Solución de problemas de autenticación 802.1X en Windows 11: guía para TI empresarial

Respuesta rápida: la mayoría de los fallos de 802.1X en Windows 11 tras una actualización se deben a una de estas cuatro causas: el certificado del servidor RADIUS ya no es válido (ID de evento 12013), Credential Guard bloquea el inicio de sesión único con PEAP-MSCHAPv2, falta un certificado de cliente para EAP-TLS o este ha caducado, o el servicio Configuración automática de redes cableadas (dot3svc) no se está ejecutando en Ethernet. Lea primero el registro operativo de WLAN-AutoConfig o Wired-AutoConfig, busque el ID de evento en las tablas siguientes y corrija el perfil de forma centralizada a través de directivas de grupo o Intune en lugar de hacerlo portátil por portátil.

El despliegue y mantenimiento de la autenticación de red 802.1X en entornos empresariales requiere una interoperabilidad fluida entre los sistemas operativos cliente, los puntos de acceso, la infraestructura de conmutación (switches) y los servidores de autenticación RADIUS. Tras las actualizaciones de funciones de Windows 11, los departamentos de TI empresariales experimentan con frecuencia picos repentinos de fallos de autenticación tanto en redes inalámbricas WiFi como en redes cableadas Ethernet.

Esta guía técnica proporciona un marco de diagnóstico paso a paso para identificar las causas raíz, resolver problemas de confianza en RADIUS, solucionar conflictos con Credential Guard y establecer un control de acceso a la red 802.1X fiable para los dispositivos administrados con Windows 11.

Comprender los cambios de arquitectura de 802.1X en Windows 11

Windows 11 introduce controles de seguridad mejorados que modifican la forma en que el sistema operativo gestiona la negociación del protocolo de autenticación extensible (EAP), la validación de certificados y el almacenamiento en caché de credenciales. Aunque estos refuerzos de seguridad protegen los dispositivos corporativos contra el robo de identidad, dejan al descubierto debilidades de configuración latentes en las objetos de directivas de grupo (GPO) existentes y en las cargas de trabajo de gestión de dispositivos móviles (MDM).

Causas principales de los fallos de autenticación 802.1X en Windows 11

Cuando un dispositivo con Windows 11 no consigue autenticarse en una red empresarial 802.1X, el problema suele proceder de uno de los cuatro vectores de fallo principales:

1. Interrupción de la validación del certificado del servidor RADIUS

Durante la negociación 802.1X EAP-TLS o PEAP, el servidor RADIUS presenta su certificado digital X.509 para probar su identidad ante el cliente. Windows 11 valida tres criterios antes de proceder:

• Cadena de confianza: El certificado de la CA raíz emisora debe residir en el almacén de Entidades de certificación raíz de confianza de la máquina local del dispositivo.
• Nombre alternativo del sujeto (SAN): El nombre de host o FQDN del servidor RADIUS debe coincidir con el nombre de servidor especificado en la configuración XML del perfil 802.1X del cliente.
• Expiración y revocación: El certificado no debe estar caducado y debe superar las comprobaciones de la Lista de revocación de certificados (CRL) u OCSP.

Si se produce un fallo en cualquiera de los criterios, Windows 11 finaliza inmediatamente la sesión EAP para evitar la conexión a posibles puntos de acceso no autorizados.

2. Conflictos de Credential Guard con PEAP-MSCHAPv2

Credential Guard utiliza la seguridad basada en virtualización (VBS) para aislar los secretos almacenados en la memoria. Las configuraciones de 802.1X heredadas que dependen de PEAP-MSCHAPv2 intentan extraer los hashes de inicio de sesión de usuario para autenticarse automáticamente en Active Directory. Credential Guard bloquea este acceso a la memoria, lo que genera bucles repetidos de solicitud de credenciales o el rechazo explícito por parte de RADIUS.

3. Certificados de cliente faltantes o caducados (EAP-TLS)

En entornos de confianza cero (Zero Trust) que utilizan EAP-TLS, cada dispositivo o usuario presenta un certificado individual emitido por una entidad de certificación interna (como Microsoft ADCS). Los fallos de conexión se producen cuando los perfiles de certificado PKCS o SCEP de Intune no se sincronizan, los certificados de cliente caducan o las claves privadas carecen de los atributos de uso extendido de la clave (EKU) para Autenticación de cliente (1.3.6.1.5.5.7.3.2).

