本文解决了使用 MS-CHAPv2 身份验证时 VPN 连接到 Windows RRAS 服务器失败的问题。
原始 KB 数： 2811487
现象
使用 MS-CHAPv2 身份验证方法时，与 Windows RRAS 服务器的 VPN 连接失败。 其他症状包括最终用户可能会收到如下所示的错误消息：
错误 691“由于你提供的用户名和密码组合无法识别，或者远程访问服务器上不允许选择的身份验证协议，因此拒绝了远程连接。
此外，域用户的密码计数错误可能会增加，从而导致帐户锁定。
原因
当身份验证 DC 上的 LmCompatibilityLevel设置已从默认值修改时，可能会出现此问题。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
例如，将此值设置为 5 时（仅发送 NTLMv2 响应）。拒绝 LM 和 NTLM），DC 不接受任何使用 NTLM 身份验证的请求。 配置 MS-CHAP 或 MS-CHAPv2 时，Windows Server 2008 R2 中的 RAS 默认为 NTLM 以对密码进行哈希处理。 由于 DC 仅接受 NTLMv2，因此请求将被拒绝。
注意
可以执行的其他测试以确认此问题包括：
- 测试明文方法，如 PAP。 由于密码未经过哈希处理，身份验证应成功 （警告：PAP 身份验证应仅用于测试）
- 使用在 RAS 服务器上本地配置的凭据测试 MS-CHAPv2。 由于此方案中未向 DC 发送任何请求，因此身份验证应成功。
解决方法
如果必须使用 MS-CHAPv2，可以通过添加以下注册表项来启用 NTLMv2 身份验证：
- 选择“开始>运行”，在*“打开**”框中键入 regedit*，然后选择“确定”。
- 找到并选择以下注册表子项：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RemoteAccess\Policy - 在编辑菜单中指向新建，然后选择 DWORD 值。
- 键入 “启用 NTLMv2 兼容性”，然后按 Enter。
- 在“编辑”菜单上，选择“修改”。
- 在“值”数据框中，键入“1”，然后选择“确定”。
- 退出注册表编辑器。
注意
可能需要在 NPS 服务器或 Radius 服务器上重新加载 NPS 服务。