Đăng nhập VPN bị từ chối: kiểm tra bản dựng trước sổ đăng ký
Một giá trị thiếu trong sổ đăng ký có thể đang áp đặt mặc định của chính nó sau một bản cập nhật. Hãy đọc trước mức bản dựng, chính sách hiệu lực và một sự kiện khớp.
Đăng nhập bị từ chối trên một máy mà không ai chỉnh sửa sổ đăng ký, và câu trả lời trên diễn đàn bảo thêm một giá trị không có ở đó. Sự vắng mặt không phải là phát hiện. Windows áp dụng các giá trị mặc định, một giá trị mặc định có thể thay đổi khi cài bản cập nhật, và do đó chính sách hiệu lực trên thiết bị có thể nghiêm ngặt hơn những gì sổ đăng ký gợi ý.
Bắt đầu từ lỗi mà máy khách thực sự hiển thị
Đọc thông báo, không đọc bản tóm tắt đến với bạn qua người khác. Một lời nhắc trả về ngay lập tức, một thời gian chờ sau khi đường hầm hình thành, và một lỗi chỉ xuất hiện khi kết nối cố dùng lại tài khoản đã đăng nhập là ba tình huống khác nhau. Chỉ tình huống thứ ba liên quan đến đăng nhập một lần, và hai tình huống đầu sẽ không được khắc phục bởi bất cứ điều gì trong bài viết này.
Lớp đã ra quyết định xác định nhật ký nào trả lời nó. Bốn quan sát này chỉ ra bốn chủ sở hữu khác nhau:
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
Ghi văn bản chính xác, phút và ngữ cảnh tài khoản vào phiếu. Việc lần thử là tương tác hay tự động xác định thành phần Windows nào đã thực hiện lệnh gọi, và một báo cáo nói VPN hỏng thường mô tả một trang nội bộ bị thiếu chứ không phải thông tin xác thực bị từ chối.
Đọc chính sách hiệu lực, không đọc giá trị bị thiếu
Trước tiên hãy xác định mức bản dựng và bản cập nhật, vì giá trị mặc định cho việc tạo thông tin xác thực bắt nguồn từ NTLMv1 đã thay đổi trong các bản phát hành Windows 11 và Windows Server 2025 được liệt kê. Khi Credential Guard tắt và BlockNtlmv1SSO chưa được đặt, một bản cập nhật phát hành vào hoặc sau ngày 13 tháng Mười năm 2026 sẽ chuyển hành vi từ Kiểm toán sang Thực thi mà không bao giờ tạo giá trị đó. Không có gì xuất hiện trong sổ đăng ký, và thiết bị trở nên nghiêm ngặt hơn mức quản trị viên cuối cùng dự định. Đó là toàn bộ lý do khiến việc tìm kiếm trong sổ đăng ký chứng minh được rất ít ở đây.
Giữ tách biệt các ranh giới khi đọc đầu ra. LmCompatibilityLevel là mức phản hồi xác thực mạng, quyết định máy sẽ gửi thách thức và phản hồi nào tới máy chủ; nó không phải là kiểm soát điều chỉnh việc tạo thông tin xác thực đăng nhập một lần, vì vậy hạ nó xuống không khôi phục đăng nhập. Việc thiết bị có nói NTLMv1 như một giao thức mạng hay không là ranh giới thứ ba, và các bản phát hành hiện tại của Windows 11 và Server 2025 đã từ bỏ nó. Credential Guard, ranh giới thứ tư, bảo vệ bí mật trên thiết bị.
Liên kết một lần thử với một sự kiện
Tái tạo lỗi một lần, ghi lại phút, sau đó thu thập bằng chứng cục bộ trong một lần ngồi. Ba lệnh bao quát bản dựng, giá trị hiệu lực và nhật ký vận hành NTLM nơi ghi lại việc tạo thông tin xác thực đăng nhập một lần bị chặn:
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, MessageMột sự kiện đúng thời điểm lỗi là bằng chứng. Một sự kiện từ hôm qua, từ tài khoản khác hoặc một nhật ký không có mục nào thì không phải, và trường hợp trống đáng được ghi là trống chứ không phải bằng chứng bị thiếu. Hướng dẫn của Microsoft về các thay đổi NTLMv1 nêu định danh sự kiện cho việc tạo thông tin xác thực đăng nhập một lần bị chặn, vì vậy hãy so sánh Id với nó thay vì đoán từ nội dung thông báo.
Giữ cùng nhau thông báo của chính máy khách và góc nhìn của cổng vào về cùng lần thử. Việc chặn tạo thông tin xác thực cục bộ, việc từ chối tài khoản từ xa và một tuyến riêng bị thiếu sau khi đăng nhập thành công có ba chủ sở hữu khác nhau, và chỉ cái đầu tiên là câu hỏi chính sách Windows. Hãy làm sạch sự kiện trước khi nó rời khỏi nhóm: dấu thời gian và Id sự kiện thường trả lời câu hỏi mà không cần chi tiết tài khoản.
Chuyển sang phương thức đăng nhập được hỗ trợ
Nếu chính sách hiệu lực là việc chặn đó, câu trả lời là một đường xác thực được hỗ trợ chứ không phải việc âm thầm hoàn nguyên giá trị mặc định. Xác thực dựa trên chứng chỉ là đích thông thường ở nơi triển khai hỗ trợ nó, và nó cần đăng ký, phân phối tin cậy và một cổng vào chấp nhận chứng chỉ. Hướng dẫn của Microsoft về các thay đổi NTLMv1 sắp tới là tài liệu cần trích dẫn khi xem xét vụ việc.
Tắt Credential Guard như một thử nghiệm sẽ loại bỏ bảo vệ mà không cung cấp đăng nhập thay thế, và các hạn chế được ghi chép về thông tin xác thực có thể tái sử dụng là lý do khiến đây là quyết định thiết kế chứ không phải bước chẩn đoán. Nếu một ngoại lệ tạm thời được cho phép, hãy cấp cho nó phạm vi, người chịu trách nhiệm và ngày kết thúc, đồng thời duy trì một đường quản trị độc lập tới máy phòng khi thay đổi khóa bạn khỏi kết nối bạn cần. Bài kiểm tra chấp nhận là xác thực dự kiến cùng tài nguyên phía sau, không phải sự biến mất của một mã lỗi cục bộ.