Windows 11’de NTLMv1 Kısıtlaması: Wi-Fi ve VPN Bağlantıları Etkiliyor
Microsoft’un NTLMv1 kullanımına yönelik yeni kısıtlaması, kurumsal ağlarda SSO bağlantılarını etkileyebilir. Windows 11 24H2 ve sonraki sürümler ile Windows Server 2025’i kapsayan değişiklik, özellikle MS-CHAPv2 kullanan Wi-Fi, Ethernet ve VPN ortamlarını ilgilendiriyor.
Güncelleme sonrasında bağlantı kesintisi yaşayan kurumların, bu değişikliğin kendi ortamlarındaki authentication akışını etkileyip etkilemediğini kontrol etmesi gerekiyor.
Audit modundan Enforce moduna geçiliyor
Microsoft’un takvimine göre Ekim 2026’da BlockNTLMv1SSO varsayılanı 0 – Audit yerine 1 – Enforce oluyor. Değişiklik kademeli uygulanıyor ve yalnızca bu Registry değerinin önceden açıkça yapılandırılmadığı cihazlarda varsayılan davranışı değiştiriyor.
MS-CHAPv2 kullanan bağlantılar neden etkileniyor?
NTLMv1 protokolü kaldırılmış olsa da MS-CHAPv2 gibi bazı mekanizmalar, SSO sırasında NTLMv1-derived credentials kullanımına ihtiyaç duyabiliyor. Yeni kısıtlama, oturum açmış kullanıcı için bu credentials’ın üretilmesini engelliyor.
Burada MS-CHAPv2 ile NTLMv2’nin farklı protokoller olduğunu hatırlatmak gerekiyor. MS-CHAPv2 adındaki “v2”, bağlantının NTLMv2 kullandığı anlamına gelmiyor. PEAP-MSCHAPv2 yapılandırmasında PEAP, TLS tünelini sağlarken kullanıcı adı ve parola ile authentication işlemini tünelin içindeki MS-CHAPv2 gerçekleştiriyor.
Bu nedenle bir kurumun Wi-Fi bağlantılarında PEAP-MSCHAPv2 kullanması, NTLMv1 ile ilişkili kısıtlamalardan etkilenmeyeceği anlamına gelmiyor.
Windows neden Kerberos veya NTLMv2’ye geçmiyor?
Windows’un Kerberos’u öncelikli tercih etmesi, Negotiate kullanan bağlantılar için geçerli. Kerberos kullanılamadığında veya uygulama gerekli hedef bilgisini sağlamadığında NTLM seçilebiliyor.
Kurumsal Wi-Fi bağlantısında ise profile ve authentication sunucusuna tanımlanan EAP yöntemi kullanılıyor. PEAP-MSCHAPv2 olarak yapılandırılmış bir bağlantıyı Windows kendiliğinden Kerberos veya NTLMv2’ye çevirmiyor. Kullanıcının Windows oturumunda Kerberos kullanması, Wi-Fi authentication yöntemini de belirlemiyor.
Kesintinin nedeni nasıl doğrulanır?
Etkilenen Windows client üzerinde Event Viewer – Applications and Services Logs – Microsoft – Windows – NTLM – Operational bölümünü inceleyin.
Event ID 4024, ilgili kullanımın Audit modunda kaydedildiğini; Event ID 4025 ise SSO girişiminin policy nedeniyle engellendiğini gösteriyor. Kesinti zamanı ile log zamanı karşılaştırılmalı.
Geçici çözüm: Audit moduna dönüş
Sorunun bu kısıtlamadan kaynaklandığı doğrulanan ve Credential Guard’ın kapalı olduğu cihazlarda, etkilenen Windows client üzerinde yönetici Command Prompt’tan şu komut çalıştırılabilir:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNTLMv1SSO /t REG_DWORD /d 0 /fBu ayar engelleme yerine Audit davranışını uygular. Güvenlik kısıtlamasını gevşettiği için geçici kullanılmalı. Credential Guard etkinse bu değişiklik onun korumasını kaldırmaz.
Kalıcı çözüm: Certificate-based authentication
Microsoft, MS-CHAPv2 tabanlı bağlantılardan EAP-TLS veya PEAP-TLS gibi certificate-based authentication yöntemlerine geçilmesini öneriyor.
Geçişte client sertifikalarının dağıtılması, RADIUS/NPS policy’lerinin ve Wi-Fi/VPN profillerinin birlikte düzenlenmesi gerekiyor. Önce pilot cihazlarda bağlantılar doğrulanmalı, ardından merkezi dağıtım yapılmalı. Geçiş tamamlandığında geçici Audit ayarı kaldırılarak Enforce davranışı yeniden uygulanmalı.