4. Estado del servicio Configuración automática de redes cableadas (dot3svc)

Para entornos de Ethernet cableada con 802.1X, las instalaciones de escritorio de Windows 11 no habilitan el servicio dot3svc de forma predeterminada. Como resultado, las tarjetas de interfaz de red (NIC) no responden a las tramas EAPOL Start transmitidas por los puertos del conmutador administrado, lo que deja al dispositivo sin acceso a la red o asignado a una dirección IP APIPA (169.254.x.x).

Flujo de trabajo de diagnóstico paso a paso para administradores de TI

Para solucionar de forma sistemática los fallos de autenticación en los dispositivos administrados, siga esta secuencia de diagnóstico:

Fase 1: Analizar los registros del Visor de eventos de Windows

Windows registra todos los eventos de red 802.1X en registros operativos especializados del Visor de eventos:

• 802.1X inalámbrico: Vaya a Registros de aplicaciones y servicios > Microsoft > Windows > WLAN-AutoConfig > Operativo
• 802.1X por cable: Vaya a Registros de aplicaciones y servicios > Microsoft > Windows > Wired-AutoConfig > Operativo

Fase 2: Ejecutar diagnósticos mediante la línea de comandos netsh

Abra una sesión de Símbolo del sistema o PowerShell con privilegios elevados en el equipo afectado para inspeccionar los estados activos de la red y exportar los perfiles de configuración:

# Comprobar el estado del interfaz inalámbrico activo y la calidad de la señal
netsh wlan show interfaces

# Listar todos los perfiles inalámbricos 802.1X instalados
netsh wlan show profiles

# Exportar un perfil inalámbrico a XML para su inspección
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# Inspeccionar el estado activo de Ethernet cableado 802.1X
netsh lan show state

# Verificar la instalación en el almacén de certificados de la CA raíz local
certutil -store Root "Your-Internal-Root-CA"

Fase 3: Comprobar si la solicitud llegó al servidor RADIUS

Los registros de Windows solo le muestran lo que vio el cliente. Antes de modificar cualquier perfil, confirme qué extremo ha fallado:

• No hay ninguna solicitud en los registros de RADIUS: el dispositivo ni siquiera llegó al servidor. Revise la configuración RADIUS del punto de acceso o del conmutador, la clave compartida y la alcanzabilidad IP, y asegúrese de que dot3svc o WLAN AutoConfig se estén ejecutando en el cliente.
• Registro de Access-Reject (Rechazo de acceso): el servidor recibió la solicitud y la denegó. En Microsoft NPS, filtre el registro de seguridad por el ID de evento 6273 y lea el código de motivo.
• Registro de Access-Accept (Aceptación de acceso) pero el dispositivo sigue sin red: la autenticación ha funcionado. Revise en su lugar la asignación de VLAN, el ámbito DHCP y la configuración del puerto del conmutador.

Restaurar un perfil 802.1X cableado que desapareció tras una actualización

Si la pestaña Autenticación está vacía después de una actualización de características, vuelva a importar el perfil desde un dispositivo que funcione correctamente:

# En un dispositivo que funcione: exportar el perfil cableado
netsh lan export profile folder="C:\temp" interface="Ethernet"

# En el dispositivo afectado: asegurarse de que Wired AutoConfig se esté ejecutando
Set-Service -Name dot3svc -StartupType Automatic
Start-Service dot3svc

# Import the exported profile
netsh lan add profile filename="C:\temp\Ethernet.xml" interface="Ethernet"

Esto hace que un portátil funcione. Para evitar que vuelva a ocurrir, despliegue el mismo perfil a través de Group Policy o Intune como se describe a continuación, de modo que cada actualización lo vuelva a aplicar.

Estrategias de subsanación: GPO y Microsoft Intune

Una vez identificado el mecanismo de fallo, despliegue actualizaciones de directivas en toda la empresa para estandarizar la configuración de los puntos finales en todos los dispositivos Windows 11.

