VPN میں سائن اِن مسترد: رجسٹری سے پہلے بلڈ دیکھیں
رجسٹری میں موجود نہ ہونے والی قدر اپ ڈیٹ کے بعد اپنا ڈیفالٹ نافذ کر سکتی ہے۔ پہلے بلڈ کی سطح، مؤثر پالیسی اور ایک مماثل واقعہ پڑھیں۔
سائن اِن ایسی مشین پر مسترد ہوتا ہے جہاں کسی نے رجسٹری میں ترمیم نہیں کی، اور فورم کا جواب کہتا ہے کہ وہ قدر شامل کریں جو وہاں موجود نہیں۔ عدم موجودگی بذات خود نتیجہ نہیں۔ Windows ڈیفالٹ قدریں لاگو کرتا ہے، نصب شدہ اپ ڈیٹ کے ساتھ ڈیفالٹ بدل سکتا ہے، اور اسی لیے ڈیوائس پر مؤثر پالیسی رجسٹری کے اشارے سے زیادہ سخت ہو سکتی ہے۔
اُس خرابی سے شروع کریں جو کلائنٹ نے واقعی دکھائی
دوسرے ہاتھ سے ملنے والا خلاصہ نہیں، پیغام پڑھیں۔ فوراً واپس آنے والی درخواست، ٹنل بننے کے بعد وقت کا ختم ہونا، اور صرف اُس وقت ظاہر ہونے والی ناکامی جب کنکشن لاگ اِن شدہ اکاؤنٹ کو دوبارہ استعمال کرنے کی کوشش کرتا ہے — یہ تین الگ صورتحال ہیں۔ صرف تیسرے کا سنگل سائن اِن سے کوئی تعلق ہے، اور پہلے دو اس مضمون کی کسی چیز سے ٹھیک نہیں ہوں گے۔
جس طبقے نے فیصلہ کیا وہی طے کرتا ہے کہ کون سا لاگ اُس کا جواب دیتا ہے۔ یہ چار مشاہدات چار مختلف مالکان کی طرف اشارہ کرتے ہیں:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
ٹکٹ میں درست متن، منٹ اور اکاؤنٹ کا سیاق لکھیں۔ کوشش انٹرایکٹو تھی یا خودکار، یہ طے کرتا ہے کہ Windows کا کون سا جزو کال کر رہا تھا، اور یہ کہنے والی رپورٹ کہ VPN خراب ہے اکثر مسترد شدہ اسناد کے بجائے کسی غائب داخلی سائٹ کی وضاحت کرتی ہے۔
غائب قدر نہیں، مؤثر پالیسی پڑھیں
پہلے بلڈ اور اپ ڈیٹ کی سطح طے کریں، کیونکہ NTLMv1 سے ماخوذ اسناد بنانے کا ڈیفالٹ درج شدہ Windows 11 اور Windows Server 2025 ریلیز میں بدل گیا ہے۔ Credential Guard بند اور BlockNtlmv1SSO مقرر نہ ہونے کی صورت میں، 13 اکتوبر 2026 یا اس کے بعد جاری ہونے والی اپ ڈیٹ رویے کو آڈٹ سے نفاذ میں منتقل کرتی ہے، وہ قدر کبھی بنائے بغیر۔ رجسٹری میں کچھ نظر نہیں آتا، اور ڈیوائس آخری منتظم کے ارادے سے زیادہ سخت ہو جاتی ہے۔ یہی پوری وجہ ہے کہ یہاں رجسٹری کی تلاش اتنا کم ثابت کرتی ہے۔
آؤٹ پٹ پڑھتے وقت حدود کو الگ رکھیں۔ LmCompatibilityLevel نیٹ ورک توثیق کے جواب کی سطح ہے، جو طے کرتی ہے کہ مشین سرور کو کون سا چیلنج اور جواب بھیجے گی؛ یہ وہ کنٹرول نہیں جو سنگل سائن اِن اسناد کی تشکیل کو کنٹرول کرتا ہے، اس لیے اُسے کم کرنا سائن اِن بحال نہیں کرتا۔ ڈیوائس NTLMv1 کو بطور نیٹ ورک پروٹوکول بالکل بولے گی یا نہیں، یہ تیسری حد ہے، اور موجودہ Windows 11 اور Server 2025 ریلیز اُسے پہلے ہی ترک کر چکی ہیں۔ Credential Guard، چوتھا، ڈیوائس پر رازوں کی حفاظت کرتا ہے۔
