लॉगिन ने कल काम किया. आज रिमोट डेस्कटॉप एनटीएलएम प्रमाणीकरण त्रुटि, या क्रेडएसएसपी एन्क्रिप्शन ओरेकल रिमेडिएशन के बारे में चचेरे भाई संदेश के साथ बंद हो जाता है। आपके विंडोज़ इंस्टालेशन में कुछ भी टूटा नहीं है - माइक्रोसॉफ्ट जानबूझकर एनटीएलएम को बंद कर रहा है, और इसका समाधान सेटिंग्स ऑर्डर है, रीइंस्टॉल नहीं।
एनटीएलएम, विंडोज़ एनटी युग का पुराना विंडोज़ प्रमाणीकरण प्रोटोकॉल है। यह रिले और पास-द-हैश हमलों के प्रति कमज़ोर है, इसलिए Microsoft ने NTLM को बंद कर दिया है और इसे चरणों में बंद कर रहा है। NTLMv1 को पहले ही Windows 11 संस्करण 24H2 और Windows Server 2025 से हटा दिया गया है, और जनवरी 2026 में Microsoft ने एक तीन-चरण योजना प्रकाशित की, जो भविष्य में Windows सर्वर रिलीज़ में डिफ़ॉल्ट रूप से अक्षम नेटवर्क NTLM के साथ समाप्त होती है। जब आपका पीसी या सर्वर अभी भी एनटीएलएम का उपयोग करने का प्रयास करता है और दूसरा पक्ष इसे स्वीकार नहीं करता है, तो आपको त्रुटियों का यह समूह मिलता है। ऊपर दिए गए वीडियो में, अंशू इस त्रुटि के रिमोट डेस्कटॉप संस्करण को लगभग एक मिनट में ठीक कर देता है - यहां इसके पीछे पूरा फिक्स ऑर्डर दिया गया है, सबसे सुरक्षित जांच से लेकर स्क्रीन पर सेटिंग बदलने तक।
त्रुटि बिल्कुल वैसी ही है जैसी उपयोगकर्ता इसे दूरस्थ डेस्कटॉप कनेक्शन में देखते हैं। शब्दांकन वास्तविक विंडोज़ संवाद का एक उदाहरण है।
आपके इंस्टालेशन में कुछ भी भ्रष्ट नहीं है. कनेक्शन का एक पक्ष अभी भी एनटीएलएम - या पुराना क्रेडएसएसपी संस्करण पेश कर रहा है - और दूसरे पक्ष को इसे अस्वीकार करने के लिए अद्यतन या सख्त किया गया है। तीन ट्रिगर लगभग हर मामले का कारण बनते हैं:
चूँकि इसका कारण एक नीति या प्रोटोकॉल बेमेल है, विंडोज़ को पुनः स्थापित करने से आपका दिन बर्बाद होने के अलावा कुछ भी नहीं बदलता है - वही नीतियाँ और वही अद्यतन डिफ़ॉल्ट सीधे वापस आ जाते हैं।
BlockNtlmv1SSO को ऑडिट से एनफोर्स तक फ़्लिप कर दिया, जो वाई-फाई, वायर्ड 802.1X और वीपीएन कनेक्शन के लिए NTLMv1-व्युत्पन्न सिंगल साइन-ऑन को ब्लॉक कर देता है।यह सबसे तेज़ वास्तविक समाधान है और इसके लिए किसी सेटिंग की आवश्यकता नहीं है। एनटीएलएम का आधुनिक प्रतिस्थापन केर्बरोस केवल तभी काम करता है जब आप किसी मशीन को उसके नाम से संबोधित करते हैं, क्योंकि टिकट उसी नाम से जारी किया जाता है।
यदि नाम वहां जुड़ता है जहां आईपी पता विफल हुआ, तो आपकी समस्या हमेशा एनटीएलएम फ़ॉलबैक थी - और इसे पहले से ही सुरक्षित तरीके से हल किया गया है।
mstsc के साथ रिमोट डेस्कटॉप कनेक्शन खोलेंSERVER01 या SERVER01.office.local - नहीं 192.168.1.50इस त्रुटि परिवार का CredSSP आधा हिस्सा पूरी तरह से एक पैच-स्तरीय बेमेल है: पैच किया गया पक्ष आपके क्रेडेंशियल्स की सुरक्षा के लिए अप्रकाशित पक्ष से बात करने से इंकार कर देता है (यह व्यवहार CredSSP भेद्यता CVE-2018-0886 के कारण मौजूद है)। Microsoft का अपना अनुशंसित समाधान सरल है और अक्सर छोड़ दिया जाता है:
इन त्रुटियों की एक आश्चर्यजनक संख्या यहाँ गायब हो जाती है। केवल तभी जारी रखें जब दोनों पक्ष पूरी तरह से अपडेट हों और त्रुटि बनी रहे।