Subsanación mediante Active Directory Group Policy (GPO)

Para puntos finales unidos al dominio, configure directivas de red cableada e inalámbrica centralizadas:

1. Abra la consola de administración de Group Policy (gpmc.msc) y edite su directiva base de punto final.
2. Navegue a Configuración del equipo > Directivas > Configuración de Windows > Configuración de seguridad > Servicios del sistema. Localice Configuración automática de redes cableadas, establezca el Modo de inicio en Automático e inicie el servicio.
3. Navegue a Directivas de clave pública > Entidades de certificación raíz de confianza. Importe el certificado de la CA raíz emisora para su servidor RADIUS.
4. Navegue a Directivas de red inalámbrica (IEEE 802.11), abra su perfil de empresa, seleccione la pestaña Seguridad y establezca la Autenticación en Microsoft: Tarjeta inteligente u otro certificado (para EAP-TLS) o PEAP.
5. Haga clic en Propiedades y marque explícitamente su CA raíz en la lista Entidades de certificación raíz de confianza mientras especifica los FQDN de su servidor RADIUS en el campo Conectarse a estos servidores.

Despliegue de perfiles MDM con Microsoft Intune

Para puntos finales gestionados en la nube o híbridos en Intune:

1. Cree un Perfil de certificado de confianza que contenga la carga útil del certificado de la CA raíz de su empresa y asígnelo a Todos los dispositivos.
2. Cree un Perfil de certificado PKCS o SCEP secundario para emitir certificados de cliente únicos a dispositivos o usuarios para EAP-TLS.
3. Cree un Perfil de configuración de WiFi con EAP-TLS especificado como tipo de EAP, haciendo referencia tanto al perfil de certificado de confianza como al de SCEP/PKCS.
4. Asegúrese de que el orden de evaluación de directivas permita que la carga útil del certificado de confianza se instale antes de la aplicación del perfil de WiFi.

Arquitectura de seguridad a largo plazo: migración a EAP-TLS y Passpoint

Aunque PEAP-MSCHAPv2 se puede parchear, los protocolos 802.1X basados en contraseñas siguen siendo inherentemente vulnerables a la captura de credenciales, ataques de diccionario fuera de línea y suplantación de AP maliciosos. Las directrices de seguridad de la industria de NIST y la Wi-Fi Alliance exigen la migración de las redes corporativas a la autenticación por certificado EAP-TLS o Passpoint (Hotspot 2.0).

Obtenga más información sobre la implementación de arquitecturas de seguridad de extremo a extremo en nuestra completa Guía de seguridad WiFi para empresas. Para ver comparativas detalladas de protocolos, revise nuestro análisis sobre Comparativa de métodos EAP (PEAP, EAP-TLS, EAP-TTLS y EAP-FAST) o explore la distribución automatizada de certificados en nuestra guía para Desplegar certificados WiFi mediante Microsoft Intune.

Al combinar 802.1X basado en certificados con la gestión automatizada de RADIUS en la nube, los equipos de TI empresariales eliminan las solicitudes de contraseña, agilizan la incorporación de puntos de acceso Windows 11 y logran un control de acceso a la red Zero Trust en todas las instalaciones corporativas.

Cuándo migrar Windows 11 802.1X a RADIUS-as-a-Service

La mayoría de los fallos de esta guía se deben a infraestructuras que deben mantenerse sincronizadas con Windows manualmente: un certificado de servidor NPS o FreeRADIUS que caduca, una CA raíz que falta en las nuevas compilaciones o una directiva PEAP-MSCHAPv2 que Credential Guard ya no admite. Migrar la autenticación a la nube elimina el servidor de esa lista.

Purple RADIUS-as-a-Service autentica dispositivos Windows 11 con EAP-TLS, PEAP, EAP-TTLS o EAP-FAST, comprueba cada solicitud con su proveedor de identidades y asigna la VLAN correcta en los puntos de acceso que ya utiliza: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Sustituye a Microsoft NPS, FreeRADIUS y Cisco ISE, y funciona en múltiples regiones, por lo que no hay ningún servidor que parchear tras una actualización de características.

Elija la configuración que coincida con su directorio:

• RADIUS con Microsoft Intune - entregue certificados SCEP o PKCS y el perfil de WiFi en un único conjunto de directivas.
• RADIUS con Microsoft Entra ID - 802.1X basado en certificados para dispositivos exclusivamente en la nube sin controlador de dominio.
• RADIUS con Okta o Google Workspace - el mismo modelo para directorios que no sean de Microsoft.

¿Desea comparar opciones primero? Consulte nuestra comparativa de proveedores de RADIUS en la nube y EAP-TLS frente a PEAP.

¿Corrige el mismo problema 802.1X después de cada actualización de Windows? Reserve una demostración y le guiaremos en la migración de sus dispositivos Windows 11 a WiFi basado en certificados con RADIUS en la nube, utilizando sus puntos de acceso actuales.