LmCompatibilityLevel ونڈوز کی پالیسی ہے، VPN کا حل نہیں

کسی کو VPN کے ذریعے فائل شیئر تک رسائی نہیں مل رہی، وہ پڑھتا ہے کہ LmCompatibilityLevel کم کرنے سے NTLM مسائل حل ہوتے ہیں، اور مشترکہ سرور پر اسے بدل دیتا ہے۔ اگلی صبح دیگر ایپلیکیشنز ناکام ہو جاتی ہیں، اور اصل مسئلہ اب بھی موجود ہے۔ یہ سیٹنگ کبھی بھی فی ٹنل سوئچ نہیں تھی؛ یہ پوری مشین کی سطح پر یہ بیان ہے کہ یہ نظام کون سے تصدیقی جوابات بھیجے گا اور قبول کرے گا۔ ایک لاگ اِن درست کرنے کے لیے اسے بدلنا مشین کے ہر لاگ اِن کے قواعد دوبارہ لکھ دیتا ہے۔

دستاویز شدہ سطحوں کو پڑھنا پالیسی ویلیو کو جادوئی عدد سمجھنا چھوڑنے کا تیز ترین طریقہ ہے۔

تین سطحیں، تین مختلف وعدے

سطح 1 کلائنٹ کو LM اور NTLM جوابات بھیجنے پر مجبور کرتی ہے، اور جب گفت و شنید اجازت دے تو NTLMv2 سیشن سیکیورٹی استعمال کرتی ہے۔ سطح 3 کلائنٹ کو صرف NTLMv2 جوابات بھیجنے پر مجبور کرتی ہے، جو وصول کرنے والے کی طرف ہر پرانے جواب کو مسترد کرنے کے برابر نہیں۔ سطح 5 کلائنٹ کو NTLMv2 پر رکھتی ہے اور ڈومین کنٹرولر کی جانب سے LM اور NTLMv1 کی دستاویز شدہ مستردگی شامل کرتی ہے۔ تین اعداد، اور ان کے درمیان فرق ترجیح نہیں بلکہ پالیسی کا فیصلہ ہے۔

یہی فرق بتاتے ہیں کہ کام کرنے والے کیس سے ویلیو کاپی کرنا قابلِ اعتماد کیوں نہیں۔ غلط کنفیگر شدہ کلائنٹ کو 1 سے منظور شدہ بنیادی خط پر منتقل کرنا درست ہو سکتا ہے۔ سخت گیر تعیناتی کو 5 سے 3 پر لانا صرف اس لیے کہ کسی فورم تھریڈ میں 3 کا ذکر تھا، ایسی حد کو ڈھیلا کرتا ہے جو کسی نے جان بوجھ کر منتخب کی تھی، اور یہ مشین کے بات کرنے والے ہر سروس کے لیے کرتا ہے۔

موثر پالیسی پڑھیں، ایک رجسٹری ویلیو نہیں

مقامی ویلیو پر صرف پڑھنے والی نظر ایک معقول نقطہ آغاز ہے: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel۔ ویلیو کا نہ ہونا اس بات کا مطلب نہیں کہ موثر پالیسی صفر ہے، کیونکہ ڈومین یا مقامی سیکیورٹی پالیسی اسے کہیں اور مقرر کر سکتی ہے، اور مشین کا کردار بدل دیتا ہے کہ یہ اس عدد کے ساتھ کیا کرتی ہے۔

کوئی نتیجہ نکالنے سے پہلے منظم پالیسی، نظام کا کردار اور اصل بلڈ چیک کریں۔ ایک ہی ویلیو والا ورک سٹیشن اور ڈومین کنٹرولر اوپری سرے پر مختلف برتاؤ کرتے ہیں، اور دو مشینیں موازنہ کرتے وقت لوگ یہی حصہ بھول جاتے ہیں۔

