Solucionar problemas de conectividad a Internet y 802.1X en Windows 11 tras la actualización

Resumen ejecutivo

La transición a Windows 11 introduce un problema operativo crítico para los entornos de red empresariales: el borrado silencioso de las configuraciones de autenticación cableada IEEE 802.1X durante las actualizaciones del sistema operativo en el mismo equipo. Para los directores de TI, arquitectos de red y administradores de sistemas que supervisan parques de dispositivos gestionados, este problema provoca interrupciones inmediatas de la conectividad, un elevado número de incidencias en el servicio de soporte y exposición a riesgos de conformidad.

La causa raíz principal es la corrupción o eliminación completa de los perfiles de configuración XML locales para el servicio de Configuración automática de redes cableadas de Windows (dot3svc). Cuando estos perfiles se purgan, los endpoints no pueden realizar la autenticación de control de acceso a la red basada en puertos tal como define el estándar IEEE 802.1X.

Esta guía proporciona una metodología autorizada para diagnosticar, restaurar y prevenir los fallos de autenticación 802.1X en Windows 11. Abarca el análisis técnico de la causa raíz, los códigos de diagnóstico del Visor de eventos, tres marcos de remediación (Directivas de grupo, Microsoft Intune y la CLI de netsh) y la mitigación de riesgos a largo plazo utilizando la autenticación RADIUS nativa de la nube.

Esta guía forma parte de nuestra completa Guía de autenticación y seguridad WiFi para empresas.

Antecedentes técnicos y análisis de la causa raíz

El estándar IEEE 802.1X se basa en tres componentes principales: el suplicante (dispositivo cliente), el autenticador (conmutador de red o punto de acceso) y el servidor de autenticación (servidor RADIUS). En los endpoints de Windows, la autenticación basada en puertos para conexiones Ethernet es gestionada por el servicio de Configuración automática de redes cableadas (dot3svc).

Durante las actualizaciones de características principales de Windows 11 (como la actualización de Windows 10 a Windows 11, o la actualización entre 22H2, 23H2 y 24H2), el sistema operativo realiza un paso de migración profunda a través de las claves de registro y las definiciones de servicios. Se producen tres fallos específicos durante este proceso:

1. Restablecimiento del estado del servicio

El tipo de inicio del servicio dot3svc se restablece con frecuencia de Automático a Manual o Deshabilitado. Cuando el dispositivo se reinicia después de la actualización, el servicio no se inicia automáticamente, lo que impide la transmisión de tramas EAPOL (EAP sobre LAN) a través de la interfaz física de la tarjeta de red.

2. Purga del registro de perfiles

Los perfiles XML locales de 802.1X almacenados en HKLM\SOFTWARE\Microsoft\Wired-AutoConfig a menudo se borran durante el proceso de migración. Sin un perfil activo, Windows 11 no puede presentar certificados de cliente ni credenciales EAP al puerto del conmutador.

3. Incompatibilidad entre Credential Guard y PEAP-MSCHAPv2

Windows 11 activa la seguridad basada en virtualización (VBS) y Credential Guard de forma predeterminada. Credential Guard aísla los hashes de secretos NTLM y Kerberos en un contenedor virtualizado, bloqueando la extracción de hashes de contraseñas de PEAP-MSCHAPv2 heredados. Como resultado, los dispositivos finales que dependen de la autenticación PEAP heredada experimentan respuestas persistentes de Access-Reject tras la actualización. Para restaurar la autenticación, se requiere actualizar a EAP-TLS basado en certificados. Para obtener una comparación detallada, consulte nuestra guía WPA3 Enterprise vs iPSK Security Model.

4. Validación estricta de certificados RADIUS en Windows 11 24H2

Windows 11 24H2 impone reglas estrictas de validación de certificados de servidor. Si el certificado del servidor RADIUS carece de un Nombre alternativo del sujeto (SAN) válido que coincida con la configuración del perfil 802.1X, o si la CA raíz emisora no está presente en el almacén de entidades de certificación raíz de confianza del equipo local, Windows interrumpe la conexión con el código de error 0x80070490.

