gp5-High

Pošto se greške javljaju tek otkako si na Yettel optici, treba paralelno proveriti dve stvari:

da li je problem ipak u Windows TLS/Schannel podešavanjima (često je to uzrok za Event 36871 “A fatal error occurred while creating a TLS client credential”), i
da li nova mreža (ruter/ISP) pravi probleme: IPv6, MTU, proxy/WPAD, DNS ili “bezbednosne” opcije na ruteru.
Ispod je detaljan, praktičan plan po koracima. Radi redom; na kraju ćeš vrlo verovatno “uhvatiti” uzrok.

Izoluj: da li je problem OS ili mreža (brz test)
Test preko mobilnog hotspot-a:

Poveži računar na mobilni hotspot (4G/5G) i pokreni neku od aplikacija koje bacaju TLS grešku (npr. System Settings ili Nahimic).
Istovremeno otvori Event Viewer → Windows Logs → System → Filter → Event sources: Schannel i pogledaj da li iskače Event ID 36871.
Ako se na hotspotu greška NE javlja → velika verovatnoća da je Yettel/ruter (IPv6/MTU/proxy/DNS).
Ako se greška javlja i na hotspotu → fokus na Windows/Schannel podešavanja.
Zabeleži event detalje:

Event Viewer → Schannel 36871 → “The internal error state is …” (npr. 10013) i eventualni “Error code” (npr. 0x80090331).
Pošalji te brojeve ako želiš da precizno pogodimo root-uzrok.
Brzi reset Windows TLS/Schannel (često odmah reši)
Uradi sledeće (Command Prompt ili PowerShell – Run as Administrator):
Ukloni nametnute “cipher suite”/ECC politike (ako postoje):

Provera:
PowerShell:
Get-TlsCipherSuite | measure
Ako Count=0, policy je “obrisala” sve šifre.
CMD:
reg query "HKLM\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002" /v Functions
reg query "HKLM\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002" /v EllipticCurveOrder
Ako postoje pomenute vrednosti pod Policies, ukloni ih (napravi bekap):
reg export "HKLM\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002" "%USERPROFILE%\Desktop\SSL_00010002_backup.reg"
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002" /v Functions /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002" /v EllipticCurveOrder /f
Omogući TLS 1.2 (i 1.3 ako si na Win11):

reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" /v Enabled /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" /v DisabledByDefault /t REG_DWORD /d 0 /f
(Opcionalno za Win11)
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" /v Enabled /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" /v DisabledByDefault /t REG_DWORD /d 0 /f
Resetuj WinInet/WinHTTP/Winsock/DNS:

Internet Options → Advanced → Restore advanced settings → čekiraj TLS 1.2 (i 1.3 ako postoji).
Internet Options → Content → Clear SSL state.
CMD (Admin):
netsh winhttp reset proxy
netsh winsock reset
ipconfig /flushdns
Proveri FIPS i .NET strong crypto:

FIPS mora biti Disabled:
secpol.msc → Local Policies → Security Options → “System cryptography: Use FIPS…” → Disabled
Ili reg: HKLM\System\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy\Enabled = 0
.NET strong crypto (ne škodi, pomaže starijim .NET app-ovima):
reg add "HKLM\SOFTWARE\Microsoft.NETFramework\v4.0.30319" /v SchUseStrongCrypto /t REG_DWORD /d 1 /f
reg add "HKLM\SOFTWARE\WOW6432Node\Microsoft.NETFramework\v4.0.30319" /v SchUseStrongCrypto /t REG_DWORD /d 1 /f
Restartuj računar.

Provera posle restarta:

PowerShell: Get-TlsCipherSuite | select -first 5 (treba da ima par ECDHE_AES_GCM šifri)
curl -v https://www.microsoft.com (treba da uspe bez TLS errora)
Proveri u Event Viewer-u da li 36871 nestaje pri otvaranju Settings/Nahimic itd.
Ako je uzrok mreža/RUTER/ISP (Yettel) – ključne stvari za proveru
Yettel optika često donese:
IPv6 (nekad “napola” radi)
Drugačiji MTU/MSS
Poneki ruter ima “Safe Browsing/Parental” opcije
WPAD/Proxy auto-detect
Uradi sledeće:

A) Proxy/WPAD

U Windows-u:
Internet Options → Connections → LAN settings → isključi “Automatically detect settings” i “Use a proxy” (osim ako zaista koristiš proxy).
WinHTTP:
netsh winhttp show proxy
Ako nije “Direct access”, uradi netsh winhttp reset proxy
B) DNS i DoH

Privremeno postavi javni DNS na adapteru (IPv4):
1.1.1.1 i 1.0.0.1 ili 8.8.8.8 i 8.8.4.4
Windows 11 DoH: Settings → Network & Internet → (Ethernet/Wi‑Fi) → DNS → privremeno isključi “Encrypted (DNS over HTTPS)” i testiraj.
Posle promene: ipconfig /flushdns
C) IPv6 test

