Microsoft: septemberupdates Windows 11 breken Always On VPN-verbindingen
Verbinding blijft hangen op 'Connecting'
Microsoft heeft beheerders gewaarschuwd dat Always On VPN-verbindingen kunnen stoppen met werken na installatie van de Windows 11-beveiligingsupdates van september 2026. Dat meldt BleepingComputer op basis van een service alert dat het inzag en dat werd gedeeld door Microsoft-MVP Susan Bradley.
Het probleem treedt op in een specifieke configuratie: wanneer de VPN-verbinding is ingesteld om automatisch een andere verbindingsmethode te proberen als de eerste poging mislukt. "Dit probleem kan optreden wanneer de VPN zo is geconfigureerd dat automatisch een andere verbindingsmethode wordt geprobeerd als de eerste verbinding mislukt (bijvoorbeeld bij automatische protocolselectie met IKEv2 en SSTP)", aldus Microsoft.
De symptomen zijn herkenbaar voor wie het meemaakt. Getroffen verbindingen blijven hangen in de status 'Connecting' of proberen eindeloos opnieuw te verbinden zonder resultaat. Volgende pogingen kunnen de foutmelding "The specified port is already in use" opleveren.
Welke updates het betreft
Microsoft noemt drie Windows 11-versies met de bijbehorende update die het probleem introduceert:
- Windows 11 versie 26H1 — KB5124012
- Windows 11 versie 25H2 — KB5124008
- Windows 11 versie 24H2 — KB5124008
Workaround: kies één protocol
Een definitieve oplossing is er nog niet; Microsoft werkt eraan. Als tijdelijke maatregel adviseert het bedrijf om de automatische protocolselectie uit te zetten en het VPN-profiel op één protocol vast te zetten.
"Beheerders kunnen dit probleem verhelpen door het Always On VPN-profiel te wijzigen van automatische protocolselectie naar één protocol, ofwel alleen SSTP ofwel alleen IKEv2, afhankelijk van hun omgeving en configuratie", schrijft Microsoft. Welk protocol de juiste keuze is, laat het bedrijf expliciet aan de organisatie: "Organisaties moeten het protocol kiezen op basis van hun omgeving, beveiliging en implementatievereisten."
Dat is geen triviale afweging. Always On VPN is de opvolger van DirectAccess en werkt met domain-joined, non-domain-joined en Microsoft Entra ID-joined apparaten, op Windows 10, Windows 11 en Windows Server. De verbinding komt automatisch op de achtergrond tot stand zodra een apparaat internet heeft, en beheerders kunnen per app of dienst bepalen wie de tunnel mag gebruiken. Het vastzetten op één protocol haalt juist de fallback weg die in netwerken waar bijvoorbeeld IKEv2 wordt geblokkeerd het verschil maakt tussen wel of geen verbinding. Wie SSTP forceert, verliest de fallback naar IKEv2 en omgekeerd.
Niet het enige probleem deze maand
De cumulatieve updates van september zijn inmiddels aan een reeks storingen gelinkt, bij zowel zakelijke als thuisgebruikers. Een week eerder bracht Microsoft al noodupdates uit voor problemen met Hyper-V, storingen in Remote Desktop Services en USB-audio die het liet afweten — alle drie veroorzaakt door de septemberupdates.
Daarnaast deelde Microsoft een tijdelijke workaround voor een probleem waarbij sommige Windows 11-gebruikers niet konden inloggen met geldige domeincredentials, en maakte het bekend te werken aan een bug waardoor de ingebouwde File History-back-upfunctie kan stoppen met werken.
Voor beheerders die deze maand nog aan het uitrollen zijn, is de praktische les dat de september-cumulatieve updates meer nazorg vragen dan gebruikelijk. Wie Always On VPN gebruikt met automatische protocolselectie, kan het beste vooraf vaststellen welk protocol in de eigen omgeving werkt, voordat gebruikers op afstand zonder verbinding komen te zitten.