค่าที่หายไป
กำหนดระดับบิลด์และการอัปเดตก่อน เพราะค่าเริ่มต้นสำหรับการสร้างข้อมูลรับรองที่ได้มาจาก NTLMv1 เปลี่ยนไปในรุ่นที่ระบุของ Windows 11 และ Windows Server 2025 เมื่อ Credential Guard ปิดอยู่และ BlockNtlmv1SSO ไม่ได้ตั้งค่า การอัปเดตที่เผยแพร่เมื่อวันที่ 13 ตุลาคม 2026 หรือหลังจากนั้นจะย้ายพฤติกรรมจากการตรวจสอบไปสู่การบังคับใช้โดยไม่เคยสร้างค่านั้นเลย ไม่มีสิ่งใดปรากฏในรีจิสทรี และอุปกรณ์จะเข้มงวดกว่าที่ผู้ดูแลระบบคนสุดท้ายตั้งใจไว้ นี่คือเหตุผลทั้งหมดที่การค้นหาในรีจิสทรีพิสูจน์ได้น้อยมากที่นี่
แยกขอบเขตออกจากกันขณะอ่านเอาต์พุต LmCompatibilityLevel คือระดับการตอบสนองของการรับรองความถูกต้องเครือข่าย ซึ่งกำหนดว่าคอมพิวเตอร์จะส่งคำท้าและคำตอบใดไปยังเซิร์ฟเวอร์ ไม่ใช่ตัวควบคุมที่กำกับการสร้างข้อมูลรับรองสำหรับการลงชื่อเข้าใช้ครั้งเดียว ดังนั้นการลดระดับลงจึงไม่ฟื้นการลงชื่อเข้าใช้ อุปกรณ์จะพูด NTLMv1 เป็นโปรโตคอลเครือข่ายหรือไม่เป็นขอบเขตที่สาม และรุ่นปัจจุบันของ Windows 11 และ Server 2025 ได้ละทิ้งไปแล้ว Credential Guard ซึ่งเป็นขอบเขตที่สี่ ปกป้องความลับบนอุปกรณ์
เชื่อมโยงความพยายามหนึ่งครั้งกับเหตุการณ์หนึ่งรายการ
สร้างความล้มเหลวซ้ำหนึ่งครั้ง บันทึกนาที แล้วรวบรวมหลักฐานในเครื่องในการนั่งครั้งเดียว สามคำสั่งครอบคลุมบิลด์ ค่าที่มีผล และบันทึกการดำเนินงานของ NTLM ซึ่งบันทึกการสร้างข้อมูลรับรองการลงชื่อเข้าใช้ครั้งเดียวที่ถูกบล็อก:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Messageเหตุการณ์ในเวลาเดียวกับความล้มเหลวคือหลักฐาน เหตุการณ์จากเมื่อวาน จากบัญชีอื่น หรือบันทึกที่ไม่มีรายการใดเลยไม่ใช่หลักฐาน และกรณีว่างควรบันทึกว่าเป็นค่าว่าง ไม่ใช่หลักฐานที่หายไป คำแนะนำของ Microsoft เกี่ยวกับการเปลี่ยนแปลง NTLMv1 ระบุตัวระบุเหตุการณ์สำหรับการสร้างข้อมูลรับรองการลงชื่อเข้าใช้ครั้งเดียวที่ถูกบล็อก ดังนั้นให้เปรียบเทียบ Id กับค่านั้นแทนการเดาจากข้อความ
เก็บข้อความของไคลเอนต์เองและมุมมองของเกตเวย์ต่อความพยายามเดียวกันไว้ด้วยกัน การบล็อกการสร้างข้อมูลรับรองในเครื่อง การปฏิเสธบัญชีจากระยะไกล และเส้นทางส่วนตัวที่หายไปหลังการลงชื่อเข้าใช้สำเร็จมีเจ้าของที่แตกต่างกันสามราย และมีเพียงรายแรกเท่านั้นที่เป็นคำถามเรื่องนโยบายของ Windows ทำความสะอาดเหตุการณ์ก่อนออกจากทีม: การประทับเวลาและ Id ของเหตุการณ์มักตอบคำถามได้โดยไม่ต้องมีรายละเอียดบัญชี
ย้ายไปยังวิธีการลงชื่อเข้าใช้ที่รองรับ
หากนโยบายที่มีผลคือการบล็อกนั้น คำตอบคือเส้นทางการรับรองความถูกต้องที่รองรับ ไม่ใช่การย้อนกลับค่าเริ่มต้นอย่างเงียบ ๆ การรับรองความถูกต้องตามใบรับรองเป็นปลายทางปกติในที่ที่การติดตั้งรองรับ และต้องมีการลงทะเบียน การกระจายความเชื่อถือ และเกตเวย์ที่ยอมรับใบรับรอง คำแนะนำของ Microsoft เกี่ยวกับการเปลี่ยนแปลง NTLMv1 ที่กำลังจะมาถึง เป็นเอกสารที่ควรอ้างอิงเมื่อทบทวนกรณี
การปิด Credential Guard เป็นการทดลองจะลบการป้องกันโดยไม่มีการลงชื่อเข้าใช้ทดแทน และข้อจำกัดที่บันทึกไว้เกี่ยวกับข้อมูลรับรองที่ใช้ซ้ำได้คือเหตุผลที่การตัดสินใจนี้เป็นการออกแบบ ไม่ใช่ขั้นตอนการวินิจฉัย หากได้รับอนุญาตให้ยกเว้นชั่วคราว ให้ระบุขอบเขต ผู้รับผิดชอบ และวันสิ้นสุด และเก็บเส้นทางการดูแลระบบที่เป็นอิสระไปยังเครื่องไว้ในกรณีที่การเปลี่ยนแปลงทำให้คุณถูกกันออกจากการเชื่อมต่อที่ต้องการ การทดสอบการยอมรับคือการรับรองความถูกต้องที่ตั้งใจไว้บวกกับทรัพยากรที่อยู่เบื้องหลัง ไม่ใช่การหายไปของรหัสข้อผิดพลาดในเครื่องเพียงรหัสเดียว