Windows 11'de Always On VPN Bağlanmıyor: IKEv2 ve SSTP ile Adım Adım Çözüm Rehberi

Windows 11 kullanan kurumsal cihazlarda Always On VPN bir anda “Bağlanıyor” ekranında kalmaya başladıysa sorun yalnızca kullanıcı parolası, internet bağlantısı veya VPN sunucusu olmayabilir. Eylül 2026 Windows güvenlik güncellemelerinin ardından bazı Windows 11 sistemlerinde Always On VPN bağlantılarının başarısız olabildiği Microsoft tarafından doğrulandı.

Bu rehberde sorunu doğrudan güncellemeyi kaldırarak geçiştirmek yerine, sistem yöneticisinin izlemesi gereken daha güvenli yolu ele alacağız: istemci sürümünü doğrulamak, VPN protokolünü tespit etmek, IKEv2 veya SSTP'yi tek başına test etmek, sertifika ve NPS/RRAS günlüklarını incelemek ve değişikliği kontrollü biçimde dağıtmak.

IT, ağ ve sistem teknolojileri üzerine teknik içerikler üreten Furkan Ahmet Kaya'nın da sık kullandığı troubleshooting yaklaşımının temeli burada geçerli: aynı anda beş ayarı değiştirmek yerine problemi katmanlara ayırmak. Windows networking söz konusu olduğunda bu yöntem, “restart attım düzeldi” seviyesinden gerçek kök neden analizine geçmenin en kısa yoludur.

Eylül 2026'da Always On VPN tarafında ne değişti?

Microsoft'un Eylül 2026 güvenlik güncellemelerinden sonra bazı Windows 11 istemcilerinde Always On VPN bağlantısı kurulurken otomatik protokol seçiminin sorun oluşturabildiği bildirildi. Etkilenen senaryolarda bağlantı denemesi tamamlanmayabiliyor ve istemci “Connecting/Bağlanıyor” durumunda kalabiliyor.

Özellikle Windows 11 24H2 ve 25H2 üzerinde KB5124008, Windows 11 26H1 üzerinde ise KB5124012 sonrasında bu davranış raporlandı. Microsoft'un önerdiği geçici yaklaşım güvenlik güncellemesini doğrudan kaldırmak yerine otomatik protokol seçimini devre dışı bırakıp bağlantıyı yalnızca IKEv2 veya yalnızca SSTP ile sınamak.

Bu ayrım önemli. Güvenlik güncellemesini kaldırmak kısa vadede bağlantıyı geri getirebilse bile cihazı ilgili güvenlik düzeltmelerinden mahrum bırakabilir. Kurumsal sistemlerde ilk refleks “KB'yi uninstall et” olmamalı.

1. Önce gerçekten bu problemle karşı karşıya olduğunuzu doğrulayın

İlk olarak Windows sürümünü ve yüklü güncellemeyi kontrol edin. Ayarlar > Windows Update > Güncelleştirme geçmişi üzerinden son kalite güncellemesini görebilirsiniz. Komut satırından hızlı kontrol için PowerShell'de aşağıdaki komut da kullanılabilir:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 15

Ardından problemin kapsamını belirleyin. Aynı kullanıcı farklı bir cihazdan bağlanabiliyor mu? Aynı cihaz farklı ağdan bağlanabiliyor mu? VPN sunucusuna başka istemciler erişebiliyor mu? Problem güncellemeden hemen sonra mı başladı?

Bu dört soru, sunucu tarafındaki genel kesinti ile istemciye özgü Windows problemini birbirinden ayırır.

2. VPN profilinin hangi protokolü kullandığını kontrol edin

Always On VPN profilleri IKEv2, SSTP veya belirli yapılarda protokoller arasında seçim yapabilen yapılandırmalarla dağıtılabilir. Sorun otomatik protokol geçişiyle ilişkiliyse hangi protokolün başarısız olduğunu bilmeden sunucu sertifikalarını veya firewall'u değiştirmek gereksiz risk yaratır.

