Коротко о главном
Microsoft выпустила октябрьские накопительные обновления KB5127648 и KB5127646, которые исправляют проблему Always On VPN, появившуюся после сентябрьских обновлений безопасности. Об этом сообщил BleepingComputer.
Проблема затрагивала Windows 11 24H2, 25H2 и 26H1 и проявлялась у профилей Always On VPN с автоматическим выбором протокола (IKEv2 с запасным SSTP). Если первое подключение не удавалось, механизм переключения на альтернативный протокол ломался соединение зависало в состоянии «Connecting» или выдавало ошибку «Указанный порт уже используется».
Мы писали об этой проблеме в сентябре, когда Microsoft только признала её и предложила временный обходной путь. Теперь вышло полноценное исправление.
Что именно исправлено
Microsoft описала проблему так: при настроенном автоматическом выборе протокола или резервном переключении (protocol fallback) VPN-подключения могли застревать в состоянии «Connecting» или не подключаться вовсе после неудачной первой попытки.
Симптомы, которые исчезли после обновления:
- Подключение зависало в статусе «Connecting» и не переходило ни в подключённое, ни в явно неудачное состояние.
- Повторные попытки подключения не приводили к успеху.
- В некоторых случаях появлялась ошибка «The specified port is already in use» («Указанный порт уже используется»).
Важно понимать: сама технология Always On VPN и протоколы IKEv2 и SSTP не были сломаны. Проблема касалась именно механизма автоматического переключения между протоколами. Поэтому обходной путь, который Microsoft предлагала ранее, зафиксировать один протокол работал, но не устранял корень проблемы.
Кто затронут
Проблема затрагивала следующие версии Windows 11:
| Версия Windows 11 | Исходное обновление | Исправление |
|---|---|---|
| 26H1 | KB5124012 | KB5127646 |
| 25H2 | KB5124008 | KB5127648 |
| 24H2 | KB5124008 | KB5127648 |
Устройства Windows Server также могли быть затронуты, если использовали Always On VPN с автоматическим выбором протокола.
Корпоративные среды с сертификатной аутентификацией пострадали в первую очередь именно там чаще всего используется автоматический выбор протокола.
Как исправить
Вариант 1. Установить октябрьские обновления (рекомендуемый)
Microsoft выпустила KB5127648 и KB5127646, которые полностью исправляют проблему на всех затронутых системах. Это постоянное решение, а не обходной путь.
Для Windows 11 24H2, 25H2 и 26H2 установите KB5127648.
Для Windows 11 26H1 установите KB5127646.
Обновления доступны через Центр обновления Windows и Microsoft Update Catalog.
Что произойдёт после установки: механизм автоматического переключения между IKEv2 и SSTP снова начнёт работать корректно. VPN-подключения будут устанавливаться без зависаний, а ошибка «Указанный порт уже используется» исчезнет.
Вариант 2. Временный обходной путь (если обновление пока нельзя установить)
Если по каким-то причинам вы не можете установить октябрьские обновления прямо сейчас, Microsoft по-прежнему рекомендует зафиксировать один протокол в профиле Always On VPN.
Как это сделать через Intune:
- Откройте Intune admin center.
- Перейдите в Devices → Manage devices → Configuration.
- Откройте ваш профиль Always On VPN.
- Найдите параметр типа туннеля (Tunnel type / Protocol).
- Замените Automatic на IKEv2 или SSTP в зависимости от вашей инфраструктуры.
- Примените профиль к целевым устройствам.
Как это сделать через ProfileXML:
- Найдите в XML-файле профиля секцию NativeProtocolType.
- Замените значение Automatic на Ikev2 или Sstp.
- Передайте обновлённый профиль на клиентские машины через Intune, GPO или скрипт развёртывания.
Важно: выбор протокола зависит от вашей инфраструктуры, требований безопасности и особенностей развёртывания. Единого правильного ответа для всех сред нет. Если вы используете Always On VPN с нуля, обратитесь к нашей полной инструкции по настройке в Windows Server там описаны RRAS, NPS и сертификаты.
Что ещё в KB5127648
Октябрьское обновление KB5127648 исправляет не только VPN. В том же пакете вышли:
- Исправление stutter в играх. Microsoft признала баг, вызывающий рывки мыши при стабильном FPS, и исправила его.
- Исправление AC-3 audio. Приложения с декодированием Dolby Digital снова работают.
- Исправление чёрного экрана в Azure Virtual Desktop. Explorer.exe больше не падает после входа в систему.
- Исправление Group Policy. Проблема, связанная с Administrator Protection, устранена.
- Emoji 17.0. Новые эмодзи доступны в системе.
- Переназначение клавиши Copilot. Теперь её можно переназначить на правый Ctrl или контекстное меню.
Известные проблемы, которые остались:
- 802.1X PEAP аутентификация. Wi-Fi WPA2-Enterprise и проводной 802.1X по-прежнему ломаются. Есть ручной фикс через реестр.
- Xbox sign-in. Ошибка 0x87DD0005 всё ещё появляется у некоторых пользователей. Мы разбирали это отдельно.
- Remote Desktop + Administrator Protection. Не-администраторы не могут подключиться по RDP с ошибкой 0xC000000D.
Что делать администраторам
- Установите KB5127648 или KB5127646 на все затронутые устройства. Это постоянное исправление.
- Проверьте статус Always On VPN после установки. Убедитесь, что подключения устанавливаются без зависаний.
- Если обновление пока нельзя установить зафиксируйте один протокол в профиле VPN через Intune или ProfileXML.
- Проверьте журналы событий на предмет ошибок, связанных с VPN, после обновления.
- Учтите оставшиеся проблемы. 802.1X PEAP, Xbox sign-in и RDP всё ещё требуют внимания.
Часто задаваемые вопросы
Это постоянное исправление или временное?
Постоянное. KB5127648 и KB5127646 полностью устраняют проблему, а не обходят её.
Нужно ли после установки обновления возвращать автоматический выбор протокола?
Да. Если вы временно зафиксировали один протокол как обходной путь, после установки исправления можно вернуть Automatic механизм снова работает корректно.
Затронуты ли обычные VPN-подключения?
Нет. Проблема касалась только Always On VPN с автоматическим выбором протокола. Обычные ручные VPN-подключения не затрагивались.
Затронуты ли Windows Server?
Проблема могла затрагивать Windows Server, если он использовал Always On VPN с автоматическим выбором протокола. Октябрьские обновления исправляют проблему и на серверных системах.
Что делать, если после обновления VPN всё ещё не работает?
Проверьте журналы событий. Если проблема сохраняется, убедитесь, что профиль VPN корректен, и обратитесь в поддержку Microsoft.
Где оригинальное сообщение Microsoft?
В Центре сообщений 365 и на странице поддержки KB5127648.
Что в итоге
Microsoft исправила Always On VPN, сломанный сентябрьскими обновлениями. Октябрьские пакеты KB5127648 и KB5127646 полностью устраняют проблему с автоматическим выбором протокола. Если вы ещё не установили октябрьские обновления сделайте это. Если не можете установить прямо сейчас используйте временный обходной путь с фиксацией одного протокола. И не забывайте про оставшиеся проблемы: 802.1X PEAP, Xbox sign-in и RDP всё ещё требуют внимания.
