Коротко о ситуации
Microsoft официально предупредила ИТ-администраторов: сентябрьские обновления безопасности KB5124008 (Windows 11 24H2/25H2) и KB5124012 (Windows 11 26H1) могут ломать подключения Always On VPN. Это ещё один пункт в уже длинном списке проблем сентябрьского Patch Tuesday, наряду с RDP, Hyper-V, звуком, доверием домена и File History.
Если вы разворачиваете Always On VPN с нуля и ищете полную инструкцию по настройке RRAS, NPS и сертификатов, у нас уже есть отдельный подробный гайд: Настройка Always On VPN в Windows Server.
Симптомы
Проблема проявляется конкретно у профилей Always On VPN, настроенных на автоматический выбор протокола (например, IKEv2 с запасным вариантом SSTP). Если основное подключение не удаётся с первой попытки, и профиль должен автоматически переключиться на альтернативный протокол, именно этот переход и ломается.
Конкретные признаки:
- Подключение зависает в статусе «Connecting» и не переходит ни в подключённое, ни в явно неудачное состояние.
- Повторные попытки подключения не приводят к успеху.
- В части случаев появляется ошибка: «Указанный порт уже используется».
Причина
Официальная формулировка Microsoft: проблема возникает, когда VPN настроен на автоматическую попытку другого метода подключения при неудаче первого. То есть страдает именно механизм автоматического переключения между протоколами, а не сами протоколы IKEv2 или SSTP по отдельности.
Официальный обходной путь
Microsoft прямо рекомендует администраторам временно изменить профиль Always On VPN, отказавшись от автоматического выбора протокола в пользу одного фиксированного:
- Только SSTP, либо
- Только IKEv2
Выбор конкретного протокола зависит от вашей инфраструктуры, требований безопасности и особенностей развёртывания, единого правильного ответа для всех сред нет. Постоянного исправления от Microsoft пока нет, только это временное решение.
Как изменить профиль VPN
Настройка меняется через тот же механизм, которым профиль Always On VPN изначально разворачивался в вашей организации:
Через Intune: откройте профиль VPN-подключения в разделе конфигурации устройств, найдите параметр типа туннеля/протокола и замените автоматический выбор на конкретный протокол (SSTP или IKEv2).
Через ProfileXML (PowerShell/скрипты): если профиль разворачивается через ProfileXML, найдите секцию IKEv2 или SSTP) вместо Automatic. Полное описание параметров профиля, включая NativeProtocolType, есть в официальной документации Microsoft: VPN profile options.
После изменения профиль нужно передать на клиентские машины заново, обычным для вашей организации способом (через Intune, GPO или скрипт развёртывания).
Что ещё нужно знать
Затрагивает ли это обычные, не Always On VPN-подключения?
Официальное предупреждение Microsoft касается конкретно Always On VPN с автоматическим выбором протокола. Другие типы VPN-подключений в объявлении не упоминаются.
Нужно ли откатывать KB5124008 из-за этой проблемы?
Не обязательно, раз есть официальный обходной путь без отката. Откат имеет смысл, только если у вас есть другие, более критичные причины для этого (например, домен или другие проблемы из того же обновления), а фиксированный протокол VPN не подходит по каким-то причинам.
Насколько временным будет постоянное решение?
Сроков Microsoft не называет. Судя по паттерну сентябрьских проблем, разумно ориентироваться на октябрьский Patch Tuesday (13 октября) как на вероятный, но не гарантированный момент выхода полноценного фикса.
Есть ли риски у фиксированного протокола вместо автовыбора?
Главный риск, меньшая отказоустойчивость: если единственный выбранный протокол окажется заблокирован в конкретной сети (например, из-за настроек файрвола на стороне клиента), у пользователя не будет автоматического запасного варианта, пока вы не переключите профиль обратно.
Что в итоге
Ещё одна строчка в списке последствий сентябрьского Patch Tuesday, на этот раз для администраторов, отвечающих за удалённый доступ. Обходной путь простой и не требует отката обновлений: переведите профиль Always On VPN на конкретный протокол вместо автовыбора, и дождитесь официального фикса, который, вероятно, но не гарантированно, появится в октябрьском цикле обновлений.
