昨天还能正常运行的登录,在下一次 Windows 更新之后可能就是通不过了——而你并没有改动过服务器上的任何东西。
- 自 2026 年 10 月 13 日起,微软开始通过更新锁定 Windows 11 24H2 及更高版本和 Windows Server 2025 中残留的 NTLMv1。
- 注册表值
BlockNTLMv1SSO将由 0(仅监控)变为 1(强制执行)。该更新分阶段推送,并非同时到达所有人。 - 受影响的主要是旧应用程序、共享,以及域环境中的 MS-CHAPv2 等方式。使用 Kerberos 的话,通常不会察觉到任何变化。
微软现在具体改了什么
NTLM(NT LAN Manager)三十多年来一直是 Windows 网络中的一种身份验证方式。在域环境中,Kerberos 早已取代了它,但 NTLM 仍作为后备方案保留下来:如果某个参与方不支持 Kerberos,Windows 就会退回到 NTLM。问题恰恰出在这个后备方案上。至少从 Mandiant 公布用于破解的彩虹表以来,NTLMv1 在安全层面就已经被判了死刑。
微软其实已经把该协议本身从 Windows 11 24H2 和 Windows Server 2025 中移除。但在某些场景下仍会残留 NTLMv1 的加密机制,例如域环境中的 MS-CHAPv2。微软现在要关闭这些残留,方法是不再使用由 NTLMv1 派生的登录凭据。从技术上讲,这就是 BlockNTLMv1SSO 的默认值:
| 阶段 | BlockNTLMv1SSO 的值 | 作用 |
|---|---|---|
| 自 2025 年 9 月起 | 0 | 审核模式:记录 NTLMv1 的使用情况,不阻止任何操作 |
| 自 2026 年 10 月 13 日起 | 1 | 强制模式:NTLMv1-SSO 被禁用 |
谁会受影响,谁不会
这一改动涉及 Windows 11 24H2 及更高版本以及 Windows Server 2025。如果你的独立服务器上运行的是更旧的 Windows Server,更新方面的问题对你暂时靠后。不过还是值得看一眼:微软在 2026 年春季已将 NTLM 标记为「deprecated」(已弃用),并宣布将在下一个 Windows 版本中停用它。这条路只有一个方向。
网络中凡是仍依赖旧方式的地方都会变得棘手:
- 旧应用程序:无法通过 Kerberos 进行身份验证、依赖 NTLM 后备方案的软件。
- 共享和设备:NAS、扫描仪或第三方系统,它们只用旧的登录方式访问目录共享。实践中已经出现过一例:某个应用在 NTLM 改动之后访问目录共享时出了问题。
- MS-CHAPv2:建立在它之上的方式,例如域环境中的某些 VPN 或访问方案。
- 一个众所周知、实际上已被攻破的方式就此消失。
- 这种强制要求有助于终于把旧的依赖项清理干净。
- 旧系统可能毫无预警地失效。
- 分阶段推送使得时间点难以预测。
分五步检查你的服务器是否受影响
以下步骤需要在具有管理员权限的 PowerShell 中运行。事先做一个快照或备份——虽然你一开始并不会改动什么,但在做调整时你会想要有一条退路。
- 确认 Windows 版本。这一改动涉及 Windows Server 2025 和 Windows 11 24H2 及更高版本。
Get-ComputerInfo | Select-Object OsName, OsVersion - 查找 BlockNTLMv1SSO 的当前值。该命令会搜索注册表的 Control 分支。如果该值尚不存在,则适用默认值——而默认值会随更新而改变。
reg query HKLM\SYSTEM\CurrentControlSet\Control /s /f BlockNTLMv1SSO - 分析审核结果。在审核模式下,Windows 会记录哪些地方仍在使用 NTLMv1。如何启用并分析审核,请见微软的「Disabling NTLM」。把出现在那里的每个应用程序和每台设备都记下来。
- 把依赖项改为 Kerberos。这才是真正的解决办法。请使用服务器名称而不是 IP 地址进行连接,因为通过 IP 连接时 Windows 往往会退回到 NTLM。检查相关软件是否支持 Kerberos,如果支持,就将其更新。
- 在更新之前先测试。先把这一改动应用到服务器的副本上,而不是生产系统上,并把每一种登录途径都完整测试一遍。
BlockNTLMv1SSO 重新设为 0 很有诱惑力。这充其量只是一个过渡办法,用来为切换争取时间。对于一个可被公开的彩虹表破解的方式,你不会想在靠近互联网的服务器上长期允许它存在。如何判断已经成功
改用 Kerberos 并安装更新之后,检查三件事:
- 登录:每个已记录的应用程序和每个共享仍然可以正常登录。
- 审核日志:不再出现新的 NTLMv1 条目。
- 注册表值:再次执行
reg query命令,结果要么显示值 1,要么不再有条目,此时新的默认值生效。
NTLMv1 不是「会不会」的问题,而是「什么时候轮到你」的问题。
放在更大的背景下看 Windows 服务器
NTLMv1 只是其中一环。如果你的 Windows 服务器可以从互联网访问,你应该先把远程访问管好——怎么做,请见我们的文章 Windows RDP 公开可达:如何正确保护访问。如果你更愿意只通过加密隧道提供访问,可以在 独立服务器上的 VPN 服务器 中找到一种思路,让 RDP 根本不必直接暴露在网络上。
如果你计划新建一台 Windows 服务器,并且想直接从 Windows Server 2025 和 Kerberos 基础开始,请看看 Windows VPS。这样你从一开始就在测试新的默认设置,而不是事后再切换。
你本周的检查清单
- 清点:列出所有登录到你的 Windows 服务器的服务和设备。
- 审核:如果 NTLMv1 日志记录已启用,请分析其结果。
- Kerberos:能改的全部改过去——并为其余的计划好替换。
- 测试:在更新到达生产服务器之前,先在副本上检查这一改动。
关于时间表和注册表设置的详细信息,请见微软支持文章「Upcoming changes to NTLMv1 in Windows 11, version 24H2 and Windows Server 2025」。我们在此根据 Borns IT- und Windows-Blog 于 2026 年 10 月 13 日发布的提示汇总了这些要点。