Probaj privremeno da isključiš IPv6 na adapteru:
Control Panel → Network and Sharing Center → Change adapter settings → desni klik na mrežu → Properties → skini ček na “Internet Protocol Version 6 (TCP/IPv6)”
Ili PowerShell (Admin): Disable-NetAdapterBinding -Name "Ethernet" -ComponentID ms_tcpip6
Restartuj aplikacije i vidi da li 36871 nestaje.
Ako problem nestane bez IPv6, onda je IPv6 ruta/RA/DS-Lite kod provajdera problem. Rešenje: ostavi IPv6 isključen, ili isključi IPv6 na ruteru, ili zamoli provajdera da ispravi konfiguraciju.
D) MTU/MSS clamping
TLS handshake može pucati na “čudnom” MTU-u (fragmentacija/PMTUD problemi). Testiraj optimalni MTU:

Na IPv4 (CMD, Admin):
Ping sa DF flagom i veličinom paketa:
ping -f -l 1472 1.1.1.1
Ako dobiješ “Packet needs to be fragmented”, smanjuj 1472 dok ne prođe (npr. 1464 → MTU 1492; 1452 → MTU 1480).
Prikaži interfejse i trenutni MTU:
netsh interface ipv4 show subinterfaces
Postavi MTU na Ethernet/Wi‑Fi (zameniti “Ethernet” imenom interfejsa):
netsh interface ipv4 set subinterface "Ethernet" mtu=1492 store=persistent
Ako ruter ima opciju “MSS clamping” ili “Adjust MTU/MSS”, uključi i postavi na 1452/1492 (zavisi od PPPoE).
E) “Bezbednosne” opcije na ruteru

Uđi u admin panel rutera:
Isključi Parental/Safe Browsing/Content Filter/DPI/HTTPS inspection (ako postoji).
Isključi “Auto Proxy/WPAD” ako ruter nudi.
Ako postoji opcija “Firewall level”, stavi na Medium/Low za test.
Ako ruter podržava “Bridge mode” i imaš svoj ruter – probaj bridge + svoj ruter (često reši bizarne TLS probleme).
F) Testiraj IPv4 vs IPv6 konekciju direktno

curl -4 -v https://www.microsoft.com
curl -6 -v https://www.microsoft.com
Ako -6 puca, a -4 radi → problem je na IPv6 putu (ostavi IPv6 off ili popravi ruter/ISP).
G) Kratki A/B test sa TLS 1.3
Retko, ali neki ruteri/ISP middlebox-evi kvare TLS 1.3. Samo za test na 5 minuta:

Isključi TLS 1.3 klijent:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" /v Enabled /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" /v DisabledByDefault /t REG_DWORD /d 1 /f
Restartuj, testiraj, pa vrati na Enabled kada završiš (bezbednije je držati 1.3 uključen).
Specifično za Nahimic i slične app-ove
Ako ti Nahimic nije potreban, najlakše: Services (services.msc) → Nahimic service → Startup type: Disabled.
Ako želiš da radi:
Deinstaliraj i instaliraj Nahimic sa zvanične stranice proizvođača ploče/laptopa (MSI/ASUS/ASRock) – često dođe sa novijim TLS/DLL zavisnostima.
Ako je app stariji i zahteva TLS 1.0/1.1, za TEST privremeno uključi TLS 1.0/1.1 u Internet Options → Advanced (posle testa vrati isključeno, iz bezbednosnih razloga).
Proveri da li AV/EDR (npr. Kaspersky/ESET) radi HTTPS inspekciju – privremeno isključi “SSL/TLS inspection”.
Ažuriranja, vreme i integritet sistema
Proveri vreme/timezone i sinhronizaciju (pogrešan čas često lomi TLS verifikaciju).
Windows Update kompletan (uključujući Optional updates).
Root CA: Ako si dugo offline od WU, ručno pokreni “Update Root Certificates” (ili pričekaj WU).
CMD (Admin): sfc /scannow
DISM (Admin): DISM /Online /Cleanup-Image /RestoreHealth
Šta da mi pošalješ ako i dalje puca
Tačan Event 36871 tekst + “Internal error state = …” i eventualni “Error code”.
Rezultat:
PowerShell: (Get-TlsCipherSuite).Count
netsh winhttp show proxy
curl -4 -v https://www.microsoft.com i curl -6 -v https://www.microsoft.com (prvih ~20 linija izlaza)
ping -f -l 1472 1.1.1.1 rezultat i koji je max -l koji prolazi
Da li si isključio IPv6 i da li to rešava problem
Model rutera i da li ima uključene “security/parental” opcije
Zašto promene ISP-a mogu da “otkriju” problem

Novi ruter ume da uključi WPAD/auto-proxy ili “safe browsing” – Schannel greške krenu kada aplikacije pokušaju TLS kroz pogrešnu proxy rutu.
IPv6 bude uključen ali polu-funkcionalan – klijent preferira IPv6 i handshake ne prolazi.
MTU/MSS promena (PPPoE/GPON) – handshake fragmentacija bez ispravnog PMTUD.
Ako je Schannel već bio “stegnut” (cipher suite order/ECC), na novoj ruti/serveru češće se nudi X25519/TLS 1.3; bez modernih krivih/protokola nema zajedničkog algoritma pa nastaje 36871.
Kreni od testa sa hotspotom i brzim Schannel resetom (tačka 2). Ako to ne reši, fokus na IPv6/MTU/Proxy/DNS (tačka 3). Javi rezultate/poruke iz Event Viewer-a i komandi, pa ću ti dati precizne naredne korake za tvoj slučaj.