Последние обновления для Windows 11 и Windows 10 вызывают проблемы с VPN-подключениями (L2TP)
Обновления KB5009543 и KB5009566 были выпущены для Windows 10 и Windows 11 и включали несколько исправлений и улучшения безопасности. Как оказывается, последние обновления вызывают проблемы с подключениями к VPN как в Windows 10, так и в Windows 11.
Впервые о проблеме заговорили пользователи Reddit. Они заметили, что компьютеры под управлением Windows 10 не могли установить VPN-подключения после обновления. При попытке подключения с использованием встроенного VPN-клиента Windows появлялось сообщение об ошибке:
В журнале событий Windows ошибка подключения помечена кодом 789.
Пользователи сообщили о различных проблемах с VPN-провайдерами, но большинство наблюдалось при использовании встроенного VPN-клиента Windows. Проблема затрагивает устройства Ubiquiti, SonicWall, Cisco Meraki и брандмауэры WatchGuard, а также клиент WatchGuard.
На данный момент самым быстрым решением проблемы является удаление обновления с вашего компьютера. Перейдите в Панель управления и выберите Программы и компоненты > Просмотр установленных обновлений. В открывшемся окне выберите обновление, выпущенное во «Вторник Патчей»: KB5009566 (для Windows 11) или KB5009543 (для Windows 10) и нажмите кнопку Удалить. Обновление должно отображаться в верхней части списка. Для удаления вам понадобятся права администратора устройства.
Это не единственная проблема, вызванная последними накопительными обновлениями. Корпоративные пользователи Windows Server столкнулись с постоянными перезагрузками, невозможностью использования системы виртуализации Hyper-V и недоступностью дисков ReFS. Удаление обновлений решает эти проблемы.
Надеемся, что Microsoft оперативно подготовит исправления. Иногда проблемы с обновлениями можно устранить с помощью технологии отката известных проблем (Known Issue Rollback). Она позволяет отключить только проблемные части обновления, не удаляя все содержащиеся в нем исправления безопасности. На момент написания статьи Microsoft еще не обозначила проблему с VPN в списке известных проблем.
[РЕШЕНО] January 11 \ 12 января 2022 PPTP \ L2TP \ IPSEC \ IKE массово перестал работать Windows 10
WINDOWS 10 многие клиенты перестали подсоединяться по l2tp\ipsec
при этом судя по логам все умирает на самом начальном этапе на уровне установке соединения IPSEC
Если смотерть лог то ошибка 789
The L2TP connection attempt failed because the security layer encountered a processing error during initial negotiations with the remote computer (Попытка подключения L2TP не удалась, так как уровень безопасности обнаружил ошибку обработки во время первоначальных согласований с удаленным компьютером.)
Если смотреть с сторонны сервера то:
phase1 negotiation failed due to time up xxxxx[500]<=>xxxxxxxxx[500]
и все думал проблема на провайдере но проблема много у кого и провайдеры разные.
РЕШЕНИЕ: обновления от 11 января 2022 года, которые, являются причиной данной проблемы:
Windows 10 — KB5009543
Windows 10 — Kb5008876
Windows 10 LTSC — KB5009557
Windows 11 — KB5009566
Как удалить обновление через повершелл:
wusa /uninstall /kb:5009543
wusa /uninstall /kb:5008876
wusa /uninstall /kb:5009566
Плохое РЕШЕНИЕ — отключить IPSEC шифрование для L2tp :
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\Parameters]
«AllowL2TPWeakCrypto»=dword:00000001
«ProhibitIpSec»=dword:00000001
Добрый день, коллеги!
Немного полезной информации. Сотрудница на личном ноуте умудрилась вместо удаления обновления сбросить систему, таким образом закрепив все обновления. Так что или ждать исправление от Microsoft, или иная рекомендация нужна. Ну роме рпереустановки ))
Скорее нужно ковырять реестр, но не понятно, что это обновление с ним сделало.