ایک کوشش کو ایک واقعہ سے جوڑیں
ناکامی کو ایک بار دوبارہ پیدا کریں، منٹ نوٹ کریں، پھر ایک ہی نشست میں مقامی شہادتیں جمع کریں۔ تین کمانڈز بلڈ، مؤثر قدر اور NTLM کے عملی لاگ کو ڈھانپتی ہیں جہاں مسدود سنگل سائن اِن اسناد کی تشکیل درج ہوتی ہے:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Messageناکامی کے عین اسی لمحے کا واقعہ شہادت ہے۔ کل کا، کسی دوسرے اکاؤنٹ کا، یا بغیر کسی اندراج کے لاگ شہادت نہیں ہے، اور خالی صورت کو غائب شہادت کے طور پر نہیں، خالی کے طور پر درج کرنا مناسب ہے۔ NTLMv1 تبدیلیوں کے بارے میں Microsoft کی رہنمائی مسدود سنگل سائن اِن اسناد کی تشکیل کے لیے واقعہ شناخت کنندہ بتاتی ہے، اس لیے پیغام کے متن سے اندازہ لگانے کے بجائے Id کا اُس سے موازنہ کریں۔
کلائنٹ کا اپنا پیغام اور اسی کوشش پر گیٹ وے کا نظریہ ساتھ رکھیں۔ مقامی اسناد کی تشکیل کی روک، دور دراز اکاؤنٹ کی مستردگی، اور کامیاب سائن اِن کے بعد غائب نجی راستہ — ان کے تین الگ مالک ہیں، اور Windows پالیسی کا سوال صرف پہلا ہے۔ ٹیم سے روانگی سے پہلے واقعہ صاف کریں: ٹائم اسٹیمپ اور واقعہ Id عام طور پر اکاؤنٹ کی تفصیلات کے بغیر سوال کا جواب دیتے ہیں۔
معاون سائن اِن طریقے کی طرف جائیں
اگر مؤثر پالیسی وہی روک ہے، تو جواب ڈیفالٹ کو خاموشی سے اُلٹنا نہیں، بلکہ معاون توثیقی راستہ ہے۔ سرٹیفکیٹ پر مبنی توثیق وہاں معمول کا منزل ہے جہاں تعیناتی اُس کی حمایت کرتی ہے، اور اُس کے لیے اندراج، اعتماد کی تقسیم اور سرٹیفکیٹ قبول کرنے والا گیٹ وے درکار ہے۔ NTLMv1 کی آئندہ تبدیلیوں کے بارے میں Microsoft کی رہنمائی وہ دستاویز ہے جس کا حوالہ کیس کے جائزے کے وقت دیا جاتا ہے۔
تجربے کے طور پر Credential Guard بند کرنا متبادل سائن اِن دیے بغیر تحفظ ہٹا دیتا ہے، اور دوبارہ استعمال کے قابل اسناد پر درج پابندیاں ہی وجہ ہیں کہ یہ تشخیصی مرحلہ نہیں بلکہ ڈیزائن کا فیصلہ ہے۔ اگر عارضی استثنا کی اجازت دی جائے تو اُسے دائرہ، مالک اور اختتامی تاریخ دیں، اور اگر تبدیلی آپ کو مطلوبہ کنکشن سے باہر کر دے تو مشین تک خودمختار انتظامی راستہ رکھیں۔ قبولیت کا امتحان مطلوبہ توثیق اور اُس کے پیچھے کا وسیلہ ہے، مقامی خرابی کوڈ کا غائب ہونا نہیں۔