Microsoft’un 8 Eylül’de yayınladığı Windows 11 KB5124008 güvenlik güncellemesi, sertifika tabanlı Always On VPN kullanan bazı kurumsal cihazlarda bağlantı sorununa yol açtı. Sorun, Windows 11’in 24H2 ile 25H2 sürümlerinde Windows Server 2019 RRAS ve NPS altyapısına bağlanan istemcilerde görülüyor. Microsoft’un güncelleme notlarında şu aşamada bu VPN sorununa ilişkin resmi bir düzeltme yer almazken yöneticiler dağıtımı kontrollü biçimde durdurabiliyor.
Sertifika Tabanlı VPN Bağlantıları Güncellemeden Sonra Çalışmıyor
Windows 11 istemcilerinde KB5124008 kurulduktan sonra sertifika ile kimlik doğrulayan Always On VPN bağlantılarının başarısız olduğu bildiriliyor. Microsoft Q&A platformundaki bir yönetici, aynı sorunun güncelleme kaldırıldığında ortadan kalktığını ve paket yeniden kurulduğunda tekrar ortaya çıktığını belirtiyor.
Sorunun görüldüğü yapı, Intune üzerinden dağıtılan Always On VPN profillerini Windows Server 2019 üzerindeki RRAS ile NPS sunucularına bağlayan kurumsal ortamlardan oluşuyor. Microsoft, Always On VPN’in IKEv2 üzerinden makine sertifikasıyla kimlik doğrulamayı desteklediğini belirttiği için söz konusu bağlantı modeli özellikle cihaz tünellerinde kritik bir rol taşıyor.
Windows 11 24H2 ile 25H2 sürümlerini kullanan istemciler, bildirilen problemin kapsamındaki işletim sistemlerini oluşturuyor. Microsoft, KB5124008 paketini 8 Eylül 2026’da her iki sürüm için yayınlarken güncelleme 26100.9445 ve 26200.9445 işletim sistemi derlemelerine karşılık geliyor.
Kurumsal VPN altyapısındaki arıza, özellikle uzaktan çalışan personelin şirket içindeki kaynaklara erişimini doğrudan etkileyebiliyor. Always On VPN bağlantısı oturum açıldığında otomatik olarak kurulabildiği için sistemdeki kimlik doğrulama sorunu kullanıcıların şirket ağına erişim sürecini kesintiye uğratabiliyor. Microsoft’un teknik belgeleri, bu yapının kurumsal kaynaklara güvenli bağlantı sağlamak üzere tasarlandığını belirtiyor.
Always On VPN bağlantısının kurulması sırasında istemci ile VPN sunucusu arasında IKEv2 tabanlı kimlik doğrulama gerçekleşiyor. Makine sertifikasının geçerliliği, sertifika zincirinin güvenilirliği, sunucu sertifikasının kullanım amacı gibi kontroller bağlantının kurulup kurulamayacağını belirliyor.
Microsoft’un Always On VPN belgeleri, IKEv2’nin makine sertifikasıyla kimlik doğrulamayı desteklediğini açıkça belirtiyor. Bu nedenle KB5124008 sonrasında ortaya çıkan regresyonun sertifika müzakeresi veya ağ yığını üzerindeki değişikliklerle ilişkili olabileceği değerlendiriliyor ancak Microsoft henüz sorunun teknik kök nedenini doğrulamadı.
Sorun yaşayan yöneticilerin sertifika geçerliliği, güvenilir kök sertifikalar, NPS politikaları ile RRAS yapılandırmasını kontrol etmesi gerekiyor. Microsoft’un sorun giderme belgelerinde 13801 ile 13806 gibi hata kodlarının IKE kimlik doğrulaması ve makine sertifikası problemleriyle ilişkili olabileceği belirtiliyor.
Intune üzerinden dağıtılan VPN profilleri, şirketlerin merkezi olarak bağlantı yapılandırmalarını istemcilere göndermesine olanak tanıyor. Microsoft’un VPNv2 CSP dokümantasyonuna göre yöneticiler AlwaysOn seçeneğini etkinleştirerek VPN profilinin oturum açılışında otomatik bağlantı kurmasını sağlayabiliyor.
KB5124008 kaynaklı bağlantı sorunu böyle bir ortamda yalnızca tek bir bilgisayarın VPN ayarını etkilemekle sınırlı kalmayabiliyor. Aynı profil çok sayıda cihaza Intune üzerinden dağıtılmışsa güncellemenin uygulanması sonrasında benzer bağlantı hataları birden fazla çalışanın erişiminde ortaya çıkabiliyor.
Şirket yöneticileri güncellemenin dağıtımını WSUS veya Intune üzerinden geçici olarak durdurmayı değerlendirebilir. Böyle bir kararın kurumun güvenlik politikalarıyla birlikte ele alınması gerekiyor çünkü KB5124008 bir güvenlik güncellemesi olarak yayınlandı ve paketin kaldırılması cihazları güncellemenin içerdiği güvenlik düzeltmelerinden mahrum bırakabilir.
Microsoft’un yayınladığı KB5124008 destek sayfasında şu an için Always On VPN bağlantı problemiyle ilgili resmi bir bilinen sorun kaydı bulunmuyor. Şirketin yayınladığı paket, Windows 11 24H2 ile 25H2 için güvenlik güncellemelerini içeriyor.
Kurumsal yöneticilerin sorunu Microsoft’a bildirirken VPN istemcisi, RRAS, NPS ile sertifika günlüklerini paylaşması kök neden analizini kolaylaştırabilir. Microsoft’un kendi sorun giderme belgeleri de bağlantı kurulamadığında NPS olay günlüklerinin, sertifika durumunun ve IKE kimlik doğrulamasının incelenmesini öneriyor.
Microsoft’un yeni bir toplu güncelleme veya düzeltme yayınlaması halinde kurumların güvenlik güncellemesini tamamen ertelemek yerine VPN bağlantısını yeniden doğruladıktan sonra kontrollü dağıtıma geçmesi daha sağlıklı bir yaklaşım olacak. Özellikle uzaktan çalışma altyapısına bağımlı şirketlerde güvenlik yamaları ile iş sürekliliği arasındaki denge, KB5124008 sonrasında yeniden gündeme gelecek.