Matriz de diagnóstico y referencia del Visor de eventos

Al solucionar problemas en un dispositivo final con Windows 11 afectado, utilice la ruta del Visor de eventos de Windows: Registros de aplicaciones y servicios > Microsoft > Windows > Wired-AutoConfig > Operational

Fragmento de diagnóstico automatizado de PowerShell

Ejecute los siguientes comandos de PowerShell con privilegios elevados para inspeccionar el estado de la interfaz física y del perfil 802.1X:

# Comprobar el estado del servicio de configuración automática de cable
Get-Service -Name dot3svc | Select-Object Name, Status, StartType

# Mostrar perfiles cableados 802.1X configurados
netsh lan show profiles

# Mostrar estado de autorización de la interfaz
netsh lan show interfaces

Métodos de remediación paso a paso

Restaurar la conectividad 802.1X en un parque empresarial requiere seleccionar la cadena de herramientas de gestión adecuada en función de la arquitectura de la infraestructura.

Método 1: Aplicación mediante Directiva de grupo de Active Directory (GPO)

Para dispositivos finales unidos al dominio, la Directiva de grupo proporciona una aplicación automatizada que restaura los perfiles eliminados en el siguiente reinicio:

1. Abra la Consola de administración de directivas de grupo (gpmc.msc) en un controlador de dominio.
2. Edite el Objeto de Directiva de Grupo de destino vinculado a su OU de equipos con Windows 11.
3. Vaya a: Configuración de equipo > Directivas > Configuración de Windows > Configuración de seguridad > Directivas de red cableada (IEEE 802.3).
4. Haga clic con el botón derecho y seleccione Crear una nueva directiva de red cableada para Windows Vista y versiones posteriores.
5. Active Usar el servicio Configuración automática de cable de Windows para el acceso a la red IEEE 802.1X.
6. En la pestaña Seguridad, seleccione Microsoft: Tarjeta inteligente u otro certificado (EAP-TLS) y configure las CA raíz de confianza de la empresa.
7. Fuerce la actualización de la directiva en los extremos del cliente: gpupdate /force.

Método 2: Despliegue con Microsoft Intune (MDM en la nube)

Para los extremos gestionados en la nube, despliegue una carga útil de perfil de 802.1X a través de Microsoft Intune. Para obtener una configuración paso a paso de los perfiles de certificado SCEP y PKCS, consulte nuestra Guía de despliegue de certificados WiFi en Microsoft Intune específica.

1. Exporte un perfil XML 802.1X de referencia desde una máquina de prueba: netsh lan export profile folder=C:\temp interface="Ethernet"
2. Abra el Centro de administración de Microsoft Intune (intune.microsoft.com).
3. Vaya a Dispositivos > Perfiles de configuración > Crear perfil.
4. Seleccione Windows 10 y posterior como plataforma y Red cableada como plantilla.
5. Pegue la configuración XML EAP exportada en el campo de configuración del perfil XML.
6. Asigne la directiva a su grupo de dispositivos Azure AD para forzar la corrección automatizada después de la actualización.

Método 3: Importación manual de perfiles XML mediante la CLI de Netsh

Para extremos independientes o soporte técnico de escritorio de emergencia, importe el perfil manualmente a través del Símbolo del sistema:

:: 1. Asegúrese de que el servicio Configuración automática de cable de Windows esté activo
sc config dot3svc start=auto
net start dot3svc

:: 2. Importe el perfil XML 802.1X de referencia
netsh lan add profile filename="C:\temp\MasterWiredProfile.xml" interface="Ethernet"

:: 3. Vuelva a activar la autenticación de puerto
netsh lan reauthenticate interface="Ethernet"

Buenas prácticas para despliegues empresariales

Para evitar la pérdida de perfiles 802.1X durante futuras actualizaciones de Windows 11, implemente las siguientes medidas de seguridad operativas:

• Integre la configuración 802.1X en las líneas base de despliegue del SO: Asegúrese de que las secuencias de tareas de Microsoft Autopilot, SCCM o MDT apliquen los perfiles 802.1X durante el aprovisionamiento inicial.
• Centralice la aplicación de directivas: Evite los extremos configurados manualmente. Fuerce la configuración de red a través de GPO o Intune para asegurar una reaplicación automática de directivas.
• Implemente copias de seguridad de secuencia de tareas antes de la actualización: Exporte los perfiles existentes a un recurso compartido de red seguro (netsh lan export) antes de ejecutar actualizaciones importantes del SO.
• Mantenga repositorios XML con control de versiones: Almacene los perfiles XML maestros de cada ubicación y zona de seguridad en un repositorio centralizado para acelerar la recuperación ante desastres.- Migración de PEAP-MSCHAPv2 a EAP-TLS: Realice la transición de la autenticación basada en contraseñas a certificados digitales para eliminar los fallos de compatibilidad con Credential Guard. Obtenga más información en nuestra guía ¿Qué es la autenticación RADIUS y cómo funciona?.