यह वह तरीका है जिसे अंशू स्क्रीन पर प्रदर्शित करते हैं। आप जिस मशीन तक पहुंचने का प्रयास कर रहे हैं, रिमोट सेटिंग्स फिर से चयनित हो जाती हैं ताकि होस्ट कनेक्शन को स्पष्ट रूप से स्वीकार कर सके:
यह क्यों काम करता है: नेटवर्क लेवल ऑथेंटिकेशन (एनएलए) क्रेडएसएसपी का उपयोग करके सत्र खुलने से पहले साइन-इन करता है - जो कि ठीक उसी जगह है जहां एनटीएलएम ब्लॉक हमला करता है। एनएलए को बंद करने से साइन-इन सामान्य विंडोज लॉगऑन स्क्रीन पर चला जाता है, जिससे कनेक्शन हो जाता है।
mstsc से फिर से कनेक्ट करेंकार्यालयों में, ब्लॉक आमतौर पर रिमोट टैब के बजाय ग्रुप पॉलिसी से आता है। CredSSP नीति Computer Configuration - Administrative Templates - System - Credentials Delegation - Encryption Oracle Remediation पर रहती है। इसके तीन स्तर HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters के अंतर्गत रजिस्ट्री मान AllowEncryptionOracle के रूप में भी संग्रहीत हैं:
gpupdate /force के साथ परिवर्तन लागू करें और पुनरारंभ करें। सही दीर्घकालिक उत्तर हमेशा होता है: बिना पैच वाली मशीन को पैच करें, फिर लेवल 0 या 1 पर वापस जाएं।
0 - अद्यतनित ग्राहकों को बाध्य करें: सुरक्षित अंतिम स्थिति। केवल ग्राहकों को पैच किया गया।1 - कम किया गया: एक उचित मध्य स्तर जबकि कुछ मशीनें अभी भी अपडेट की जा रही हैं।2 - असुरक्षित: पुराने व्यवहार की अनुमति देता है। बिना पैच वाली मशीन तक पहुंचने के लिए इसे केवल एक छोटे पुल के रूप में उपयोग करें, फिर इसे हटा दें।यदि लक्ष्य मशीन स्वयं एनटीएलएम लॉगऑन को अस्वीकार कर देती है, तो Computer Configuration - Windows Settings - Security Settings - Local Policies - Security Options के अंतर्गत दो और सेटिंग्स देखें:
एक समय में एक सेटिंग बदलें और प्रत्येक परिवर्तन के बाद परीक्षण करें। शॉटगन परिवर्तन से अगली समस्या का पता लगाना असंभव हो जाता है।
लाइव प्रदर्शन के साथ पूरी प्रक्रिया - प्रत्येक सेटिंग चरण दर चरण स्क्रीन पर दिखाई जाएगी।
Watch Full Videoक्योंकि कनेक्शन के एक पक्ष ने एनटीएलएम से प्रमाणित करने का प्रयास किया और दूसरा पक्ष अब इसे स्वीकार नहीं करता है। सामान्य ट्रिगर कंप्यूटर नाम के बजाय आईपी पते से कनेक्ट हो रहे हैं, नीति या हालिया अपडेट द्वारा सख्त लक्ष्य मशीन, या विंडोज 11 24H2 और विंडोज सर्वर 2025 से एनटीएलएमवी1 को हटाना।
नहीं, ब्लॉक प्रोटोकॉल डिफ़ॉल्ट और नीतियों से आता है, क्षतिग्रस्त सिस्टम फ़ाइलों से नहीं। पुनः स्थापित करने पर वही अद्यतन डिफ़ॉल्ट पुनर्स्थापित हो जाते हैं, इसलिए त्रुटि वापस आ जाती है। इसके बजाय फिक्स ऑर्डर के माध्यम से कार्य करें: कंप्यूटर का नाम, दोनों सिरों पर अपडेट, रिमोट टैब उपयोगकर्ता और एनएलए, फिर क्रेडएसएसपी और एनटीएलएम नीतियां।
यह एक वैध अस्थायी समाधान है और यह वही है जो कई लोगों को वापस लाता है, क्योंकि अवरुद्ध एनटीएलएम एक्सचेंज एनएलए चरण के दौरान होता है। लेकिन एनएलए सत्र खुलने से पहले प्रमाणित करने के लिए मौजूद है, इसलिए इसे बंद करने से लॉगऑन स्क्रीन नेटवर्क पर स्थायी रूप से उजागर हो जाती है। वास्तविक कारण ठीक हो जाने पर इसे पुनः सक्षम करें।