VPN 登录被拒：先查版本，再看注册表
更新之后，缺失的注册表值可能在强制执行它自己的默认值。请先读取内部版本级别、生效策略和一条对应的事件。
在一台没人改过注册表的机器上登录被拒，论坛的答案却让你添加一个根本不存在的值。缺失本身并不是结论。Windows 会应用默认值，默认值可能随已安装的更新而改变，因此设备上的生效策略可能比注册表所显示的更严格。
从客户端实际显示的错误开始
读那条消息，而不是别人转述给你的总结。提示立刻返回、隧道建立之后超时、以及只有连接试图复用已登录账户时才出现的失败，是三种不同的情况。只有第三种才涉及单点登录，前两种不会被本文中的任何内容修好。
做出决策的那一层决定了该看哪份日志。以下四种观察指向四个不同的责任方：
| What you observe | Where the decision was made | Who owns the fix |
|---|---|---|
| The prompt returns before the tunnel forms | Local credential handling on the client | Device policy or the installed build |
| Authentication succeeds, no internal site loads | Routing or access control after login | The gateway or network owner |
| Fails only when the logged-on account is reused | SSO credential generation | The policy boundary this page covers |
| Every user on one build fails | Update level or vendor regression | Patch management |
把准确的原文、分钟数和账户上下文写进工单。尝试是交互式还是自动式，决定了是哪个 Windows 组件发起的调用；而“VPN 坏了”的报告，往往描述的是内部站点缺失，而不是凭据被拒。
读生效策略，而不是读缺失的值
先确定版本与更新级别，因为 NTLMv1 派生凭据生成的默认值在所列的 Windows 11 和 Windows Server 2025 版本中已经改变。在 Credential Guard 关闭且 BlockNtlmv1SSO 未设置时，2026 年十月 13 日或之后发布的更新会把行为从审核移到强制，而根本不会创建那个值。注册表里什么都不会出现，设备会比上一位管理员的本意更严格。这正是这里查注册表几乎证明不了什么的原因。
读输出时要把这些边界分开。LmCompatibilityLevel 是网络身份验证响应级别，它决定机器向服务器发送什么样的质询和响应；它不是管单点登录凭据生成的控件，所以调低它并不能恢复登录。设备是否还会把 NTLMv1 当作网络协议来谈，是第三条边界，而当前的 Windows 11 和 Server 2025 版本已经放弃了它。第四条，Credential Guard，保护设备上的机密。
把一次尝试与一个事件对应起来
复现一次故障，记下分钟数，然后一次把本地证据取齐。三条命令覆盖版本、生效值，以及记录被阻止的单点登录凭据生成的 NTLM 运行日志：
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, OsVersion
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LmCompatibilityLevel
Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 30 | Select-Object TimeCreated, Id, Message与故障同一时刻的事件才是证据。昨天的、别的账户的，或者一条记录都没有的日志都不是；空结果值得记成“空”，而不是“缺少证据”。微软关于 NTLMv1 变更的指南给出了被阻止的单点登录凭据生成的事件 ID，所以拿 Id 去对照它，而不是从消息文本里猜。
把客户端自己的消息和网关对同一次尝试的看法放在一起。本地凭据生成被阻止、远端账户被拒、登录成功后缺少专用路由，三者属于三个不同的责任方，只有第一个是 Windows 策略问题。事件离开团队之前先做脱敏：时间戳和事件 Id 通常就能回答问题，用不着账户细节。
改用受支持的登录方式
如果生效策略就是那道拦截，答案是一条受支持的身份验证路径，而不是悄悄把默认值改回去。在部署支持的地方，基于证书的身份验证是通常的去向，它需要注册、信任分发，以及接受证书的网关。复查案例时应引用微软关于即将到来的 NTLMv1 变更的指南。
把 Credential Guard 当作实验关掉，会在没有替代登录的情况下移除保护；关于可重用凭据的成文限制，正是这一点属于设计决策而非诊断步骤的原因。如果批准临时例外，就给它范围、责任人和废止日期，并保留一条独立的管理通道，以防这次变更把你锁在所必需的连接之外。验收标准是预定的身份验证加上其后的资源，而不是某个本地错误码消失。