Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Thay đổi LAN Manager Authentication Level trên Windows 7 - Hướng dẫn chi tiết

LAN Manager Authentication Level là gì?

Quy định giao thức xác thực mạng (SMB/CIFS) mà Windows chấp nhận. Ảnh hưởng đến bảo mật chia sẻ file, in ấn, đăng nhập domain qua mạng.

Các cấp độ (từ yếu đến mạnh)

Level Setting Name Giao thức chấp nhận Độ an toàn
0 Send LM & NTLM responses LM, NTLM, NTLMv2 Rất yếu (LM dễ bị rainbow table, NTLMv1 dễ relay)
1 Send LM & NTLM - use NTLMv2 session security if negotiated LM, NTLM, NTLMv2 Yếu
2 Send NTLM only NTLM, NTLMv2 Trung bình
3 Send NTLMv2 only NTLMv2 Mạnh (khuyến nghị tối thiểu)
4 Send NTLMv2 only - refuse LM & NTLM Chỉ NTLMv2 Mạnh nhất (Khuyến nghị)
5 Send NTLMv2 only - refuse LM, NTLM & NTLMv2 (chỉ Kerberos) Kerberos only Mạnh nhất (chỉ môi trường thuần Kerberos)

Cách thay đổi qua Group Policy (Khuyên dùng)

  1. Mở gpedit.msc (Local Group Policy Editor) hoặc gpmc.msc (Domain GPO)
  2. Đường dẫn: Computer Configuration → Windows Settings → Security Settings → Local Policies → Security Options
  3. Tìm: "Network security: LAN Manager authentication level"
  4. Chuột phải → Properties → chọn level mong muốn (khuyên dùng: Level 4: Send NTLMv2 only - refuse LM & NTLM)
  5. Nhấn OK → chạy gpupdate /force hoặc reboot

Cách thay đổi qua Registry (Registry Editor)

  1. Mở regedit.exe
  2. Đường dẫn: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
  3. Tìm giá trị LmCompatibilityLevel (REG_DWORD). Nếu không có → New → DWORD (32-bit) Value → tên LmCompatibilityLevel
  4. Set giá trị (decimal):
    • 0 = Level 0 (LM & NTLM)
    • 1 = Level 1
    • 2 = Level 2 (NTLM only)
    • 3 = Level 3 (NTLMv2 only)
    • 4 = Level 4 (NTLMv2 only, refuse LM & NTLM) ← Khuyên dùng
    • 5 = Level 5 (Kerberos only)
  5. Khởi động lại máy tính

Reset về mặc định (Fix lỗi cấu hình)

  1. Tạo file Network_Security_Reset.reg với nội dung: 
    Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"LmCompatibilityLevel"=dword:00000003
  2. Double-click file → Yes → OK → Reboot
  3. Mặc định Windows 7/Server 2008 R2: Level 3 (Send NTLMv2 only)

Lưu ý quan trọng khi tăng mức độ bảo mật

  • Tương thích ngược: Level 4/5 có thể gây lỗi kết nối với:
    • Hệ thống cũ: Windows 95/98/NT 4.0, Windows 2000 (không SP4), Linux/Samba cũ, NAS cũ, máy in mạng cũ
    • Ứng dụng legacy dùng SMBv1 hoặc NTLMv1
  • Khuyến nghị:
    • Môi trường hiện đại (Win 7+ / Server 2008 R2+ / Linux kernel 3+ / Samba 3.6+): Level 4
    • Môi trường có hệ thống rất cũ: Level 3 (chấp nhận NTLMv2, vẫn cho phép NTLMv1 nếu negotiated)
    • Trước khi đổi: Kiểm tra (audit) các kết nối SMB hiện tại bằng Event Log (Event ID 4624, Logon Type 3) hoặc Network Monitor/Wireshark
  • Tắt SMBv1 (bắt buộc song song): Control Panel → Programs → Turn Windows features on/off → bỏ tick SMB 1.0/CIFS File Sharing Support

Kiểm tra cấu hình hiện tại

  1. CMD (Admin): secpol.msc → Local Policies → Security Options → Network security: LAN Manager authentication level
  2. PowerShell: Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LmCompatibilityLevel"
  3. Test kết nối: net use \\server\share từ client → xem Event Viewer → Security → Event 4624 → Authentication Package: NTLMv2