Resolución de problemas de autenticación 802.1X en Windows 11

[Introduction & Context] Hola y bienvenidos a esta sesión informativa técnica de Purple. Soy su anfitrión, y hoy vamos a abordar un problema específico y de gran impacto que ha estado causando dolores de cabeza a los equipos de TI en todo el panorama empresarial: las actualizaciones a Windows 11 que interrumpen la autenticación inalámbrica 802.1X. Si gestiona una red corporativa —ya sea un extenso campus hospitalario, una operación minorista con múltiples sedes o un gran recinto público— confía en 802.1X para proteger su infraestructura inalámbrica. Es el estándar de oro. Pero recientemente, hemos visto un aumento en los tickets de soporte donde los dispositivos se actualizan a Windows 11 y, de repente, se desconectan de la red Wi-Fi segura. Hoy vamos a desglosar exactamente por qué sucede esto, cómo diagnosticarlo rápidamente y los pasos que debe seguir para resolverlo y evitar que ocurra en futuras fases de despliegue. Vamos a ello. [Technical Deep-Dive] Entonces, ¿qué es lo que realmente se rompe cuando un equipo se actualiza a Windows 11? Para entender el fallo, tenemos que analizar el saludo de autenticación (handshake). La mayoría de las empresas utilizan PEAP-MSCHAPv2 o EAP-TLS para sus redes 802.1X. Ambos dependen en gran medida de la confianza de los certificados. Cuando un cliente de Windows intenta conectarse, el servidor RADIUS —a menudo un Servidor de políticas de red o NPS— presenta su certificado. A continuación, el cliente comprueba si confía en la Entidad de certificación raíz (Root CA) que emitió el certificado del NPS. Aquí radica el quid del problema de Windows 11: durante algunas rutas de actualización, o debido a una configuración de seguridad predeterminada más estricta en Windows 11, las vinculaciones de certificados raíz de confianza para el perfil inalámbrico se eliminan o no se migran correctamente. Además, Windows 11 introdujo Credential Guard activado por defecto en hardware compatible, lo que cambia la forma en que se almacenan y acceden a las credenciales NTLM y MS-CHAPv2, rompiendo a veces las configuraciones PEAP heredadas. Cuando el cliente no puede validar el certificado del servidor, la conexión se interrumpe inmediatamente. El usuario solo ve "No se puede conectar a esta red", pero internamente se trata de un fallo grave en el establecimiento del túnel TLS. [Implementation Recommendations & Pitfalls] ¿Cómo solucionamos esto? La solución inmediata implica aplicar un Objeto de directiva de grupo actualizado, o GPO, a sus endpoints. En primer lugar, debe asegurarse de que el certificado de su Root CA esté desplegado explícitamente en el almacén de 'Entidades de certificación raíz de confianza' en todos los equipos cliente. En segundo lugar, y este es el paso que muchos pasan por alto, debe actualizar sus Directivas de red inalámbrica (IEEE 802.11) en la GPO. Debe seleccionar explícitamente la Root CA de confianza en las propiedades de PEAP o EAP-TLS del perfil inalámbrico. Si esa casilla está desactivada, Windows 11 rechazará la conexión. Un error importante que vemos es que los equipos de TI intentan eludir el problema desactivando por completo la validación del certificado del servidor. No haga esto. Desactivar la validación de certificados expone su red a ataques de tipo "Evil Twin" y al robo de credenciales. Además, infringe los requisitos de cumplimiento de PCI DSS y GDPR. Corrija siempre la cadena de confianza; nunca la eluda. Para una solución a largo plazo, especialmente si gestiona un despliegue a gran escala como [Retail](/industries/retail) o [Hospitality](/industries/hospitality), considere abandonar por completo el uso de PEAP basado en contraseñas. La transición a EAP-TLS con certificados de máquina y de usuario es mucho más robusta frente a estos cambios de credenciales a nivel de sistema operativo. Puede leer más sobre esto en nuestra guía sobre [Implementación de WPA3-Enterprise para una seguridad inalámbrica mejorada](/guides/implementing-wpa3-enterprise-for-enhanced-wireless-security). [Preguntas y respuestas rápidas] Repasemos un par de preguntas rápidas que recibimos de los arquitectos de red. Pregunta 1: "Utilizamos una CA pública para nuestro servidor RADIUS. ¿Aún necesitamos distribuirla a través de GPO?" Respuesta: Sí. Incluso si la CA está en el almacén de raíces de confianza de Windows por defecto, el perfil inalámbrico específico debe configurarse para confiar en esa CA específica para la autenticación de red. Pregunta 2: "¿Podemos usar la plataforma de Purple para evitar esto?" Respuesta: Purple destaca en [Guest WiFi](/guest-wifi) y en la incorporación a través de Captive Portals. Para sus SSID corporativos internos que utilizan 802.1X, debe resolver la confianza del certificado subyacente en el endpoint. Sin embargo, para el acceso de BYOD o contratistas, dirigirlos a través de un Captive Portal de Purple con OpenRoaming puede ser una alternativa muy eficaz a la gestión de certificados locales. [Resumen y próximos pasos] Para resumir: las actualizaciones de Windows 11 están interrumpiendo el funcionamiento de 802.1X debido a fallos en la migración de la confianza de los certificados y a la aplicación de Credential Guard. Su plan de acción: compruebe los registros de WLAN-AutoConfig en el Visor de eventos para ver si existen los errores 11 o 15. Actualice sus GPO inalámbricas para confiar explícitamente en la CA raíz de su servidor RADIUS. Y planifique una migración a EAP-TLS para obtener una estabilidad permanente. Gracias por unirse a esta sesión técnica. Para profundizar más en las redes empresariales, consulte nuestros recursos en Purple.ai.