Microsoft устранила сбой Always On VPN, появившийся после сентябрьских обновлений безопасности Windows 11. Для компаний, где ноутбуки сотрудников автоматически подключаются к корпоративной сети из дома, аэропорта или кафе, проблема означала не просто раздражающую ошибку, а потерю штатного удалённого доступа. Исправление вошло в накопительные обновления KB5127648 и KB5127646.
Проблема затрагивала устройства с Windows 11 версии 24H2 и новее, если в профиле Always On VPN был включён автоматический выбор протокола либо переключение между IKEv2 и SSTP. Как сообщает BleepingComputer, сбой проявлялся после неудачной первой попытки подключения: клиент мог бесконечно оставаться в состоянии подключения или не устанавливать туннель при повторной попытке. В отдельных случаях Windows выводила сообщение о том, что указанный порт уже используется.
Always On VPN — корпоративный механизм удалённого доступа, которым Microsoft фактически заменила устаревшую DirectAccess. Он работает в фоновом режиме и должен сам поднимать защищённый туннель к внутренней сети, когда устройство получает доступ к интернету. Решение поддерживает компьютеры, присоединённые к домену, не присоединённые к нему устройства, а также машины, подключённые к Microsoft Entra ID. Поэтому сбой бил не по экзотической конфигурации, а по вполне обычной схеме гибридной работы.
Ключевая деталь здесь — не сам VPN, а сценарий восстановления после ошибки. Если соединение с IKEv2 не удавалось и профиль пытался перейти на SSTP, либо наоборот, клиент мог зависнуть. Для пользователя это выглядит как привычное «подключается» без результата; для службы поддержки — как поток тикетов, который трудно отделить от проблем с домашним роутером, провайдером, сертификатами или политиками доступа.
Microsoft впервые признала инцидент в конце сентября, разослав уведомление администраторам. Теперь компания рекомендует установить октябрьские обновления, содержащие исправление. Организациям, которые не могут быстро развернуть патчи на весь парк, предложен временный обходной путь: отказаться от автоматического выбора и оставить в профиле только один протокол — SSTP или IKEv2. Выбор зависит от сетевой архитектуры, требований безопасности и уже используемой схемы развёртывания.
Такой обходной путь полезен как аварийная мера, но не выглядит хорошей постоянной настройкой. Автоматический переход между протоколами обычно включают именно ради устойчивости: один вариант может быть недоступен из-за ограничений сети, фильтрации трафика или особенностей NAT. Фиксация профиля на единственном протоколе снижает число переменных при диагностике, однако одновременно сокращает запасной маршрут для подключения.
Для IT-отделов это повод проверить не только наличие KB5127648 или KB5127646, но и собственный процесс управления обновлениями. В первую очередь стоит посмотреть на устройства с Windows 11 24H2 и выше, где настроен Always On VPN с IKEv2 и SSTP. Если сотрудники сообщали о зависании подключения после первой ошибки или о занятом порте, их инциденты, вероятно, относятся к уже известной проблеме, а не к локальной поломке конкретного ноутбука.
Практический порядок действий довольно прямой: протестировать обновление на репрезентативной группе пользователей, проверить первичное и повторное подключение в разных сетях, затем расширять развёртывание. Важно воспроизвести именно неудачную первую попытку: нормальное подключение в офисной или домашней сети ещё не доказывает, что исчез сценарий, из-за которого возник сбой Always On VPN. Отдельно стоит проверить журналы подключений и внутренние инструкции первой линии поддержки, чтобы устаревшие советы по ручной перезагрузке адаптеров не заменяли реальное устранение причины.
Это уже не первый побочный эффект сентябрьского цикла обновлений Windows. В прошлом месяце Microsoft выпускала экстренные исправления для сбоев Remote Desktop Services, Hyper-V и USB-аудио. На этой неделе компания также предупредила о проблемах с подключением к удалённым устройствам у пользователей без административных прав, если включена функция защиты администратора. Набор инцидентов неприятно напоминает, что ежемесячный патч во многих компаниях давно является не только защитным обновлением, но и полноценным изменением производственной среды.
Для разработчиков и владельцев внутренних платформ история важна шире, чем конкретный клиент Windows. Удалённый доступ — базовый слой для инженеров, поддержки, финансовых систем и административных сервисов. Когда он ломается после стандартного обновления ОС, простой быстро распространяется на процессы, которые формально не связаны с сетью: от доступа к репозиториям и CI до согласования документов в закрытом контуре. Чем больше организация опирается на управляемые устройства и нулевое доверие, тем дороже ей обходятся дефекты в механизмах подключения.
Исправление снимает острую проблему, но не отменяет вопроса к качеству проверки крупных обновлений Windows на корпоративных сценариях. Always On VPN задуман как прозрачная инфраструктура: пользователь должен замечать его только тогда, когда он не работает. В ближайших циклах патчей администраторам придётся особенно внимательно следить за поведением удалённого доступа — и держать резервные процедуры на случай, если очередное обновление снова затронет самый незаметный, но критичный слой корпоративной работы.