Microsoft устранила сбои Always On VPN, из-за которых корпоративные устройства с Windows 11 после сентябрьских обновлений безопасности 2026 года могли бесконечно оставаться в статусе подключения или вовсе не выходить в VPN. Для компаний это не косметический баг: ломался штатный удалённый доступ сотрудников к внутренним системам, а администраторам приходилось вручную менять настройки профилей.
Исправление вошло в октябрьское предварительное обновление Windows 11 KB5127936, сообщает BleepingComputer. Microsoft уже считала проблему закрытой в октябрьских накопительных обновлениях, но позже признала, что это было преждевременно. Теперь компания отдельно подтверждает: ошибка, связанная с подключениями Always On VPN после сентябрьского патча безопасности, устранена.
Проблема проявлялась в конфигурациях, где клиенту разрешено автоматически выбирать протокол либо переключаться между IKEv2 и SSTP при неудачной попытке соединения. После первого сбоя VPN могла застрять на этапе подключения. Повторная попытка иногда завершалась сообщением о том, что указанный порт уже используется. Для пользователя это выглядит как обычная капризность сети, но в корпоративной среде последствия заметнее: недоступны внутренние ресурсы, сервисы разработки, файловые хранилища и инструменты администрирования.
Always On VPN работает в фоновом режиме и поднимает защищённый туннель до корпоративной сети, когда устройство получает доступ к интернету. Это решение пришло на смену DirectAccess и поддерживает устройства, присоединённые к домену, не присоединённые к нему, а также подключённые к Microsoft Entra ID. В зоне риска оказались не только традиционные корпоративные ноутбуки: сбой мог затронуть и более современные сценарии управления парком устройств через облачную идентификацию.
Для российских IT-команд история полезна не столько самим номером KB, сколько знакомым паттерном эксплуатации Windows. Автовыбор протокола удобен, пока сеть ведёт себя предсказуемо. Но когда обновление затрагивает логику переключения IKEv2 и SSTP, удобная настройка превращается в дополнительную точку отказа. У команд с гибридным режимом работы это быстро переходит из разряда «несколько сотрудников не подключились утром» в инцидент, который бьёт по поддержке, срокам и нервной системе администраторов.
Тем, кто не готов ставить предварительное обновление, Microsoft предлагает временный обходной путь: отказаться от автоматического выбора и закрепить в профиле Always On VPN один протокол — только SSTP либо только IKEv2. Выбирать его нужно с учётом сетевой схемы, требований безопасности и способа развёртывания. Универсального рецепта здесь нет: IKEv2 и SSTP по-разному проходят через сетевые ограничения, а изменение профиля стоит сначала проверить на пилотной группе, а не одновременно на всём парке.
Октябрьское предварительное обновление исправляет и другую проблему, появившуюся после сентябрьской незащитной предварительной сборки Windows 11: обычные пользователи не могли подключаться к устройствам через удалённый рабочий стол, если была включена функция защиты учётной записи администратора. Это не тот же самый дефект, но совпадение симптомов важно для службы поддержки: после серии обновлений жалоба «не работает удалённый доступ» может означать совершенно разные причины.
Для разработчиков и продуктовых команд прямой вывод прост: проверка ежемесячных обновлений должна включать не только запуск приложений и работу средств защиты, но и сценарии подключения из внешней сети. Особенно если CI, репозитории, тестовые контуры или внутренние сервисы доступны через корпоративный VPN. Для IT-директоров — повод держать под рукой управляемый пилотный контур и понятный план отката настроек, а не полагаться на формулировку «исправлено» в первом же релиз-ноте.
Microsoft предлагает дождаться следующего обязательного Patch Tuesday тем, кто избегает предварительных пакетов, либо установить KB5127936 после внутренней проверки. Этот эпизод снова показывает неприятную сторону автоматизации: отказоустойчивость VPN зависит не только от выбранных протоколов, но и от того, насколько тщательно вендор тестирует их взаимодействие после обновления ОС. И если исправление однажды уже объявляли раньше срока, доверять ему разумнее после собственного пилота.
