Ang LmCompatibilityLevel ay patakaran ng Windows, hindi pag-aayos ng VPN

May isang hindi makarating sa file share sa VPN, nabasa na inaayos ng pagbaba ng LmCompatibilityLevel ang mga problema sa NTLM, at binago ito sa isang shared server. Kinaumagahan, nabigo ang ibang mga aplikasyon, at naroon pa rin ang orihinal na problema. Ang setting na ito ay hindi kailanman naging switch para sa bawat tunnel; ito ay isang pahayag sa antas ng makina tungkol sa kung aling mga tugon ng authentication ang ipapadala at tatanggapin ng sistemang ito. Ang pagbabago nito para ayusin ang isang log on ay nagsusulat muli ng mga tuntunin para sa bawat log on na ginagawa ng makina.

Ang pagbasa sa mga dokumentadong antas ay ang pinakamabilis na paraan para itigil ang pagtrato sa isang halaga ng patakaran bilang mahiwagang numero.

Tatlong antas, tatlong magkaibang pangako

Ang antas 1 ay nagpapadala sa kliyente ng mga tugon na LM at NTLM, gamit ang seguridad ng session na NTLMv2 kapag pinapayagan ito ng negosasyon. Ang antas 3 ay nagpapadala sa kliyente ng mga tugon na NTLMv2 lamang, na hindi kapareho ng pagtanggi sa bawat lumang tugon sa panig ng tatanggap. Ang antas 5 ay nagpapanatili sa kliyente sa NTLMv2 at nagdaragdag ng dokumentadong pagtanggi ng domain controller sa LM at NTLMv1. Tatlong numero, at ang agwat sa pagitan nila ay desisyon sa patakaran at hindi kagustuhan.

Ipinapaliwanag ng mga pagkakaibang iyon kung bakit hindi mapagkakatiwalaan ang pagkopya ng halaga mula sa gumaganang kaso. Ang paglipat ng maling naka-configure na kliyente mula 1 patungo sa inaprubahang baseline ay maaaring tama. Ang paglipat ng hardening deployment mula 5 pababa sa 3 dahil lamang binanggit ng isang thread sa forum ang 3 ay nagpapaluwag sa hangganan na sinadya ng isang tao, at ginagawa ito para sa bawat serbisyong kausap ng makina.

Basahin ang epektibong patakaran, hindi isang halaga ng registry

Ang pagsulyap nang read-only sa lokal na halaga ay makatwirang simulang punto: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Ang kawalan ng halaga ay hindi nangangahulugang zero ang epektibong patakaran, dahil maaaring itakda ito ng patakaran ng domain o lokal na patakaran sa seguridad sa ibang lugar, at binabago ng tungkulin ng makina ang ginagawa nito sa numerong iyon.

Suriin ang pinamamahalaang patakaran, ang tungkulin ng sistema at ang aktwal na build bago maghinuha ng anuman. Ang workstation at domain controller na may parehong halaga ay magkaibang kumikilos sa itaas na dulo, at iyon ang bahaging nakakalimutan ng mga tao kapag naghahambing ng dalawang makina.

Tukuyin kung aling authentication ang aktwal na nabigo

Ang mga problema sa ticket ng Kerberos, pagtanggi ng NTLM at pagpalya ng pagpasok sa VPN ay nangangailangan ng magkaibang ebidensya. Panatilihing magkasama sa isang tala ang target na serbisyo, account at eksaktong error, pagkatapos tingnan ang hiningi ng serbisyo sa halip na ang gusto ng kliyente. Ang nag-iisang talang iyon ay pumipigil sa pinakakaraniwang maling hakbang, na ang pagbabago ng halaga sa panig ng kliyente para sagutin ang pagtanggi sa panig ng server.

Ang paulit-ulit na pagbaba ng patakaran hanggang mawala ang pangkalahatang error sa log on ay hindi diagnosis; ito ay pagbabagong nagtatago ng ebidensya. Kung gumagamit ng Kerberos ang aplikasyon, ang antas ng compatibility ng NTLM ay hindi man lamang ang kaugnay na kontrol, at nagpaluwag ka ng hangganan nang walang saysay.

May suporta sa protocol na hindi na maibabalik

Hindi na isinasama ng Windows 11 24H2 at Windows Server 2025 ang NTLMv1 network authentication. Walang numero ng compatibility ang nagbabalik ng protocol na hindi na ipinapatupad ng build, kaya ang downgrade na tumulong sa mas lumang release ay basta mabibigo sa mas bago. Dokumentado ng Microsoft ang pagtanggal na iyon nang hiwalay sa setting ng patakaran, at ang paghahalo ng dalawa ay gumagawa ng payong hindi maaaring gumana.

Ang kaugnay ngunit magkaibang paghihigpit ay nalalapat sa mga kredensyal na hinango sa NTLMv1 na ginagamit ng single sign-on na nakabatay sa MSCHAPv2. Ito ay tanong tungkol sa hinangong kredensyal, hindi sa mismong protocol ng network, at hindi sa nag-iisang halaga ng registry na ito. Ang pagtrato sa tatlo bilang isang paksa ay ang paraan kung paano napapahina ng mga organisasyon ang isang kontrol habang sinusubukang ayusin ang isa.

Baguhin ito sa pamamagitan ng may-ari, pagkatapos subukan ang dalawang direksyon

Kung talagang kailangan ang pagwawasto, gawin ito sa pamamagitan ng may-ari ng patakaran upang manatiling magkakaugnay ang baseline, at itala kung bakit. Pagkatapos subukan ang awtorisadong aplikasyon sa ilalim ng bagong setting at ang sadyang ipinagbabawal na kaso ng authentication, dahil ang pagbabagong nag-aayos ng isang share at tahimik na nagpapahintulot ng lumang tugon sa ibang lugar ay hindi tagumpay. Ang gumaganang koneksyon ng VPN ay nagpapatunay na nagtagumpay ang pagpasok. Hindi nito binibigyang-katwiran ang patakaran ng authentication ng makina, at tiyak na hindi nito ipinapakita na ang bawat serbisyo sa likod nito ay kumikilos pa rin ayon sa disenyo.

Kung ang serbisyong nabibigo ay nakabatay sa Kerberos, tuluyang itigil ang pagtingin sa setting na ito. Kung ito ay lumang device na talagang hindi na makakagawa ng mas mahusay, idokumento ang eksepsiyong iyon at itakda ang saklaw, dahil ang alternatibo ay isang tahimik na pinahinang baseline na walang nakakaalala na inaprubahan ito.