LmCompatibilityLevel — bu Windows siyosati, VPN yechimi emas

Kimdir VPN orqali fayl almashinuviga yeta olmaydi, LmCompatibilityLevel ni pasaytirish NTLM muammolarini hal qiladi deb o'qiydi va uni umumiy serverda o'zgartiradi. Ertasi kuni ertalab boshqa ilovalar ishlamay qoladi, asl muammo esa joyida qoladi. Bu sozlama hech qachon alohida tunnel uchun kalit bo'lmagan; u butun kompyuter darajasida bu tizim qanday autentifikatsiya javoblarini yuborishi va qabul qilishini bildiruvchi bayonot. Uni bitta kirishni tuzatish uchun o'zgartirish kompyuter amalga oshiradigan har bir kirish qoidalarini qayta yozadi.

Hujjatlashtirilgan darajalarni o'qish siyosat qiymatini sehrli raqam deb qabul qilishni to'xtatishning eng tez yo'lidir.

Uch daraja, uch xil va'da

1-daraja mijozni LM va NTLM javoblarini yuborishga majbur qiladi va muzokaralar ruxsat berganda NTLMv2 sessiya xavfsizligidan foydalanadi. 3-daraja mijozni faqat NTLMv2 javoblarini yuborishga majbur qiladi, bu qabul qiluvchi tomonda har bir eski javobni rad etish bilan bir xil emas. 5-daraja mijozni NTLMv2 da ushlab turadi va domen boshqaruvchisining LM va NTLMv1 ni hujjatlashtirilgan rad etishini qo'shadi. Uchta raqam, va ular orasidagi farq afzallik emas, siyosat qaroridir.

Bu farqlar ishlaydigan holatdan qiymat nusxalash nima uchun ishonchsiz ekanini tushuntiradi. Noto'g'ri sozlangan mijozni 1 dan tasdiqlangan asosiy chiziqqa ko'chirish to'g'ri bo'lishi mumkin. Qattiqlashtirilgan joylashtirishni 5 dan 3 ga tushirish faqat forum mavzusida 3 tilga olingani uchun kimdir ataylab tanlagan chegarani yumshatadi va buni kompyuter gaplashadigan har bir xizmat uchun qiladi.

Amaldagi siyosatni o'qing, bitta reyestr qiymatini emas

Mahalliy qiymatga faqat o'qish uchun qarash o'rinli boshlanish nuqtasidir: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Qiymatning yo'qligi amaldagi siyosat nolga teng degani emas, chunki domen yoki mahalliy xavfsizlik siyosati uni boshqa joyda belgilashi mumkin, kompyuterning roli esa bu raqam bilan nima qilishini o'zgartiradi.

Biron xulosa qilishdan oldin boshqariladigan siyosatni, tizim rolini va haqiqiy buildni tekshiring. Bir xil qiymatga ega ish stantsiyasi va domen boshqaruvchisi yuqori chekkada boshqacha tutadi, va ikki kompyuterni solishtirganda odamlar aynan shu qismni unutadi.

Aslida qaysi autentifikatsiya muvaffaqiyatsiz bo'lganini aniqlang

Kerberos chiptasi muammolari, NTLM radlari va VPN ga kirishdagi nosozliklar turli dalillarni talab qiladi. Maqsadli xizmatni, hisobni va aniq xatoni bitta eslatmada birga saqlang, keyin mijoz nimani afzal ko'rishini emas, xizmat nimani so'raganini ko'ring. O'sha bitta eslatma eng keng tarqalgan xato burilishni oldini oladi, ya'ni server tomonidagi radga javob berish uchun mijoz tomonidagi qiymatni o'zgartirishni.

Umumiy kirish xatosi yo'qolguncha siyosatni qayta-qayta pasaytirish diagnostika emas; bu dalilni yashiruvchi o'zgarish. Agar ilova Kerberos ishlatsa, NTLM muvofiqligi darajasi hatto tegishli boshqaruv ham emas, va siz chegarani bekorga yumshatdingiz.

Ba'zi protokol qo'llab-quvvatlashni tiklab bo'lmaydi

Windows 11 24H2 va Windows Server 2025 endi NTLMv1 tarmoq autentifikatsiyasini umuman o'z ichiga olmaydi. Hech qanday muvofiqlik raqami build endi amalga oshirmaydigan protokolni qaytarmaydi, shuning uchun eski versiyada yordam bergan pasaytirish yangisida shunchaki muvaffaqiyatsiz bo'ladi. Microsoft bu olib tashlashni siyosat sozlamasidan alohida hujjatlashtiradi, ikkalasini aralashtirish esa ishlay olmaydigan maslahat yaratadi.

Tegishli, ammo boshqacha cheklov MSCHAPv2 asosidagi yagona kirish ishlatadigan NTLMv1 dan olingan hisob ma'lumotlariga taalluqlidir. Bu olingan hisob ma'lumotlari masalasi, tarmoq protokolining o'zi emas va bu bitta reyestr qiymati ham emas. Uchalasini bir mavzu deb qabul qilish tashkilotlar bir nazoratni zaiflashtirib, boshqasini tuzatishga urinadigan yo'ldir.

Uni egasi orqali o'zgartiring, keyin ikkala yo'nalishni sinab ko'ring

Agar tuzatish haqiqatan kerak bo'lsa, asosiy chiziq izchil qolishi uchun uni siyosat egasi orqali qiling va sababini yozib qo'ying. Keyin yangi sozlamada ruxsat etilgan ilovani va ataylab taqiqlangan autentifikatsiya holatini sinab ko'ring, chunki bitta almashinuvni tuzatib, boshqa joyda eski javoblarga indamay yo'l qo'yadigan o'zgarish muvaffaqiyat emas. Ishlaydigan VPN ulanishi kirish muvaffaqiyatli bo'lganini isbotlaydi. U kompyuterning autentifikatsiya siyosatini tasdiqlamaydi va uning orqasidagi har bir xizmat hali ham loyihalashtirilganidek ishlashini aniq ko'rsatmaydi.

Agar muvaffaqiyatsiz xizmat Kerberos asosida bo'lsa, bu sozlamaga qarashni butunlay to'xtating. Agar u haqiqatan yaxshiroq qila olmaydigan eski qurilma bo'lsa, bu istisnoni hujjatlashtiring va uning doirasini belgilang, chunki alternativa hech kim uni tasdiqlaganini eslay olmaydigan indamay zaiflashtirilgan asosiy chiziqdir.