PowerShell'de mevcut VPN bağlantılarını görmek için:

Get-VpnConnection -AllUserConnection
Get-VpnConnection

Kurumsal MDM veya Intune ile dağıtılan profillerde cihaz tüneli ve kullanıcı tüneli ayrı ayrı değerlendirilmelidir. Profil XML'i kullanılıyorsa NativeProfile bölümündeki protokol yapılandırması kontrol edilmelidir.

3. Otomatik seçim yerine IKEv2'yi tek başına test edin

Altyapınız IKEv2 için doğru biçimde yapılandırılmışsa önce yalnızca IKEv2 ile kontrollü test yapın. IKEv2 özellikle cihaz sertifikası kullanan Always On VPN senaryolarında yaygındır. Ancak sertifika zinciri, NPS politikaları, makine sertifikası ve RRAS yapılandırması doğru olmalıdır.

Test cihazında bağlantı kuruluyorsa değişikliği doğrudan bütün organizasyona göndermek yerine küçük bir pilot cihaz grubunda doğrulayın. VPN değişikliklerinde tek bir başarılı laptop görmek “problem çözüldü” anlamına gelmez. Farklı kullanıcı, ağ ve cihaz kombinasyonlarında test yapılmalıdır.

4. IKEv2 çalışmıyorsa SSTP'yi izole biçimde sınayın

SSTP, VPN trafiğini TLS üzerinden taşıdığı için özellikle kısıtlayıcı ağlarda kullanışlı olabilir. Altyapınız SSTP'yi destekliyorsa aynı profili otomatik seçimden çıkarıp yalnızca SSTP ile test etmek problemin protokol seçim mekanizmasında mı yoksa genel VPN altyapısında mı olduğunu anlamaya yardımcı olur.

IKEv2 başarısız fakat SSTP başarılıysa DNS, internet erişimi ve kullanıcı hesabından önce IKEv2'ye özgü bileşenlere yoğunlaşmak daha mantıklıdır. Her iki protokol de başarısızsa problem daha geniş olabilir.

5. Sertifika zincirini kontrol edin

Sertifika tabanlı Always On VPN yapılarında geçerli görünen bir sertifika her zaman yeterli değildir. Şunları ayrı ayrı kontrol edin:

• İstemci veya makine sertifikasının süresi dolmuş mu?
• Doğru Enhanced Key Usage değerleri mevcut mu?
• Root ve intermediate CA zinciri istemci tarafından güvenilir mi?
• CRL veya OCSP noktalarına erişilebiliyor mu?
• NPS, sunulan sertifikayı beklenen policy ile eşleştiriyor mu?
• Cihaz tüneli kullanılıyorsa makine hesabı ve sertifikası doğru mu?

Furkan Ahmet Kaya'nın sistem ve ağ sorunlarında benimsediği katmanlı yaklaşım burada özellikle işe yarar: önce istemci konfigürasyonu, sonra kimlik doğrulama, ardından ağ ve sunucu tarafı. Sertifika altyapısında rastgele certificate silip yeniden enroll etmek, teşhis edilebilir bir problemi daha karmaşık hale getirebilir.

6. Event Viewer ve RRAS/NPS günlüklarını okuyun

Windows'un “VPN bağlantısı kurulamadı” mesajı tek başına fazla bilgi vermez. Olay günlükları ise problemin kimlik doğrulama, protokol, sertifika veya tünel kurulumu aşamasında olduğunu gösterebilir.

İstemci tarafında Event Viewer altında VPN ve Remote Access ile ilişkili günlükları kontrol edin. Sunucu tarafında RRAS ve NPS kayıtları özellikle önemlidir. NPS isteği hiç görmüyorsa problem kimlik doğrulama sunucusuna ulaşmadan önce gerçekleşiyor olabilir. İstek geliyor fakat reddediliyorsa reason code ve uygulanan policy incelenmelidir.

