Microsoft ошибочно пометила проблему с Always On VPN как исправленную в октябрьских накопительных обновлениях Windows 11. Для компаний, где удалённый доступ завязан на штатный VPN Windows, это означает неприятную, но вполне практичную вещь: после установки патчей нельзя считать инцидент закрытым — профиль подключения придётся проверить вручную.
О том, что статус исправления был выставлен по ошибке, сообщает BleepingComputer. Microsoft вернула инцидент из статуса Resolved в Mitigated и пообещала выпустить полноценное исправление в одном из ближайших обновлений. Точные сроки компания не назвала, ограничившись формулировкой «в ближайшие недели».
Сбой затрагивает устройства с Windows 11 24H2 и более новыми версиями системы после установки сентябрьских обновлений безопасности 2026 года. Проблема проявляется не у любого VPN-подключения, а в конфигурациях Always On VPN, где включены автоматический выбор протокола или переключение между протоколами. В частности, речь идёт о сценарии с IKEv2 и SSTP: если первая попытка подключения не удалась, последующие могут зависнуть на статусе подключения либо завершиться ошибкой.
В некоторых случаях Windows сообщает, что указанный порт уже используется. Для сотрудника это выглядит как обычный каприз корпоративного VPN-клиента: интернет есть, учётные данные действительны, а внутренние ресурсы недоступны. Для IT-службы картина хуже: ошибка возникает после неудачной первой попытки и может воспроизводиться не у всех пользователей одновременно, превращая диагностику в смесь тикетов, перезапусков и догадок о том, не виновата ли сеть.
Always On VPN пришёл на смену DirectAccess и рассчитан на постоянное защищённое соединение устройства с корпоративной сетью при появлении доступа к интернету. Технология поддерживает компьютеры, присоединённые к домену, не включённые в домен, а также устройства с Microsoft Entra ID. Поэтому сбой касается не экзотической настройки из старой инфраструктуры, а распространённой схемы гибридной работы: ноутбук сотрудника должен сам поднять туннель, чтобы получить доступ к внутренним сервисам, политикам и корпоративным ресурсам.
Временное решение Microsoft предельно приземлённое: администраторам предлагают убрать автоматический выбор из профиля Always On VPN и оставить один протокол — только SSTP или только IKEv2. Какой вариант выбрать, зависит от среды, требований безопасности и уже развёрнутой конфигурации. Универсального рецепта здесь нет: смена профиля может повлиять на совместимость с сетевым оборудованием, правила межсетевого экрана и сценарии работы пользователей вне офиса.
Для российских команд с парком Windows-ноутбуков это повод не ждать следующего вторника обновлений в надежде на магию накопительного пакета. Стоит определить, используются ли автоматический выбор и fallback между IKEv2 и SSTP, отделить затронутые устройства с Windows 11 24H2 и новее, а затем протестировать профиль с одним протоколом на пилотной группе. Особенно внимательно — на устройствах сотрудников, которым нужен доступ к внутренним системам до входа в офисные приложения или во время работы из нестабильных сетей.
История примечательна не только самой ошибкой, но и качеством коммуникации вокруг неё. Microsoft сначала объявила проблему решённой после октябрьского Patch Tuesday, а затем признала, что исправления фактически не было. Для администраторов статус в панели известных проблем — не декоративная метка: по нему планируют окна обновлений, закрывают инциденты и отвечают бизнесу, почему часть сотрудников снова не может подключиться к корпоративной сети.
Сентябрьские обновления Windows уже успели принести и другие неприятности: Microsoft выпускала внеплановые патчи для проблем с Hyper-V, Remote Desktop Services и USB-аудио. Также компания публиковала обходной путь для сбоя входа в систему с корректными доменными учётными данными и сообщала о работе над ошибкой в штатной функции резервного копирования File History. На этом фоне ложный статус для VPN выглядит не единичной оплошностью, а дополнительным аргументом в пользу обязательного тестового кольца обновлений даже для накопительных пакетов.
Постоянный VPN давно стал базовой частью удалённого рабочего места, а не опцией для редких командировок. Пока Microsoft готовит настоящий патч, организациям придётся выбирать между удобством автоматического переключения протоколов и предсказуемостью одного туннеля. И это как раз тот случай, когда временное упрощение конфигурации может оказаться дешевле очередного утра, проведённого в поиске «занятого» порта на десятках удалённых ноутбуков.