شناخت کریں کہ اصل میں کون سی تصدیق ناکام ہوئی

Kerberos ٹکٹ کے مسائل، NTLM مستردگیاں اور VPN میں داخلے کی ناکامیاں مختلف ثبوت مانگتی ہیں۔ ہدف سروس، اکاؤنٹ اور درست خرابی کو ایک ہی نوٹ میں ساتھ رکھیں، پھر دیکھیں کہ سروس نے کیا مانگا، نہ کہ کلائنٹ کیا ترجیح دیتا ہے۔ وہی ایک نوٹ سب سے عام غلط موڑ کو روکتا ہے، یعنی سرور کی طرف کی مستردگی کا جواب دینے کے لیے کلائنٹ کی طرف ویلیو بدلنا۔

عام لاگ اِن خرابی کے غائب ہونے تک پالیسی کو بار بار کم کرنا تشخیص نہیں؛ یہ ایسی تبدیلی ہے جو ثبوت چھپاتی ہے۔ اگر ایپلیکیشن Kerberos استعمال کرتی ہے تو NTLM مطابقت کی سطح متعلقہ کنٹرول بھی نہیں، اور آپ نے بے کار حد ڈھیلی کی ہے۔

کچھ پروٹوکول سپورٹ بحال نہیں کی جا سکتی

Windows 11 24H2 اور Windows Server 2025 میں اب NTLMv1 نیٹ ورک تصدیق بالکل شامل نہیں۔ کوئی مطابقت عدد ایسا پروٹوکول واپس نہیں لاتا جو بلڈ اب نافذ نہیں کرتا، اس لیے پرانی ریلیز پر مدد دینے والا ڈاؤن گریڈ نئی پر محض ناکام ہو گا۔ مائیکروسافٹ اس ہٹاوٹ کو پالیسی سیٹنگ سے الگ دستاویز کرتا ہے، اور دونوں کو ملانا ایسا مشورہ بناتا ہے جو کام نہیں کر سکتا۔

متعلقہ مگر مختلف پابندی MSCHAPv2 پر مبنی سنگل سائن اِن کے استعمال کردہ NTLMv1 سے ماخوذ اسناد پر لاگو ہوتی ہے۔ یہ ماخوذ اسناد کا سوال ہے، خود نیٹ ورک پروٹوکول کا نہیں، اور نہ اس ایک رجسٹری ویلیو کا۔ تینوں کو ایک ہی موضوع سمجھنا وہ راستہ ہے جس پر تنظیمیں ایک کنٹرول کمزور کرتی ہیں جبکہ دوسرا درست کرنے کی کوشش کرتی ہیں۔

مالک کے ذریعے اسے بدلیں، پھر دونوں سمتوں کو جانچیں

اگر واقعی اصلاح ضروری ہو تو اسے پالیسی کے مالک کے ذریعے کریں تاکہ بنیادی خط ہم آہنگ رہے، اور کیوں، یہ درج کریں۔ پھر نئی سیٹنگ کے تحت مجاز ایپلیکیشن اور جان بوجھ کر ممنوع تصدیق کا کیس جانچیں، کیونکہ ایک شیئر درست کرنے اور کہیں اور پرانے جوابات کو خاموشی سے اجازت دینے والی تبدیلی کامیابی نہیں۔ کام کرنے والا VPN کنکشن ثابت کرتا ہے کہ داخلہ کامیاب ہوا۔ یہ مشین کی تصدیق پالیسی کی توثیق نہیں کرتا، اور یقیناً یہ نہیں دکھاتا کہ اس کے پیچھے ہر سروس اب بھی ڈیزائن کے مطابق برتاؤ کرتی ہے۔

اگر ناکام ہونے والی سروس Kerberos پر مبنی ہے تو اس سیٹنگ کی طرف دیکھنا مکمل طور پر بند کر دیں۔ اور اگر یہ کوئی پرانا آلہ ہے جو واقعی اس سے بہتر نہیں کر سکتا، تو اس استثنا کو دستاویز کریں اور اس کا دائرہ مقرر کریں، کیونکہ متبادل وہ خاموشی سے کمزور کیا گیا بنیادی خط ہے جسے کسی کو منظور کرنا یاد نہیں۔