РЕШЕНИ ДЛЯ ВАС, это плохое решение, котое я описал выше — внести в реестр изменение и отключить IPSEC для L2TP
После установки KB5009543 подключения IP Security (IPSEC), содержащие ID поставщика, могут привести к сбойу. Кроме того, могут затронуть VPN-подключения с использованием протокола тоннелей уровня 2 (L2TP) или ключа ip security Internet Exchange (IPSEC IKE).
Обходное решение. Чтобы устранить проблему для некоторых VPN, можно отключить Vendor ID в параметрах на стороне сервера. Примечание. Не все VPN-серверы могут отключить ID поставщика от использования.
Дальнейшие действия. В настоящее время мы исследуем проблему и предоставим обновление в предстоящем выпуске.
Затронутые платформы:
Клиент: Windows 11, версия 21H2; Windows 10 версии 21H2; Windows 10 версии 21H1; Windows 10 версии 20H2; Windows 10 версии 1909; Windows 10, версия 1809; Windows 10 Корпоративная LTSC 2019; Windows 10 Корпоративная LTSC 2016; Windows 10 версии 1607; Windows 10 Корпоративная 2015 с долгосрочным обслуживанием
Сервер: Windows Server 2022; Windows Server, версия 20H2; Windows Server 2019; Windows Server 2016
Эти обновления не ломают PPTP. На машинах, где у нас сломался L2TP + IPSec, PPTP поднялся без проблем, так и «лечим» удаленных клиентов: пускаем к нам по PPTP, подключаемся к клиенту, удаляем обновление, убиваем PPTP.
К тому же по факту обновление ломает не L2TP, а IPSec, сразу после первой фазы на виндовом клиенте получаем ошибку 789, типа, не договорились о параметрах безопасности.
При этом L2TP с принудительно отключенным IPSec подключается.
Microsoft — признали проблему и написали обходное решение(об этом я писал выше):
Workaround: To mitigate the issue for some VPNs, you can disable Vendor ID within the server-side settings. Note: Not all VPN servers have the option to disable Vendor ID from being used. (по их словам решение отключить Vendor ID)
Можно ли отключит vendor-id для mikrotik ipsec, как рекомендует Microsoft
Ответ MIKROTIK об отключение vendor id:
Disabling Vendor ID sending on responder side is not a viable option in my opinion as NAT-T detection depends on Vendor ID’s. So disabling Vendor ID option on server side would not allow clients behind NAT to connect, which are most of Windows users anyway.
https://datatracker.ietf.org/doc/html/rfc3947#section-3.1
Итог, решение с отключение vendor id : отключение Vendor ID, как рекомендованный Microsoft обходной путь для их неработающего обновления, по существу сломает VPN для всех пользователей за NAT.
Решением по прежнему как я написал в первом ответе является удаление обновлений.
Свежее обновление Windows делает невозможным подключение через VPN (L2TP)
Похоже Microsoft решила сделать оригинальный новогодний подарок и продлить новогодние праздники ещё немного, выпустив обновление делающее невозможным VPN-подключение по протоколу L2TP, который часто используется для удалённой работы. То что обновления Windows , приносят не только исправления но и новые баги — уже не новость. Однако ввиду того что данная проблема носит широкий характер из-за большой вероятности появления и большого распространения удалённой работы решил что неплохо бы предупредить сообщество.
Итак, обновления от 11 января 2022 года, которые, вероятно, и являются причиной данной проблемы:
- Windows 10 — KB5009543 (также упоминается KB5008876 )
- Windows 11 — KB5009566 (также упоминается KB5008880 )
Упомянутые в скобках обновления пришли параллельно с проблемными, судя по комментариям они к рассматриваемой проблеме отношения не имеют.
Стоит отметить что обновление не в 100 % случаях приводит к проблеме, частично это зависит от конечной точки к которой осуществляется подключение. Проблема наблюдается как при создании нового подключения так и для уже для настроенных подключений.
Если обновление уже установлено в качестве решения проблемы на данный момент предлагается только откат обновления, например следующим PowerShell-скриптом (требуются админские права).
В комментариях отметили что обновление KB5009624 для Windows Server 2012 R2, также вышедшее накануне, вызывает проблемы с виртуальными машинами Hyper-V.
