Always On VPN eindelijk gerepareerd in KB5127936

Microsoft heeft de storing in Always On VPN verholpen die sinds de september-update van Windows 11 verbindingen liet vastlopen. De fix zit in KB5127936, de optionele preview-update van 28 oktober. Eerder deze maand meldde Microsoft het probleem al als opgelost, wat toen niet bleek te kloppen.

Wat er misging

Always On VPN bouwt op de achtergrond een tunnel naar het bedrijfsnetwerk op zonder dat de gebruiker telkens hoeft in te loggen. De functie verving DirectAccess en werkt op domein-joined, niet-domein-joined en Entra ID-joined apparaten.

De september-update brak dat op profielen die zijn ingesteld op automatische protocolselectie of protocol fallback — de configuratie waarbij Windows IKEv2 en SSTP achter elkaar probeert. In het supportartikel bij KB5127936 schrijft Microsoft dat getroffen verbindingen konden blijven hangen in de status Connecting, of helemaal niet meer verbonden nadat een eerste poging was mislukt. Bij volgende pogingen kon de melding "The specified port is already in use" verschijnen.

Eerst onterecht als opgelost gemeld

Microsoft presenteerde de reparatie op 13 oktober al als afgerond in de oktober-update. Die status werd later teruggedraaid naar Mitigated, met de mededeling dat de melding per ongeluk was bijgewerkt. Beheerders moesten de workaround daardoor langer aanhouden dan verwacht; wallieweb schreef daarover op 21 oktober. Nu staat de fix letterlijk in de lijst met opgeloste punten van de preview-update.

De update repareert ook een tweede probleem uit dezelfde reeks: niet-beheerders konden geen Remote Desktop-verbinding meer opzetten naar apparaten met Administrator protection aan, met foutcode 0xC000000D.

Welke apparaten de fix krijgen

KB5127936 levert OS-builds 26300.9818 en 26200.9818. Dat zijn Windows 11 versie 26H2 en versie 25H2. In de buildlijst van dit supportartikel ontbreekt de 26100-reeks, oftewel versie 24H2 — die krijgt deze preview-update niet.

Let op dat het om een preview-update gaat: optioneel, zonder securityfixes, bedoeld om te testen voordat de wijzigingen met Patch Tuesday breed uitgaan. De eerstvolgende Patch Tuesday is dinsdag 10 november.

Wat je nu kunt doen

Draai je 25H2 of 26H2 en heb je last van de storing, dan kun je KB5127936 nu uitrollen. Hij staat in Windows Update onder de optionele updates en is beschikbaar via WSUS en de Microsoft Update Catalog.
Wil je geen preview-update in productie, houd dan de workaround aan tot 10 november. Microsoft adviseert het Always On VPN-profiel van automatische protocolselectie om te zetten naar één vast protocol: óf alleen SSTP, óf alleen IKEv2, afhankelijk van je omgeving en beveiligingseisen.
Zit je op 24H2, dan is de workaround voorlopig de enige route; deze preview-update dekt die reeks niet.
Zet de workaround pas terug nadat je op een testapparaat hebt vastgesteld dat automatische protocolselectie weer werkt. Een profiel dat op één protocol staat vastgezet, blijft werken — het verliest alleen de fallback.