Always On VPN-bug uit septemberupdates Windows verholpen
Microsoft heeft een bekend probleem verholpen waardoor Always On VPN-verbindingen op Windows 11-systemen niet meer werkten na installatie van de beveiligingsupdates van september 2026.
De oplossing zit in de cumulatieve updates KB5127648 en KB5127646, die het bedrijf dinsdag uitbracht als onderdeel van de Patch Tuesday van oktober 2026. Volgens Microsoft verhelpen beide updates het probleem op alle getroffen systemen.
Wat Always On VPN doet
Always On VPN is de oplossing van Microsoft voor externe toegang en de opvolger van de oudere DirectAccess-technologie. Het ondersteunt apparaten met Windows 10, Windows 11 en Windows Server, of ze nu lid zijn van een domein, geen domeinlid zijn of gekoppeld zijn aan Microsoft Entra ID, de cloudgebaseerde identiteitsdienst van het bedrijf die voorheen Azure Active Directory heette.
De functie werkt ongemerkt op de achtergrond. Zodra een apparaat verbinding met internet krijgt, bouwt het automatisch een beveiligde tunnel op naar het bedrijfsnetwerk, zodat gebruikers de VPN niet zelf hoeven te starten. Dat maakt het een populaire keuze voor organisaties met thuiswerkers en hybride medewerkers, maar het betekent ook dat een storing werknemers zonder veel waarschuwing kan afsnijden van interne systemen.
Hoe de bug zich voordeed
Microsoft bracht IT-beheerders eind september voor het eerst op de hoogte van het probleem via een servicemelding. Het probleem trof bijgewerkte apparaten met Windows 11 24H2 en nieuwer.
De aanleiding was een mislukte eerste verbindingspoging. Veel Always On VPN-implementaties gebruiken automatische protocolselectie, waarbij de client eerst een bepaald tunnelprotocol probeert en terugvalt op een ander protocol als het eerste niet werkt. Een typisch voorbeeld is een profiel dat zowel IKEv2 als SSTP kan gebruiken. Op systemen met de septemberupdates werkte dat terugvalmechanisme niet zoals bedoeld.
"Wanneer automatische protocolselectie of protocolterugval was geconfigureerd, konden getroffen VPN-verbindingen blijven hangen in de status Verbinding maken of geen verbinding maken nadat een eerste verbindingspoging was mislukt", legde Microsoft uit.
Opnieuw proberen hielp niet altijd. "In sommige gevallen konden volgende verbindingspogingen de foutmelding 'The specified port is already in use' weergeven", voegde het bedrijf eraan toe.
Tijdelijke oplossing bij uitgestelde updates
Niet elke organisatie kan cumulatieve updates uitrollen op de dag dat ze verschijnen. Voor wie meer tijd nodig heeft, heeft Microsoft een tijdelijke maatregel beschreven die het terugvalmechanisme buiten spel zet.
"IT-beheerders kunnen dit probleem omzeilen door het Always On VPN-profiel te wijzigen van automatische protocolselectie naar een enkel protocol, alleen SSTP of alleen IKEv2, afhankelijk van hun omgeving en configuratie", aldus Microsoft.
Het bedrijf gaf geen voorkeur voor het ene of het andere protocol. "Organisaties moeten het protocol kiezen op basis van hun omgeving en hun eisen op het gebied van beveiliging en implementatie", merkte het op.
De afweging is duidelijk: door een profiel vast te zetten op een enkel protocol omzeil je de bug, maar lever je ook de veerkracht in die automatische selectie juist moet bieden. Beheerders die deze tijdelijke oplossing gebruiken, willen waarschijnlijk terugschakelen zodra de oktoberupdates zijn geinstalleerd.
Onderdeel van een breder patroon
Het VPN-probleem is niet het enige neveneffect van de updates van september 2026. Vorige maand bracht Microsoft noodupdates uit om storingen in Remote Desktop Services, problemen met Hyper-V en USB-audioproblemen te verhelpen die zowel thuisgebruikers als zakelijke Windows-gebruikers troffen. Die waren allemaal terug te voeren op dezelfde septemberrelease.
Deze week bevestigde Microsoft bovendien nog een Remote Desktop-probleem. Gebruikers zonder beheerdersrechten kunnen na installatie van recente Windows-updates moeite hebben om via Remote Desktop verbinding te maken met apparaten als de beveiligingsfunctie "Administrator protection" is ingeschakeld.
Waarom dit ertoe doet
Voor organisaties die op Always On VPN vertrouwen, verdient deze oplossing voorrang. Een tool voor externe toegang die ongemerkt geen verbinding maakt, belandt bij de helpdesk meestal als een stroom losse meldingen in plaats van als een duidelijke storing, waardoor de oorzaak lastiger te achterhalen is. Beheerders die hun profielen als noodoplossing op een enkel protocol hebben gezet, doen er goed aan die wijziging na het patchen opnieuw te bekijken.
Het grotere verhaal is het aantal problemen dat aan een enkele maandelijkse release is gekoppeld. VPN-storingen, kapotte Remote Desktop-verbindingen, Hyper-V-problemen en audiobugs zijn allemaal terug te voeren op de septemberupdates. Dat wijst erop dat functies voor zakelijke gebruikers bij elke cumulatieve update een reeel risico op regressies blijven lopen, en het zet IT-teams onder druk die om veiligheidsredenen snel willen patchen maar ook stabiele externe toegang nodig hebben.
Die spanning verdwijnt voorlopig niet, zeker nu Microsoft ook andere grote veranderingen doorvoert in de manier waarop Windows wordt onderhouden, zoals het naderende verlopen van het Windows Update-certificaat dat gevolgen heeft voor oudere pc's. Een gefaseerde uitrol, met een testgroep waarin ook VPN- en Remote Desktop-gebruikers zitten, blijft een verstandige manier om dit soort problemen vroeg op te sporen. Het is ook de moeite waard om in de gaten te houden of de oktoberupdates zelf nieuwe bekende problemen veroorzaken, en of Microsoft het probleem met Administrator protection en Remote Desktop de komende weken oplost.