LmCompatibilityLevel là chính sách của Windows, không phải bản sửa lỗi VPN

Ai đó không truy cập được một thư mục chia sẻ qua VPN, đọc thấy rằng hạ LmCompatibilityLevel khắc phục sự cố NTLM và thay đổi nó trên một máy chủ dùng chung. Sáng hôm sau các ứng dụng khác gặp lỗi, và vấn đề ban đầu vẫn còn đó. Cấu hình này chưa bao giờ là công tắc cho từng đường hầm; nó là một tuyên bố ở cấp máy về việc hệ thống này sẽ gửi và chấp nhận những phản hồi xác thực nào. Thay đổi nó để sửa một lần đăng nhập sẽ viết lại quy tắc cho mọi lần đăng nhập mà máy thực hiện.

Đọc các mức đã được ghi tài liệu là cách nhanh nhất để thôi coi một giá trị chính sách như một con số ma thuật.

Ba mức, ba lời hứa khác nhau

Mức 1 buộc máy khách gửi phản hồi LM và NTLM, dùng bảo mật phiên NTLMv2 khi quá trình thương lượng cho phép. Mức 3 buộc máy khách chỉ gửi phản hồi NTLMv2, điều này không giống với việc từ chối mọi phản hồi cũ ở phía nhận. Mức 5 giữ máy khách ở NTLMv2 và thêm việc bộ điều khiển miền từ chối LM và NTLMv1 theo tài liệu. Ba con số, và khác biệt giữa chúng là quyết định chính sách chứ không phải sở thích.

Những khác biệt đó giải thích vì sao sao chép một giá trị từ trường hợp đang chạy được là không đáng tin cậy. Chuyển một máy khách cấu hình sai từ 1 sang đường cơ sở đã được phê duyệt có thể là đúng. Chuyển một triển khai đã tăng cường từ 5 xuống 3 chỉ vì một chủ đề diễn đàn nhắc đến 3 là nới lỏng một ranh giới mà ai đó đã chọn có chủ đích, và điều đó áp dụng cho mọi dịch vụ mà máy giao tiếp.

Đọc chính sách hiệu lực, không phải một giá trị registry

Xem giá trị cục bộ ở chế độ chỉ đọc là một điểm khởi đầu hợp lý: Get-ItemProperty -LiteralPath 'HKLM:\System\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel. Việc thiếu giá trị không có nghĩa chính sách hiệu lực bằng không, vì chính sách miền hoặc chính sách bảo mật cục bộ có thể đặt nó ở nơi khác, và vai trò của máy thay đổi điều nó làm với con số đó.

Kiểm tra chính sách được quản lý, vai trò hệ thống và bản dựng thực tế trước khi kết luận bất cứ điều gì. Một máy trạm và một bộ điều khiển miền có cùng giá trị hành xử khác nhau ở đầu trên, và đó chính là phần người ta quên khi so sánh hai máy.

Xác định xác thực nào thực sự thất bại

Sự cố vé Kerberos, từ chối NTLM và lỗi vào VPN cần bằng chứng khác nhau. Giữ dịch vụ đích, tài khoản và lỗi chính xác cùng nhau trong một ghi chú, rồi xem dịch vụ yêu cầu gì thay vì máy khách thích gì. Chính ghi chú đó ngăn bước đi sai phổ biến nhất, tức là thay đổi một giá trị phía máy khách để đáp lại sự từ chối phía máy chủ.

Hạ chính sách lặp đi lặp lại cho đến khi lỗi đăng nhập chung biến mất không phải là chẩn đoán; đó là một thay đổi che giấu bằng chứng. Nếu ứng dụng dùng Kerberos, mức tương thích NTLM thậm chí không phải là biện pháp kiểm soát liên quan, và bạn đã nới lỏng một ranh giới mà không được gì.

Một số hỗ trợ giao thức không thể khôi phục

Windows 11 24H2 và Windows Server 2025 không còn bao gồm xác thực mạng NTLMv1 nữa. Không con số tương thích nào mang lại một giao thức mà bản dựng không còn triển khai, nên một bản hạ cấp tưởng như có ích trên bản phát hành cũ sẽ chỉ thất bại trên bản mới hơn. Microsoft ghi tài liệu việc loại bỏ đó tách biệt khỏi cấu hình chính sách, và trộn lẫn hai điều sẽ tạo ra lời khuyên không thể hoạt động.

Một hạn chế liên quan nhưng khác biệt áp dụng cho thông tin đăng nhập phái sinh từ NTLMv1 mà đăng nhập một lần dựa trên MSCHAPv2 sử dụng. Đó là câu hỏi về thông tin đăng nhập phái sinh, không phải bản thân giao thức mạng, và không phải giá trị registry này. Coi cả ba là cùng một chủ đề chính là cách các tổ chức cuối cùng làm suy yếu một biện pháp kiểm soát trong khi cố sửa một biện pháp khác.

Thay đổi nó qua chủ sở hữu, rồi kiểm tra cả hai hướng

Nếu thực sự cần sửa, hãy làm qua chủ sở hữu chính sách để đường cơ sở vẫn nhất quán, và ghi lại lý do. Sau đó kiểm tra một ứng dụng được cấp phép dưới cấu hình mới và một trường hợp xác thực bị cấm có chủ đích, vì một thay đổi sửa được một thư mục chia sẻ và âm thầm cho phép phản hồi cũ ở nơi khác không phải là thành công. Một kết nối VPN hoạt động chứng minh rằng việc vào mạng đã thành công. Nó không xác nhận chính sách xác thực của máy, và chắc chắn không cho thấy mọi dịch vụ phía sau vẫn hành xử như thiết kế.

Nếu dịch vụ đang lỗi dựa trên Kerberos, hãy ngừng hoàn toàn việc xem cấu hình này. Nếu đó là thiết bị cũ thực sự không thể tốt hơn, hãy ghi lại ngoại lệ đó và giới hạn phạm vi, vì lựa chọn thay thế là một đường cơ sở bị làm yếu đi một cách âm thầm mà không ai nhớ đã phê duyệt.