Always On VPN: Microsoft corrige el fallo de septiembre
Microsoft ha corregido un problema conocido que dejaba sin funcionar las conexiones de Always On VPN en equipos con Windows 11 tras instalar las actualizaciones de seguridad de septiembre de 2026.
La solución llega con las actualizaciones acumulativas KB5127648 y KB5127646, que la compañía publicó el martes dentro de su Patch Tuesday de octubre de 2026. Según Microsoft, ambas actualizaciones resuelven el problema en todos los sistemas afectados.
Qué hace Always On VPN
Always On VPN es la solución de acceso remoto de Microsoft y la sucesora de la antigua tecnología DirectAccess. Es compatible con dispositivos Windows 10, Windows 11 y Windows Server, tanto si están unidos a un dominio como si no, o si están unidos a Microsoft Entra ID, el servicio de identidad en la nube de la compañía antes conocido como Azure Active Directory.
La función trabaja de forma discreta en segundo plano. Cada vez que un dispositivo obtiene conexión a internet, establece automáticamente un túnel seguro hacia la red corporativa, de modo que los usuarios no tienen que iniciar la VPN por su cuenta. Por eso es una opción habitual en organizaciones con plantillas en remoto o en modalidad híbrida, y también significa que un fallo puede dejar a los empleados sin acceso a los recursos internos casi sin previo aviso.
Cómo se manifestaba el fallo
Microsoft avisó por primera vez a los administradores de TI del problema en una alerta de servicio enviada a finales de septiembre. El fallo afectaba a dispositivos actualizados con Windows 11 24H2 y versiones posteriores.
El desencadenante era un primer intento de conexión fallido. Muchas implantaciones de Always On VPN utilizan la selección automática de protocolo, en la que el cliente prueba un protocolo de túnel y recurre a otro si el primero no funciona. Un ejemplo típico es un perfil que puede usar IKEv2 o SSTP. En los sistemas con las actualizaciones de septiembre, este mecanismo de respaldo no se comportaba como debía.
"Cuando se configuraba la selección automática de protocolo o el protocolo de respaldo, las conexiones VPN afectadas podían quedarse bloqueadas en el estado Conectando o no llegar a conectarse después de que fallara un primer intento de conexión", explicó Microsoft.
Volver a intentarlo no siempre servía de algo. "En algunos casos, los intentos de conexión posteriores podían mostrar el error 'El puerto especificado ya está en uso'", añadió la compañía.
Solución provisional si se retrasa la actualización
No todas las organizaciones pueden desplegar las actualizaciones acumulativas el mismo día de su publicación. Para quienes necesiten más tiempo, Microsoft ha descrito una mitigación temporal que elimina de la ecuación la lógica de respaldo.
"Los administradores de TI pueden mitigar este problema cambiando el perfil de Always On VPN de la selección automática de protocolo a un único protocolo, ya sea solo SSTP o solo IKEv2, en función de su entorno y configuración", indicó Microsoft.
La compañía no recomendó un protocolo frente al otro. "Las organizaciones deben elegir el protocolo en función de su entorno y de sus requisitos de seguridad y de implantación", señaló.
La contrapartida está clara: fijar un perfil a un único protocolo evita el fallo, pero también renuncia a la resiliencia que se supone que aporta la selección automática. Los administradores que recurran a esta solución probablemente querrán revertir el cambio una vez instaladas las actualizaciones de octubre.
Parte de una tendencia más amplia
El problema con la VPN no es el único efecto secundario de las actualizaciones de septiembre de 2026. El mes pasado, Microsoft publicó actualizaciones de emergencia para corregir fallos en Remote Desktop Services, problemas con Hyper-V y errores de audio USB que afectaban tanto a usuarios domésticos como empresariales de Windows. Todos ellos tenían su origen en esa misma publicación de septiembre.
Esta semana, Microsoft también ha confirmado otro problema con Escritorio remoto. Los usuarios sin privilegios de administrador pueden tener dificultades para conectarse a dispositivos mediante Escritorio remoto tras instalar las últimas actualizaciones de Windows si está activada la función de seguridad "Administrator protection".
Por qué es importante
Para las organizaciones que dependen de Always On VPN, merece la pena dar prioridad a esta corrección. Una herramienta de acceso remoto que falla sin hacer ruido suele llegar al servicio de asistencia en forma de avalancha de incidencias individuales y no como una caída evidente, lo que puede dificultar identificar la causa de fondo. Los administradores que cambiaron los perfiles a un único protocolo como apaño temporal deberían prever revisar ese cambio después de aplicar el parche.
Lo más relevante es la cantidad de problemas vinculados a una sola publicación mensual. Fallos de VPN, problemas con Escritorio remoto, errores de Hyper-V y fallos de audio tienen su origen en las actualizaciones de septiembre. Esto apunta a que las funciones orientadas a la empresa siguen arrastrando un riesgo real de regresión con cada actualización acumulativa, y presiona a los equipos de TI que quieren aplicar parches cuanto antes por motivos de seguridad, pero que también necesitan un acceso remoto estable.
Esa tensión no va a desaparecer, sobre todo ahora que Microsoft introduce otros cambios importantes en el mantenimiento de Windows, como la próxima caducidad del certificado de Windows Update, que afectará a los equipos más antiguos. Un despliegue escalonado, con un grupo piloto que incluya usuarios de VPN y de Escritorio remoto, sigue siendo una forma sensata de detectar estos problemas a tiempo. También conviene estar atentos a si las actualizaciones de octubre introducen sus propios problemas conocidos y a si Microsoft resuelve en las próximas semanas el fallo de Administrator protection con Escritorio remoto.