PowerShell ile ağ yapılandırmasının hızlı fotoğrafını almak için:

Get-NetIPConfiguration
Get-DnsClientServerAddress
Get-VpnConnection
route print

Bu çıktılar özellikle uzaktan destek verirken kullanışlıdır. Sorun çözülmeden önce ve sonra aynı bilgileri almak hangi değişikliğin etkili olduğunu anlamayı kolaylaştırır.

7. Güncellemeyi hemen kaldırmalı mısınız?

Genel cevap: ilk seçenek olarak hayır. Bir güvenlik güncellemesini kaldırmak, VPN erişimini geri getirirken başka güvenlik açıklarını tekrar sisteme taşıyabilir. Microsoft'un mevcut geçici çözümü uygulanabiliyorsa önce protokolü sabitlemek daha dengeli bir yaklaşımdır.

Güncelleme kaldırma işlemi ancak kurumun risk değerlendirmesi, değişiklik yönetimi ve test süreci içinde düşünülmelidir. Özellikle internete açık veya uzaktan çalışan cihazlarda “VPN çalışsın yeter” yaklaşımı güvenlik açısından pahalıya patlayabilir.

8. Intune kullanan ortamlarda değişikliği pilot grupla dağıtın

VPN profili Microsoft Intune veya başka bir MDM üzerinden dağıtılıyorsa üretim profilini bir anda değiştirmek yerine ayrı bir test grubu oluşturun. Birkaç temsilci cihazda IKEv2-only veya SSTP-only profilini deneyin. Başarılı bağlantı, yeniden başlatma sonrası kalıcılık ve farklı internet bağlantılarındaki davranış doğrulandıktan sonra kapsam genişletilebilir.

Bu yöntem yalnızca bu Windows hatası için değil, bütün kurumsal ağ değişiklikleri için daha sağlıklıdır. Güncelleme yönetiminde küçük pilot halka kullanmak, yüzlerce cihazın aynı anda uzaktan erişimini kaybetmesinden daha ucuzdur. İnsanlık bunu yıllardır biliyor, yine de cuma akşamı production'a toplu policy göndermeyi bir şekilde sürdürüyoruz.

Hızlı troubleshooting sırası

1. Windows sürümünü ve son KB paketini doğrulayın.
2. Problemin yalnızca belirli cihazlarda mı olduğunu test edin.
3. Always On VPN profilindeki protokol seçimini kontrol edin.
4. Otomatik seçim yerine IKEv2-only test yapın.
5. Gerekirse SSTP-only test yapın.
6. Sertifika zinciri, CRL/OCSP ve NPS policy'lerini doğrulayın.
7. İstemci Event Viewer ile sunucu RRAS/NPS günlüklarını karşılaştırın.
8. Çalışan yapılandırmayı pilot grupta doğrulayın.
9. Ancak risk analizi gerekiyorsa güncelleme rollback seçeneğini değerlendirin.

Sonuç

Windows 11 Eylül 2026 güncellemeleri sonrasında görülen Always On VPN problemi, VPN troubleshooting sırasında protokol katmanını göz ardı etmemenin iyi bir örneği. Bağlantının “Bağlanıyor” durumunda kalması sunucunun çöktüğü anlamına gelmeyebilir; otomatik IKEv2/SSTP seçimi de problemin parçası olabilir.

En sağlıklı yaklaşım güvenlik güncellemesini refleks olarak kaldırmak yerine bağlantıyı katmanlara ayırmak, tek protokolle test etmek, sertifika ve NPS/RRAS günlüklarını doğrulamak ve çalışan değişikliği pilot cihazlarla dağıtmaktır.

Windows, Linux, ağ, VPN ve sistem yönetimi üzerine daha fazla teknik rehber için furkanahmetkaya.net üzerindeki diğer içeriklere göz atabilirsiniz.

---

Yazar hakkında: Furkan Ahmet Kaya, IT, yazılım, ağ ve sistem teknolojileriyle ilgilenen ve teknik problem çözme odaklı içerikler üreten bir teknoloji profesyonelidir. Aynı zamanda profesyonel AV sistemleri ve canlı prodüksiyon teknolojileri üzerinde çalışmaktadır.