VPN oturum açma reddedildi: kayıt defterinden önce derlemeyi denetleyin
Eksik bir kayıt defteri değeri, bir güncellemeden sonra kendi varsayılanını uyguluyor olabilir. Önce derleme düzeyini, geçerli ilkeyi ve eşleşen tek bir olayı okuyun.
Kimsenin kayıt defterini düzenlemediği bir makinede oturum açma reddediliyor ve forum yanıtı orada olmayan bir değerin eklenmesini söylüyor. Yokluk bulgu değildir. Windows varsayılan değerleri uygular, varsayılan bir değer yüklenen bir güncellemeyle değişebilir, bu nedenle cihazdaki geçerli ilke kayıt defterinin ima ettiğinden daha katı olabilir.
İstemcinin gerçekte gösterdiği hatayla başlayın
İkinci elden size ulaşan özeti değil, iletinin kendisini okuyun. Hemen dönen bir istem, tünel oluştuktan sonraki zaman aşımı ve yalnızca bağlantı oturum açmış hesabı yeniden kullanmaya çalıştığında ortaya çıkan hata üç ayrı durumdur. Yalnızca üçüncüsü tek oturum açmayla ilgilidir ve ilk ikisi bu makaledeki hiçbir şeyle düzelmez.
Kararı veren katman hangi günlüğün ona yanıt vereceğini belirler. Bu dört gözlem dört farklı sahibe işaret eder:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Tam metni, dakikayı ve hesap bağlamını bilete yazın. Denemenin etkileşimli mi otomatik mi olduğu Windows'un hangi bileşeninin çağrıyı yaptığını belirler ve VPN bozuk diyen bir rapor çoğu zaman reddedilen kimlik bilgilerini değil, eksik bir iç siteyi anlatır.
Eksik değeri değil, geçerli ilkeyi okuyun
Önce derleme ve güncelleme düzeyini belirleyin, çünkü NTLMv1'den türetilen kimlik bilgilerinin oluşturulmasına ilişkin varsayılan, listelenen Windows 11 ve Windows Server 2025 sürümlerinde değişti. Credential Guard kapalıyken ve BlockNtlmv1SSO ayarlanmamışken, 13 Ekim 2026 veya sonrasında yayımlanan bir güncelleme davranışı Denetimden Zorlamaya taşır ve o değeri hiçbir zaman oluşturmaz. Kayıt defterinde hiçbir şey görünmez ve cihaz son yöneticinin amaçladığından daha katı hale gelir. Kayıt defteri aramasının burada neden bu kadar az şey kanıtladığının tüm nedeni budur.
Çıktıyı okurken sınırları ayrı tutun. LmCompatibilityLevel, makinenin bir sunucuya hangi sınama ve yanıtı göndereceğini belirleyen ağ kimlik doğrulaması yanıt düzeyidir; tek oturum açma kimlik bilgisi oluşturmayı yöneten denetim değildir, bu nedenle düşürülmesi oturum açmayı geri getirmez. Cihazın NTLMv1'i bir ağ protokolü olarak konuşup konuşmayacağı üçüncü sınırdır ve mevcut Windows 11 ile Server 2025 sürümleri ondan zaten vazgeçti. Credential Guard, dördüncüsü, cihazdaki sırları korur.
Bir denemeyi bir olayla ilişkilendirin
Hatayı bir kez yeniden üretin, dakikayı not edin ve ardından yerel kanıtları tek bir oturumda toplayın. Üç komut derlemeyi, geçerli değeri ve engellenmiş tek oturum açma kimlik bilgisi oluşturmanın kaydedildiği NTLM işletim günlüğünü kapsar:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageHatanın yaşandığı anda gerçekleşen olay kanıttır. Dünden, başka bir hesaptan gelen veya hiç girdisi olmayan bir günlük kanıt değildir ve boş durumu eksik kanıt olarak değil, boş olarak kaydetmek gerekir. Microsoft'un NTLMv1 değişiklikleri konusundaki kılavuzu engellenmiş tek oturum açma kimlik bilgisi oluşturma için olay tanımlayıcısını belirtir, bu nedenle Id'yi iletinin metninden tahmin etmek yerine onunla karşılaştırın.
İstemcinin kendi iletisini ve ağ geçidinin aynı denemeye bakışını bir arada tutun. Yerel kimlik bilgisi oluşturma engeli, uzaktan hesap reddi ve başarılı oturum açmadan sonra eksik özel yol üç farklı sahibe aittir ve yalnızca birincisi bir Windows ilkesi sorunudur. Olayı ekipten ayrılmadan önce temizleyin: bir zaman damgası ve olay Id'si genellikle hesap ayrıntılarına gerek kalmadan soruyu yanıtlar.
Desteklenen bir oturum açma yöntemine geçin
Geçerli ilke bu engelse, yanıt varsayılanı sessizce geri almak değil, desteklenen bir kimlik doğrulama yoludur. Sertifika tabanlı kimlik doğrulama, dağıtımın desteklediği yerlerde olağan hedeftir ve kayıt, güven dağıtımı ile sertifikaları kabul eden bir ağ geçidi gerektirir. Microsoft'un yaklaşan NTLMv1 değişiklikleri konusundaki kılavuzu, olay incelenirken başvurulacak belgedir.
Credential Guard'ı bir deney olarak kapatmak, yedek bir oturum açma sunmadan korumayı kaldırır ve yeniden kullanılabilir kimlik bilgilerine ilişkin belgelenmiş kısıtlamalar bunun neden tanılama adımı değil, bir tasarım kararı olduğunun nedenidir. Geçici bir istisnaya izin verilirse ona kapsam, sahip ve sona erme tarihi verin ve değişiklik sizi ihtiyaç duyduğunuz bağlantıdan kilitlerse makineye bağımsız bir yönetim yolu tutun. Kabul testi amaçlanan kimlik doğrulama ve arkasındaki kaynaktır, yerel bir hata kodunun kaybolması değil.