Microsoft ha reconocido que un fallo de Windows 11 que rompe las conexiones Always On VPN nunca se llegó a arreglar. La compañía lo dio por resuelto con el Patch Tuesday de octubre de 2026 y luego dio marcha atrás sin hacer ruido. Ahora promete una corrección real “en las próximas semanas”.
Si gestionas portátiles con Windows en una empresa, esto te interesa. Si usas en casa una app VPN como NordVPN o Proton VPN, seguramente puedes respirar tranquilo, y te contamos por qué.
Qué ha pasado
El fallo apareció tras las actualizaciones de seguridad de septiembre de 2026 para Windows 11. Afecta a Always On VPN, la función integrada de Windows que usan las empresas para mantener los portátiles de la plantilla conectados automáticamente a la red corporativa. Microsoft reconoció el problema a finales de septiembre en un aviso de servicio para administradores.
Con la actualización acumulativa de octubre, el problema pasó a figurar como Resuelto. No lo estaba. El 20 de octubre, The Register contó que Microsoft había devuelto el estado del problema (referencia WI1482218) a Mitigado, con esta nota:
“This disclosure was mistakenly updated to Resolved status on October 13, 2026. We have returned its status to Mitigated.”
Es decir: la incidencia se marcó por error como Resuelta el 13 de octubre y Microsoft la ha vuelto a poner como Mitigada. Añade que la solución “está prevista en una actualización que se publicará en las próximas semanas”. BleepingComputer informó el 21 de octubre de que Microsoft se disculpó por la confusión.
Always On VPN, en pocas palabras
Always On VPN es el sucesor de DirectAccess, el sistema antiguo que mantenía los portátiles de empresa conectados a la red de la oficina. La idea es sencilla: en cuanto el portátil de un empleado tiene internet, Windows abre un túnel VPN hacia la empresa sin que nadie haga clic. Los administradores despliegan el perfil de forma centralizada, normalmente con Microsoft Intune o directivas de grupo, y muchos usuarios ni saben que existe hasta que falla.
Puede conectarse con IKEv2, un protocolo rápido que lleva bien los cambios de red, o con SSTP, que usa el mismo puerto que el tráfico HTTPS normal y atraviesa casi cualquier cortafuegos. El ajuste automático prueba uno y, si falla, pasa al otro. Justo en ese cambio está el fallo.
Cuando falla, la gente que teletrabaja pierde el acceso a carpetas compartidas, la intranet y las aplicaciones internas. Por eso los equipos de soporte lo detectaron ya en septiembre.
Qué sistemas están afectados
Según los dos medios:
- Windows 11 24H2 y posteriores, es decir, en la práctica 24H2, 25H2 y 26H2
- Equipos con Always On VPN, unidos a dominio, sin dominio o unidos a Microsoft Entra ID
- Perfiles que cambian a otro método de conexión tras un primer intento fallido. El caso típico es la selección automática de protocolo, en la que Windows prueba IKEv2 y luego SSTP
Los síntomas no tienen pérdida. La conexión se queda en “Conectando” o reintenta una y otra vez. Los intentos siguientes pueden fallar con el error de que el puerto especificado ya está en uso.
The Register apunta que el fallo de fondo viene de Windows 10, pero ha sido la actualización de septiembre la que lo ha hecho aflorar en las versiones actuales de Windows 11.
La solución temporal
La solución de Microsoft no ha cambiado desde septiembre: dejar de permitir que Windows elija el protocolo solo. Los administradores deben fijar el perfil de Always On VPN en un único protocolo, solo SSTP o solo IKEv2, según lo que admitan su pasarela VPN y sus requisitos de seguridad.
Se despliega fácil con Intune o directivas de grupo, pero tiene contrapartidas. IKEv2 suele ser más rápido y se adapta bien a los cambios de red. SSTP va por el puerto 443, así que pasa los cortafuegos de los wifi de hotel y de invitados que bloquean IKEv2. Elegir uno es perder el respaldo que hacía atractivo el modo automático. Si tu gente viaja mucho, SSTP es la opción única más segura. Si trabajan sobre todo desde casa y la oficina, IKEv2 da mejor experiencia.