При появлении других решений добавлю их в конце публикации.
Если обновление ещё не установлено — рекомендуется воспользоваться функцией приостановки обновлений.
UPD:
В комментариях сообщают что сломалось не само L2TP, а варианты авторизации MS-Chap и EAP, поэтому возможна неработоспособность других подключений, использующих эти алгоритмы.
Также предлагают отключить или ослабить IPSec, однако это снижает безопасность подключения, и не помогает, если на сервере VPN настроено строгое шифрование (поэтому самым актуальным на данный момент являет решение с откатом обновления).
Как удалить обновление, которое не удаляется в Windows 10?
Бывают ситуации, когда необходимо удалить обновление, а оно не удаляется. В предыдущей заметке указывал, что на ОС Windows 10 версии 2004 и 20H2, при попытке удалить обновление KB5000802, выдает сообщение:
В Сети, активно передается инструкция с remontka, где описан способ (продублирую его ниже в данной заметке), как можно удалить обновление, которое не удаляется. По указанной информации в статье, это был мой случай. Однако, в моей ситуации, мне не помогла данная информация.
Проблема не только у меня. Можно найти достаточно информации, где у пользователей не удавалось найти нужные параметры, чтобы сделать обновление необязательным. Например: https://social.technet.microsoft.com/Forums/. И в свежих темах на форумах, где пользователи не могли удалить обновления KB5000802 и KB5000808, вызывающие проблемы с принтерами.
В инструкции указано, что нужно найти файл с расширением .MUM и с начинающимся названием Package_for_KB_НОМЕР_ОБНОВЛЕНИЯ. В моем случае, такой файл отсутствовал. При помощи утилиты Dism++, мне удалось выяснить название нужного файла:
Нашел данный файл по пути C:\Windows\servicing\Packages
Открыл его в Блокноте, однако, параметр permanence=»permanent» в нем отсутствовал. Искал и в ручную и воспользовался поиском по файлу. Результат отрицательный:
Как удалить не удаляемое обновление в ОС Windows 10?
Способ 1.
Данный способ, актуален для ОС Windows 10 и только в том случае, если вам необходимо удалить последние обновления. Чаще всего, это и нужно, ведь необходимость удалить обновления, возникает сразу после установки обновлений, которые вызывают проблемы.
Чтобы удалить последнее обновление, открываем « Пуск » -> « Параметры » -> « Обновление и безопасность » -> « Восстановление ».
Выбираем вариант « Особые варианты загрузки » и нажимаем « Перезагрузить сейчас »:
После перезагрузки, вам будет предложено выбрать варианты решения проблемы. Выбираем « Поиск и устранение неисправностей » :
Нажимаем « Удалить обновления » :
И выбираем « Удалить последнее исправление »* :
*Не ошибитесь при выборе варианта. Если выбрать вариант « Удалить последнее обновление компонентов » , будет произведен откат на предыдущую версию системы, если это возможно.
В моем случае, мне помог данный способ удалить не удаляемое обновление, которое не удалялось через командную строку и выдавало сообщение (скрин выше):
Способ 2.
Откройте «Блокнот или любой текстовый редактор от имени Администратора.
Открываем поиск и вбиваем «Блокнот». Выбираем «Запуск от имени Администратора»:
В открывшемся Блокноте, открываем меню «Файл» -> «Открыть»:
В открывшемся окне «Открытие», выбираем в поле тип файлов «Все файлы (*.*)» и переходим в папку C:\Windows\servicing\Packages:
Ищем файл с расширением .mum, у которого имя будет начинаться с Package_for_KB_НОМЕР_ОБНОВЛЕНИЯ и выбрав нужное, нажимаем «Открыть»:
Должно стать так:
И сохраняем изменения «Файл» -> «Сохранить»:
Если не можете найти параметр permanence=»permanent», воспользуйтесь поиском в Блокноте. Для этого, в окне Блокнота открываем «Правка» -> «Найти»:
В открывшемся окне поиска, вставляем параметр:
ставим галочку напротив «Обтекание текстом» и нажимаем «Найти»:
Теперь, вы сможете удалить не удаляемое обновление.
