Microsoft draait terug: Always On VPN toch niet gerepareerd in oktober-update

Microsoft heeft de status van een bekend probleem met Always On VPN teruggedraaid van "opgelost" naar "beperkt". De oktober-update voor Windows 11 bleek de storing die de september-update introduceerde niet te verhelpen, terwijl Microsoft op 13 oktober nog meldde dat dat wel zo was.

Van Resolved terug naar Mitigated

Het gaat om melding WI1482218. In de bijgewerkte tekst, geciteerd door The Register, schrijft Microsoft: "Deze melding is op 13 oktober 2026 per ongeluk bijgewerkt naar de status Resolved. We hebben de status teruggezet naar Mitigated." Daar voegt het bedrijf een verontschuldiging voor "ongemak of verwarring" aan toe.

Dat de reparatie als afgerond werd gepresenteerd, is ook terug te zien in Microsofts eigen Windows message center. In de aankondiging van de oktober-update staat bij de hoogtepunten voor Windows 11 versie 26H2 letterlijk dat de update "een probleem aanpakt waardoor Always On VPN-verbindingen konden blijven hangen in een verbindende status of niet opnieuw konden verbinden wanneer automatische protocolselectie of terugval was geconfigureerd". Die claim blijkt dus niet te kloppen.

Wat er misgaat

Always On VPN bouwt op de achtergrond een VPN-verbinding op zonder dat de gebruiker telkens hoeft in te loggen. De functie bestaat sinds Windows 10 en is in beheerde omgevingen een standaardonderdeel van de werkplek. De september-update voor Windows 11 brak die functionaliteit.

Het probleem treedt op bij verbindingen die zijn ingesteld om een andere verbindingsmethode te proberen als de eerste poging mislukt. Microsoft noemt als voorbeeld automatische protocolselectie met IKEv2 en SSTP. Getroffen verbindingen blijven dan in de status "Verbinden" hangen of proberen het eindeloos opnieuw. Vervolgpogingen kunnen de melding "The specified port is already in use" geven. Volgens Microsoft raakt het Windows 11-versies 24H2 tot en met 26H2.

Tijdelijke oplossing blijft nodig

De workaround die Microsoft op 13 oktober noemde, blijft gelden: schakel over van automatische protocolselectie naar één vast protocol. Daarmee komen getroffen gebruikers weer online, maar het betekent wel dat de terugvalconstructie die veel beheerders bewust inrichten tijdelijk van tafel gaat. Microsoft zegt dat een echte oplossing wordt opgenomen in "een update die in de komende weken wordt uitgebracht" — zonder datum.

Voor beheerders is dat vooral vervelend omdat de statuswijziging naar Resolved een reden kon zijn om de workaround alweer terug te draaien. Wie dat op basis van de melding van 13 oktober heeft gedaan, zal de aanpassing opnieuw moeten doorvoeren.

Niet het enige probleem in deze patchronde

De oktober-patchronde van Microsoft levert meer werk op dan gebruikelijk. Eerder deze week werd al bekend dat Exchange-servers onstabiel worden na de oktober-updates voor Windows Server. Daarnaast staat in hetzelfde message center een gepland hardeningsbesluit dat beheerders moeten nalopen: vanaf de oktober-update beperken Windows 11 24H2, 25H2 en 26H2 en Windows Server 2025 standaard het genereren van NTLMv1-afgeleide inloggegevens voor single sign-on. Op apparaten zonder Credential Guard kan dat wifi-, ethernet- en VPN-verbindingen raken die MS-CHAPv2 gebruiken. Microsoft adviseert die verbindingen naar certificaatgebaseerde authenticatie te migreren.