¿Afecta a NordVPN, Proton VPN y otras apps VPN?
Muy poco probable. Ninguno de los dos artículos menciona apps VPN de consumo, y la parte técnica explica por qué. Always On VPN es una función del cliente VPN integrado en Windows, configurada por el departamento de IT de una organización. Las apps VPN para particulares instalan su propio cliente y se conectan con sus propios protocolos, sobre todo basados en WireGuard, como NordLynx, u OpenVPN.
Así que si tu app VPN personal va rara, probablemente este fallo no tiene la culpa. Revisa primero lo habitual: una app sin actualizar, un adaptador de red que hay que reiniciar o una regla del cortafuegos. Nuestra guía mi VPN se desconecta: soluciones los repasa.
La única excepción: si configuraste una VPN a mano en los ajustes de Windows (Configuración, Red e Internet, VPN) y elegiste “Automático” como tipo de VPN. Eso usa el mismo cliente integrado. Si empezó a fallar tras la actualización de septiembre, cambia el tipo de VPN a un solo protocolo o, mejor, usa la app de tu proveedor. Nuestra guía para configurar una VPN en Windows 11 explica los dos métodos.
Si buscas una VPN para un PC personal con Windows, NordVPN es nuestra primera opción con 4,63/5, app propia para Windows, kill switch y política sin registros auditada por PwC.
Cómo saber si usas Always On VPN
Si eres empleado y no administrador:
- Abre Configuración, luego Red e Internet y luego VPN.
- Busca una conexión VPN que no hayas creado tú, normalmente con el nombre de tu empresa.
- Si indica que la gestiona tu organización, o se conecta sola al iniciar sesión, probablemente es Always On VPN.
Si se queda en “Conectando”, no intentes arreglarlo tú borrando el perfil. Avisa a tu departamento de IT. Tienen que aplicar la solución de forma centralizada, y borrar un perfil gestionado puede dejarte sin acceso a los recursos de la empresa.
No es el único problema de VPN en Windows este mes
Es el segundo problema de VPN en Windows que cubrimos en una semana. La actualización de octubre KB5127648 también activa un bloqueo de NTLMv1 que rompe algunos inicios de sesión de VPN y wifi que usan MS-CHAPv2. Es otro problema con otra solución, y lo explicamos en nuestro artículo sobre KB5127648 y la autenticación de VPN y wifi.
BleepingComputer recoge otros efectos de las actualizaciones de septiembre: problemas con Hyper-V, Servicios de Escritorio remoto y audio USB que necesitaron parches de emergencia fuera de calendario, un problema de inicio de sesión con credenciales de dominio con solución temporal, y un fallo del Historial de archivos en el que Microsoft sigue trabajando. Dos meses duros para los administradores de Windows.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Nuestra opinión
Los fallos pasan. Marcar como arreglado uno que no lo está es peor, porque les dice a los administradores que pueden quitar su solución temporal. Quien volviera a poner sus perfiles Always On VPN en modo automático después del 13 de octubre puede haberse cargado el acceso remoto de sus propios usuarios.
Nuestro consejo para los equipos de IT: mantened la solución de un solo protocolo, ignorad las etiquetas de “Resuelto” en esta incidencia hasta que Microsoft publique y documente una corrección concreta, y probadla con un grupo piloto antes de desplegarla. Para las organizaciones que ya se replantean su dependencia de un único túnel VPN, nuestro artículo VPN vs zero trust merece la lectura.
Actualizaremos este artículo cuando Microsoft publique la corrección.
La actualización de octubre de 2026 de Microsoft no arregló el fallo de Always On VPN en Windows 11 24H2 y posteriores, aunque durante unos días figuró como resuelto. Los administradores deben dejar los perfiles de Always On VPN en un solo protocolo (SSTP o IKEv2) hasta que llegue una corrección confirmada, anunciada para "las próximas semanas". Las apps VPN de consumo usan su propio cliente y no están afectadas. Para un PC personal, NordVPN es nuestra opción mejor valorada.