Как удалить быстро обновление?
Данным способом, можно удалить только те обновления, которые Microsoft не отмечает как «Важные». Например, в приведенном выше примере, мы рассмотрели ситуацию, когда данный способ, не позволял удалить важное обновление Windows. Во всех остальных ситуациях, вы можете использовать нижеприведенные способы.
Способ 1.
На мой взгляд, самый простой и быстрый способ, это открыть командную строку от имени Администратора и выполнить команду (скопируйте команду ниже и вставьте ее в командную строку):
Мы получим список обновлений, которые установлены на устройстве. Если нам известно обновление, которое необходимо удалить, выполняем команду:
Например: wusa /uninstall /kb:5000802
Вместо 5000802, вам необходимо указать номер своего обновления.
Чтобы обновление не устанавливалось повторно, выберите отсрочку обновлений на 7 дней. Для этого, откройте Пуск -> Параметры -> Обновление и безопасность -> Центр обновления Windows и выберите пункт «Приостановить обновления на 7 дн.»:
Таким образом можно приостановить установку обновлений максимум до 35 дней.
Способ 2.
Можно воспользоваться утилитой WuMgr (Update Manager for Windows) для удаления обновлений. Инструмент имеет открытый исходный код.
Скачайте инструмент с Github.
Распакуйте архив в любую папку и запустите утилиту от имени Администратора (исполняемый файл: wumgr.exe). В открывшемся окне, выберите «Установленные обновления » и нажмите на « Поиск » :
После поиска, снова нажимаем на «Установленные обновления » и выбираем то обновление, которое хотим удалить. После, нажимаем « Удалить » :
Повторюсь, что так, можно удалить только те обновления, которые не отмечены в Microsoft как « Важные » .
Добавлено 15.03.2021
Можно попробовать удалить обновление при помощи DISM. Но, процесс не гарантирован. Судя по всему, в ОС Windows 10 версии 2004 и выше, что то изменилось в обновлениях*. Более оптимальный вариант, использовать MSDaRT. Достаточно загрузится с диска MSDaRT (разрядность должна совпадать), выбрать « Диагностика » -> « Microsoft Diagnostics and Recovery Toolset » . В списке утилит нужно выбрать « Hotfix Uninstal » ( « Удаление исправлений » ).
В любом случае, пробуйте сначала откатить обновление штатными средствами (инструкции выше). Можно проверить контрольные точки восстановления и откатиться на них (до момента установки проблемного обновления).
*Перепроверю точно и добавлю информацию позже.
Проверил. При помощи DISM, не всегда удается удалить обновление. В моем случае, мне не удалось удалить обновление КВ5000802 на ОС Windows 10 версии 20H2 при помощи DISM: «Удалить обновление при помощи DISM.»
Более того, сегодня обнаружил, что не удается на некоторых машинах, выполнить откат, как описано выше. Ниже, продублирую информацию с ошибкой:
Выбираем « Удалить последнее обновление » :
Выбираем свою учетку:
Указываем пароль от учетки (если есть, если нету пароля, оставляем поле пустым):
И получаем отказ:
Повторюсь, что только в субботу (13.03.2021) успешно удалял обновление КВ5000802 с ОС Windows 10 версии 20H2 на ряде компьютеров, о чем писал выше. Поэтому, пробуйте. Исходя из информации на форумах, это происходит у ряда пользователей. Одни могут удалить обновление КВ5000802, другие не могут.
Добавлено 02.04.2021
Будут вопросы, уточнения, поправки – пишите в комментариях. Ваша информация, может помочь другим.
Отправить комментарий
Приветствуются комментарии с полезной информацией: уточнениями, дополнениями, вопросами. Очень хорошо, когда вы делитесь своим опытом. Ваш опыт и информация, могут быть полезны другим.
Категорически запрещено в комментариях использование ненормативной лексики (в том числе нецензурную речь). Комментарии со спамом и рекламой, не пройдут модерацию.
Все комментарии, проходят модерацию и публикуются только после рассмотрения и одобрения.