2026 年 10 月 21 日，微软向 IT 管理员更新服务警报，承认此前把 Always On VPN 连接故障标记为“已解决”是一次误操作。该问题由 9 月安全更新引发，10 月 13 日发布的 KB5127648 并未真正修复，微软已把状态回退为“已缓解”，并称永久修复将在未来数周内随更新提供。
一、故障表现：连接卡在“正在连接”
问题最早在 9 月下旬被微软确认，影响 Windows 11 24H2 及更高版本。当 Always On VPN 配置了自动协议选择或协议回退时，首次连接失败后，VPN 可能一直停留在 Connecting 状态，或者无法重新连接；部分情况下还会提示“指定的端口已被占用”。
对于依赖 VPN 接入内网的企业用户，这意味着远程办公、分支机构和云桌面访问都可能中断，且重启并不一定能恢复。
二、误标“已解决”后回退为“已缓解”
10 月 13 日，微软发布 2026 年 10 月 Patch Tuesday 累积更新 KB5127648，并一度在已知问题列表中把该故障标为 Resolved。随后微软修改了支持文档，删除了“已修复”的表述，并在服务警报中解释：
“This disclosure was mistakenly updated to Resolved status on October 13, 2026. We have returned its status to Mitigated. A resolution for this issue is planned to be included in an update to be released in the coming weeks.”
—— 微软服务警报，来源：BleepingComputer，2026 年 10 月 21 日
微软同时表示歉意，并强调这并非“已彻底修复”，而只是“已缓解”。
三、临时方案：固定单一隧道协议
在永久补丁到来之前，微软给出的缓解办法是修改 Always On VPN 配置文件，把“自动协议选择”改为单一协议：
- 仅使用 SSTP；
- 或仅使用 IKEv2。
具体选择哪一种，需要结合企业网络环境、安全策略和部署要求。对于同时依赖两种协议做回退的环境，这一方案会牺牲部分可用性，但可以避免连接卡死。
四、影响与建议
Always On VPN 支持域加入、非域加入以及 Microsoft Entra ID 加入的 Windows 10、Windows 11 和 Windows Server 设备，因此受影响面并不限于 Windows 11 客户端。企业 IT 团队应重点检查：
- 是否在 9 月和 10 月更新后收到 VPN 连接失败工单；
- VPN 配置是否启用了自动协议选择或回退；
- 是否需要在测试环境中先固定 SSTP 或 IKEv2，再分批推送后续修复。
这次事件也再次说明，补丁说明中的“已解决”需要结合服务警报和已知问题页面交叉确认。对生产环境而言，延迟数天再批量部署月度更新，往往比第一时间全量推送更稳妥。
资料来源：
- Microsoft says October updates didn’t actually fix VPN issues，BleepingComputer，2026-10-21
- October 13, 2026—KB5127648，Microsoft Support