LmCompatibilityLevel bir Windows ilkesidir, VPN düzeltmesi değil

Bir kişi VPN üzerinden bir dosya paylaşımına ulaşamıyor, LmCompatibilityLevel değerini düşürmenin NTLM sorunlarını çözdüğünü okuyor ve bunu paylaşılan bir sunucuda değiştiriyor. Ertesi sabah başka uygulamalar başarısız oluyor ve asıl sorun hâlâ orada. Bu ayar hiçbir zaman tünel başına bir anahtar olmadı; bu sistemin hangi kimlik doğrulama yanıtlarını göndereceğine ve kabul edeceğine dair makine düzeyinde bir beyandır. Tek bir oturum açmayı düzeltmek için değiştirmek, makinenin gerçekleştirdiği her oturum açmanın kurallarını yeniden yazar.

Belgelenen düzeyleri okumak, bir ilke değerini sihirli sayı olarak görmeyi bırakmanın en hızlı yoludur.

Üç düzey, üç farklı vaat

Düzey 1, istemcinin LM ve NTLM yanıtları göndermesini sağlar ve görüşme izin verdiğinde NTLMv2 oturum güvenliğini kullanır. Düzey 3, istemcinin yalnızca NTLMv2 yanıtları göndermesini sağlar; bu, alıcı tarafta her eski yanıtı reddetmekle aynı şey değildir. Düzey 5, istemciyi NTLMv2'de tutar ve etki alanı denetleyicisinin belgelenen LM ve NTLMv1 reddini ekler. Üç sayı ve aralarındaki fark bir tercih değil, ilke kararıdır.

Bu farklar, çalışan bir durumdan değer kopyalamanın neden güvenilmez olduğunu açıklar. Yanlış yapılandırılmış bir istemciyi 1'den onaylanmış temel çizgiye taşımak doğru olabilir. Sağlamlaştırılmış bir dağıtımı, yalnızca bir forum başlığı 3'ten söz ettiği için 5'ten 3'e düşürmek, birinin bilerek seçtiği sınırı gevşetir ve bunu makinenin konuştuğu her hizmet için yapar.

Yürürlükteki ilkeyi okuyun, tek bir kayıt defteri değerini değil

Yerel değere salt okunur bir bakış makul bir başlangıç noktasıdır: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Değerin bulunmaması, yürürlükteki ilkenin sıfır olduğu anlamına gelmez; çünkü bir etki alanı veya yerel güvenlik ilkesi bunu başka bir yerde ayarlayabilir ve makinenin rolü bu sayıyla ne yaptığını değiştirir.

Herhangi bir sonuca varmadan önce yönetilen ilkeyi, sistem rolünü ve gerçek derlemeyi denetleyin. Aynı değere sahip bir iş istasyonu ile etki alanı denetleyicisi üst uçta farklı davranır ve iki makineyi karşılaştırırken insanların unuttuğu kısım tam da burasıdır.

Gerçekte hangi kimlik doğrulamanın başarısız olduğunu belirleyin

Kerberos bileti sorunları, NTLM redleri ve VPN kabul hataları farklı kanıtlar gerektirir. Hedef hizmeti, hesabı ve tam hatayı tek bir notta birlikte tutun, ardından istemcinin neyi tercih ettiğine değil, hizmetin ne istediğine bakın. O tek not, en yaygın yanlış adımı önler: sunucu tarafındaki bir redde yanıt vermek için istemci tarafındaki bir değeri değiştirmek.

Genel bir oturum açma hatası kaybolana kadar bir ilkeyi tekrar tekrar düşürmek tanı değildir; kanıtı gizleyen bir değişikliktir. Uygulama Kerberos kullanıyorsa, NTLM uyumluluk düzeyi ilgili denetim bile değildir ve sınırı boşuna gevşetmişsinizdir.

Bazı protokol desteği geri getirilemez

Windows 11 24H2 ve Windows Server 2025 artık NTLMv1 ağ kimlik doğrulamasını hiç içermiyor. Hiçbir uyumluluk sayısı, derlemenin artık uygulamadığı bir protokolü geri getirmez; bu yüzden eski bir sürümde yardımcı olan bir düşürme, yeni bir sürümde yalnızca başarısız olur. Microsoft bu kaldırmayı ilke ayarından ayrı belgeler ve ikisini karıştırmak çalışamayacak öneriler üretir.

İlgili ama farklı bir kısıtlama, MSCHAPv2 tabanlı tek oturum açmanın kullandığı NTLMv1'den türetilen kimlik bilgileri için geçerlidir. Bu türetilmiş kimlik bilgileri sorunudur, ağ protokolünün kendisi değil ve bu tek kayıt defteri değeri de değil. Üçünü aynı konu olarak ele almak, kuruluşların bir denetimi zayıflatırken başka birini onarmaya çalışmasının yoludur.

Sahibi aracılığıyla değiştirin, sonra iki yönü de test edin

Gerçekten bir düzeltme gerekiyorsa, temel çizginin tutarlı kalması için ilke sahibi aracılığıyla yapın ve nedenini kaydedin. Ardından yeni ayar altında yetkili bir uygulamayı ve kasıtlı olarak yasaklanmış bir kimlik doğrulama durumunu test edin; çünkü bir paylaşımı onarıp başka bir yerde eski yanıtlara sessizce izin veren bir değişiklik başarı değildir. Çalışan bir VPN bağlantısı, kabulün başarılı olduğunu kanıtlar. Makinenin kimlik doğrulama ilkesini doğrulamaz ve arkasındaki her hizmetin hâlâ tasarlandığı gibi davrandığını kesinlikle göstermez.

Başarısız olan hizmet Kerberos tabanlıysa bu ayara bakmayı tamamen bırakın. Gerçekten daha iyisini yapamayan eski bir cihazsa, bu istisnayı belgeleyin ve kapsamını sınırlayın; çünkü alternatif, kimsenin onayladığını hatırlamadığı sessizce zayıflatılmış bir temel çizgidir.