Microsoft подтвердила проблемы с Always On VPN в сентябрьских обновлениях Windows 11

Корпорация Microsoft официально подтвердила, что сентябрьские обновления безопасности для Windows 11 могут приводить к сбоям в работе службы Always On VPN в Windows 11, из-за чего пострадавшие устройства теряют доступ к корпоративным сетям. Данная проблема была зафиксирована в служебном уведомлении о состоянии здоровья выпусков Windows, адресованном системным администраторам. До момента выпуска полноценного исправления разработчики подготовили временное решение. После установки сентябрьского обновления на целевых системах возникают характерные неполадки при попытке установления соединения с инфраструктурой организации. Сеанс может зависать в статусе подключения или приводить к бесконечным безуспешным попыткам переподключения. Во время последующих попыток пользователи также могут сталкиваться с системной ошибкой.

Затронутые версии операционной системы и апдейты

Специалисты компании выделили три сборки операционной системы, подверженные данному сбою, причем каждая из них связана с определенным накопительным пакетом за сентябрь:

• Windows 11 версии 26H1 после установки апдейта KB5124012;
• Windows 11 версии 25H2 после установки апдейта KB5124008;
• Windows 11 версии 24H2 после установки апдейта KB5124008.

Проблема напрямую связана с конкретным параметром конфигурации. Как поясняют в Microsoft, сбой активируется в тех случаях, когда VPN настроен на переключение на альтернативный метод подключения при неудаче первого — например, при задействовании автоматического выбора протоколов между IKEv2 и SSTP. Always On VPN позиционируется редмондским гигантом в качестве преемника устаревшего инструмента DirectAccess. Решение поддерживает устройства как внутри домена, так и вне его, а также аппараты, привязанные к Microsoft Entra ID, автоматически формируя защищенный туннель к корпоративным ресурсам сразу после выхода устройства в сеть. Важно отметить, что данная проблема никак не затрагивает ПК и ноутбуки, которые не используют соответствующие профили.

Способы обхода проблемы для администраторов

Поскольку постоянного патча на данный момент не существует, компания рекомендует временно отказаться от автоматического выбора протоколов в проблемных конфигурациях. Для этого IT-специалистам предлагается выполнить следующий алгоритм действий:

1. Открыть текущую конфигурацию профиля Always On VPN в Windows 11, которая применяется на проблемных компьютерах.
2. Изменить настройки туннелирования, переведя их на использование какого-то одного конкретного протокола вместо автоматического переключения.
3. Выбрать между чистым SSTP или чистым IKEv2, отталкиваясь от инфраструктурных особенностей организации, требований безопасности и специфики развертывания.
4. Внедрить обновленный профиль и убедиться, что устройства успешно выходят из состояния бесконечного подключения и устанавливают туннель.

Такой подход обеспечивает определенную гибкость, однако при отключении автовыбора устройство лишается возможности переключиться на резервный протокол на определенной сети в случае отказа основного. Именно поэтому компания не навязывает единый стандарт, оставляя выбор конкретного протокола на усмотрение системных администраторов каждого предприятия.

Обнаруженный баг пополнил растущий список неполадок, связанных с сентябрьскими накопительными обновлениями. Ранее корпорация уже была вынуждена выпускать экстренные исправления для устранения сбоев в Службах удаленных рабочих столов, неполадок с платформой виртуализации Hyper-V и проблем со звуком через USB-устройства. Кроме того, вендор опубликовал обходное решение для ошибки, мешающей отдельным пользователям выполнять вход в систему с помощью действительных доменных учетных данных, а также начал расследование еще одной проблемы, из-за которой перестает корректно работать функция резервного копирования. Сроки выхода постоянного исправления разработчики пока не называют, оставаясь в неведении относительно того, войдет ли оно во внеплановый экстренный патч или в стандартный ежемесячный набор обновлений.

Источник: ghacks.net