Resolución de problemas y mitigación de riesgos

Cuando un dispositivo final pierda el acceso a la red tras la actualización, ejecute esta secuencia de diagnóstico sistemática:

1. Verificar la capa física y las luces de enlace: Confirme el estado del enlace Ethernet y la conectividad del puerto del switch.
2. Comprobar la asignación de direcciones IP: Ejecute ipconfig /all. Una dirección APIPA (169.254.x.x) indica un fallo completo de autenticación 802.1X o un bloqueo del puerto del switch. Una subred inesperada indica la ubicación en una VLAN de invitados aislada.
3. Inspeccionar el estado del perfil 802.1X: Ejecute netsh lan show profiles. Si está vacío, el perfil se eliminó durante la migración del sistema operativo.
4. Analizar los registros de eventos de Wired-AutoConfig: Revise los ID de evento 12014, 12015 y 5632 para aislar problemas de certificados, credenciales o servicios.
5. Aplicar la remediación de políticas centralizada: Active una sincronización de políticas a través de Intune o GPO para restaurar el perfil automáticamente.

ROI e impacto empresarial

Las interrupciones de red no planificadas tras las actualizaciones del sistema operativo conllevan importantes costes financieros y operativos. La gestión centralizada de las configuraciones 802.1X genera un ROI medible en tres áreas clave:

1. Reducción de costes de soporte de TI

En una empresa con un parque de 1.000 dispositivos, aproximadamente el 15% de los puntos finales experimentan una pérdida de perfil o un restablecimiento del servicio durante los ciclos de actualización importantes del sistema operativo. La resolución manual de problemas en 150 dispositivos, a razón de 30 minutos por ticket, consume 75 horas de tiempo de soporte de TI de Nivel 2. Con un coste repercutido de 60 £ por hora, un único ciclo de actualización cuesta 4.500 £ en soporte reactivo.

Al implementar políticas centralizadas de Intune o GPO (que requieren aproximadamente 4 horas de tiempo de configuración del arquitecto, o 240 £), las organizaciones logran un ROI completo en el primer ciclo de actualización, con una reducción del 80% en los tickets de soporte de acceso a la red.

2. Cumplimiento de la normativa

• Requisito 1.2.1 de PCI-DSS: Exige una segmentación estricta de la red entre los entornos de datos de titulares de tarjetas (CDE) y las redes corporativas generales. Los dispositivos no autenticados que caen en VLAN por defecto abiertas infringen los controles de segmentación.
• Anexo A.12.1.2 de ISO 27001: Requiere una gestión de cambios y una aplicación de la configuración formales. Las políticas de red autorreparables satisfacen los controles de auditoría.
• Artículo 32 de GDPR: Requiere medidas técnicas para garantizar la confidencialidad e integridad de los datos de la red.

3. Continuidad operativa para recintos

Las sedes físicas - hoteles, centros de conferencias, cadenas de tiendas y estadios - dependen de una infraestructura de red autenticada para los sistemas de gestión de propiedades, terminales de venta de entradas y sistemas POS. La gestión proactiva de 802.1X evita la pérdida de ingresos causada por el tiempo de inactividad de la recepción o de los terminales POS fuera de línea.

Resolución permanente con Purple Cloud RADIUS

Restaurar manualmente perfiles XML o solucionar retrasos en la sincronización de GPO tras cada actualización de Windows genera una carga operativa innecesaria. Purple Passwordless Staff WiFi y Cloud RADIUS proporcionan una plataforma de autenticación 802.1X nativa de la nube que elimina la corrupción de perfiles locales.

• Integración de identidad sin intervención: Autentique dispositivos de forma automática a través de Microsoft Entra ID, Okta o Google Workspace mediante WPA3-Enterprise basado en certificados o Passpoint (Hotspot 2.0).
• Reducción del 80% en los tickets de soporte: Elimine las contraseñas WPA2 compartidas y los scripts de perfil XML manuales en todo su patrimonio.
• Fiabilidad empresarial: Desarrollado sobre una arquitectura Cloud RADIUS independiente del hardware que da servicio a más de 80 000 sedes activas con un SLA de tiempo de actividad del 99.999%.

Reserve una consulta técnica sobre WiFi empresarial o explore Purple Passwordless Staff WiFi para eliminar los fallos de configuración de 802.1X.