徹底掌握Windows驗證流程，不僅能解決登入疑難雜症，更能從根本上強化網路安全防禦。本文詳細解析WinLogon流程、NTLM與Kerberos驗證協定、關鍵端口需求，以及移除脆弱LM雜湊的實務操作，助您建立更安全的Windows網路環境。

WinLogon核心流程

WinLogon啟動於「Ctrl+Alt+Del」安全注意序列（SAS），此時所有用戶模式應用程式暫停，防止鍵盤記錄器或木馬竊取密碼輸入。隨後本地安全授權（LSA）接管驗證，根據驗證類型（預設NTLM），客戶端與網域控制器（DC）間需開放特定端口：

• UDP 137（NetBIOS名稱服務）
• UDP 138（NetBIOS資料報/網路登入瀏覽）
• TCP 139（NetBIOS會話/SMB檔案列印共享）
• TCP 1024-65535（動態RPC端口）

確保上述端口在客戶端與DC間暢通，是登入成功的前提。

預設驗證的安全隱憂：LM雜湊極弱

Windows NT/2000預設使用LAN Manager（LM）演算法儲存與傳輸密碼雜湊，強度極低，極易被破解。微軟已歷經四代升級，當前標準為NTLMv2。但若未修改註冊表 LMCompatibilityLevel 值（至少設為3），系統仍會回退使用LM，嚴重降低整體網路安全性。

強制使用NTLMv2並移除LM雜湊的步驟

1. 開啟 Regedt32.exe，定位至 HKLM\System\CurrentControlSet\Control\Lsa。
2. 將 LMCompatibilityLevel 設為 3 或更高（REG_DWORD），強制客戶端僅發送NTLMv2回應。
3. 在同一鍵值下新增 NoLMHash（REG_DWORD，值留空），強制系統停止產生LM雜湊。
4. 所有用戶必須修改密碼後，新設定才生效（舊LM雜湊始終存在直到密碼變更）。

邁向Kerberos：最強驗證協定

NTLMv2僅為過渡方案。Windows 2000及以上版本應啟用Kerberos（需Active Directory環境）。NT 4.0客戶端無法原生支援Kerberos，僅能安裝AD客戶端擴展以利用AD服務（如DFS、通訊錄），驗證仍回退NTLM。若環境包含NT機器，務必確保端口開放並強制使用NTLMv2。

總結

理解驗證流程、關閉弱協定、開放必要端口、升級至Kerberos，是構建安全Windows網路的四大基石。