Вхід у VPN відхилено: спершу перевірте збірку, а не реєстр
Відсутнє значення реєстру може після оновлення застосовувати власне значення за замовчуванням. Спершу прочитайте рівень збірки, чинну політику та одну відповідну подію.
Вхід відхиляється на машині, де ніхто не редагував реєстр, а відповідь на форумі радить додати значення, якого там немає. Відсутність — не знахідка. Windows застосовує значення за замовчуванням, значення за замовчуванням може змінитися зі встановленим оновленням, і тому чинна політика на пристрої може бути суворішою, ніж підказує реєстр.
Почніть з помилки, яку клієнт справді показав
Читайте повідомлення, а не переказ, що дійшов до вас з других рук. Запит, що одразу повертається, тайм-аут після утворення тунелю й збій, що з'являється лише тоді, коли з'єднання намагається повторно використати обліковий запис, у який виконано вхід, — це три різні ситуації. Лише третя взагалі стосується єдиного входу, і перші дві ніщо в цій статті не виправить.
Шар, який ухвалив рішення, визначає, який журнал на нього відповідає. Ці чотири спостереження вказують на чотирьох різних власників:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Запишіть у заявку точний текст, хвилину й контекст облікового запису. Інтерактивною була спроба чи автоматичною — це визначає, який компонент Windows виконав виклик, а звіт «VPN зламано» часто описує відсутній внутрішній сайт, а не відхилені облікові дані.
Читайте чинну політику, а не відсутнє значення
Спершу визначте рівень збірки й оновлення, бо значення за замовчуванням для генерації облікових даних, похідних від NTLMv1, змінилося в перелічених випусках Windows 11 і Windows Server 2025. За вимкненого Credential Guard і незаданого BlockNtlmv1SSO оновлення, випущене 13 жовтня 2026 року або пізніше, переводить поведінку з аудиту в примусове застосування, так і не створивши цього значення. У реєстрі нічого не з'являється, і пристрій стає суворішим, ніж задумував останній адміністратор. Саме тому пошук у реєстрі так мало тут доводить.
Тримайте межі окремо, читаючи вивід. LmCompatibilityLevel — рівень відповіді мережевої автентифікації, який визначає, який виклик і відповідь машина надішле серверу; це не елемент керування, що регулює генерацію облікових даних єдиного входу, тому його зниження не відновлює вхід. Чи машина взагалі говоритиме NTLMv1 як мережевим протоколом — третя межа, і поточні випуски Windows 11 та Server 2025 уже відмовилися від нього. Credential Guard, четверта, захищає секрети на пристрої.
Зіставте одну спробу з однією подією
Відтворіть збій один раз, позначте хвилину, потім зберіть локальні докази за один сеанс. Три команди охоплюють збірку, чинне значення й операційний журнал NTLM, куди записується заблокована генерація облікових даних єдиного входу:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageПодія в ту саму мить, що й збій, — це доказ. Подія з учора, з іншого облікового запису або журнал без жодного запису — ні, і порожній випадок варто записати як порожній, а не як відсутній доказ. Настанови Microsoft щодо змін NTLMv1 називають ідентифікатор події для заблокованої генерації облікових даних єдиного входу, тож порівнюйте Id з ним, а не вгадуйте з тексту повідомлення.
Тримайте разом повідомлення самого клієнта й погляд шлюзу на ту саму спробу. Локальне блокування генерації облікових даних, віддалена відмова в обліковому записі та відсутній приватний маршрут після успішного входу мають трьох різних власників, і лише перший — питання політики Windows. Очистьте подію, перш ніж вона залишить команду: позначка часу й Id події зазвичай відповідають на питання без даних облікового запису.
Перейдіть на підтримуваний спосіб входу
Якщо чинна політика — це блокування, відповідь — підтримуваний шлях автентифікації, а не тихе повернення значення за замовчуванням. Автентифікація на основі сертифікатів — звична мета там, де розгортання її підтримує, і вона потребує реєстрації, розповсюдження довіри та шлюзу, що приймає сертифікати. Настанови Microsoft щодо майбутніх змін NTLMv1 — документ, на який посилаються під час розгляду справи.
Вимкнення Credential Guard як експеримент прибирає захист, не даючи заміни входу, а задокументовані обмеження щодо багаторазово використовуваних облікових даних — причина, чому це рішення проєктування, а не діагностичний крок. Якщо дозволено тимчасовий виняток, дайте йому обсяг, власника й дату скасування, і зберігайте незалежний шлях адміністрування до машини на випадок, якщо зміна відріже вас від потрібного з'єднання. Приймальний тест — це передбачена автентифікація плюс ресурс за нею, а не зникнення одного локального коду помилки.