Solución de problemas de autenticación 802.1X en Windows 11: guía para TI empresarial

Respuesta rápida: la mayoría de las fallas de 802.1X en Windows 11 después de una actualización provienen de una de cuatro causas: el certificado del servidor RADIUS ya no es válido (ID de evento 12013), Credential Guard bloquea el inicio de sesión único PEAP-MSCHAPv2, falta un certificado de cliente o expiró para EAP-TLS, o el servicio Configuración automática de redes cableadas (dot3svc) no se está ejecutando en Ethernet. Lea primero el registro operativo WLAN-AutoConfig o Wired-AutoConfig, busque la coincidencia del ID de evento en las tablas siguientes y luego corrija el perfil de forma centralizada mediante Group Policy o Intune en lugar de hacerlo laptop por laptop.

El despliegue y mantenimiento de la autenticación de red 802.1X en entornos empresariales requiere una interoperabilidad fluida entre los sistemas operativos de los clientes, los puntos de acceso, la infraestructura de conmutadores y los servidores de autenticación RADIUS. Tras las actualizaciones de funciones en Windows 11, los departamentos de TI empresariales suelen experimentar picos repentinos en las fallas de autenticación, tanto en redes WiFi inalámbricas como en redes Ethernet cableadas.

Esta guía técnica proporciona un marco de diagnóstico paso a paso para identificar las causas raíz, resolver problemas de confianza de RADIUS, remediar conflictos de Credential Guard y establecer un control de acceso a la red 802.1X confiable para dispositivos administrados con Windows 11.

Comprensión de los cambios de arquitectura 802.1X en Windows 11

Windows 11 introduce controles de seguridad mejorados que alteran la forma en que el sistema operativo maneja la negociación del protocolo de autenticación extensible (EAP), la validación de certificados y el almacenamiento en caché de credenciales. Aunque estos reforzamientos de seguridad protegen a los dispositivos corporativos contra el robo de identidad, exponen debilidades de configuración latentes en las Group Policy Objects (GPO) existentes y en las cargas útiles de Mobile Device Management (MDM).

Causas principales de las fallas de autenticación 802.1X en Windows 11

Cuando un dispositivo con Windows 11 no logra autenticarse en una red empresarial 802.1X, el problema suele derivarse de uno de los cuatro vectores de falla principales:

1. Interrupción en la validación del certificado del servidor RADIUS

Durante el saludo 802.1X EAP-TLS o PEAP, el servidor RADIUS presenta su certificado digital X.509 para probar su identidad ante el cliente. Windows 11 valida tres criterios antes de continuar:

• Cadena de confianza: El certificado de la CA raíz emisora debe residir en el almacén de Entidades de certificación raíz de confianza del equipo local del dispositivo final.
• Nombre alternativo del sujeto (SAN): El nombre de host o FQDN del servidor RADIUS debe coincidir con el nombre del servidor especificado en la configuración XML del perfil 802.1X del cliente.
• Vencimiento y revocación: El certificado no debe estar vencido y debe pasar las comprobaciones de la Lista de revocación de certificados (CRL) u OCSP.

Si falla algún criterio, Windows 11 finaliza inmediatamente la sesión EAP para evitar la conexión a posibles puntos de acceso no autorizados.

2. Credential Guard entra en conflicto con PEAP-MSCHAPv2

Credential Guard utiliza la Seguridad basada en virtualización (VBS) para aislar los secretos almacenados en la memoria. Las configuraciones 802.1X heredadas que dependen de PEAP-MSCHAPv2 intentan extraer los hashes de inicio de sesión del usuario para autenticarse automáticamente en Active Directory. Credential Guard bloquea este acceso a la memoria, lo que genera bucles repetidos de solicitud de credenciales o el rechazo explícito de RADIUS.

3. Certificados de cliente faltantes o vencidos (EAP-TLS)

En entornos de cero confianza que utilizan EAP-TLS, cada dispositivo o usuario presenta un certificado individual emitido por una Autoridad de Certificación interna (como Microsoft ADCS). Los fallos de conexión ocurren cuando los perfiles de certificado SCEP o PKCS de Intune no se sincronizan, los certificados de cliente vencen o los atributos de Uso extendido de clave (EKU) de la clave privada carecen de Autenticación de cliente (1.3.6.1.5.5.7.3.2).

4. Estado del servicio Configuración automática de redes cableadas (dot3svc)

Para entornos Ethernet 802.1X por cable, las instalaciones de escritorio de Windows 11 no habilitan el servicio dot3svc de forma predeterminada. Como resultado, las tarjetas de interfaz de red (NIC) no responden a las tramas EAPOL Start transmitidas por los puertos del switch administrado, dejando el dispositivo sin acceso a la red o asignado a una dirección IP APIPA (169.254.x.x).

Flujo de trabajo de diagnóstico paso a paso para administradores de TI

Para solucionar de manera sistemática los fallos de autenticación en dispositivos finales administrados, siga esta secuencia de diagnóstico:

Fase 1: Analizar los registros del Visor de eventos de Windows

Windows registra todos los eventos de red 802.1X en registros operativos especializados del Visor de eventos:

• 802.1X inalámbrico: Vaya a Registros de aplicaciones y servicios > Microsoft > Windows > WLAN-AutoConfig > Operativo
• 802.1X por cable: Vaya a Registros de aplicaciones y servicios > Microsoft > Windows > Wired-AutoConfig > Operativo

Fase 2: Ejecutar diagnósticos mediante la línea de comandos netsh

Abra una sesión de Símbolo del sistema o PowerShell con privilegios elevados en el endpoint afectado para inspeccionar los estados activos de la red y exportar los perfiles de configuración:

# Verificar el estado de la interfaz inalámbrica activa y la calidad de la señal
netsh wlan show interfaces

# Listar todos los perfiles inalámbricos 802.1X instalados
netsh wlan show profiles

# Exportar un perfil inalámbrico a XML para su inspección
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# Inspeccionar el estado activo de Ethernet cableado 802.1X
netsh lan show state

# Verificar la instalación del almacén de certificados de la CA raíz local
certutil -store Root "Your-Internal-Root-CA"

Fase 3: Verificar si la solicitud llegó al servidor RADIUS

Los registros de Windows solo le dicen lo que vio el cliente. Antes de modificar cualquier perfil, confirme qué lado falló:

• No hay ninguna solicitud en los registros de RADIUS: el dispositivo nunca llegó hasta el servidor. Verifique la configuración RADIUS del punto de acceso o switch, el secreto compartido, la accesibilidad de la IP y que dot3svc o WLAN AutoConfig se estén ejecutando en el cliente.
• Access-Reject registrado: el servidor recibió la solicitud y la rechazó. En Microsoft NPS, filtre el registro de Seguridad para el ID de evento 6273 y lea el código de motivo.
• Access-Accept registrado pero el dispositivo sigue sin red: la autenticación funcionó. Revise en su lugar la asignación de VLAN, el ámbito DHCP y la configuración del puerto del switch.

Restaurar un perfil cableado 802.1X que desapareció después de una actualización

Si la pestaña Autenticación está vacía después de una actualización de características, vuelva a importar el perfil desde un dispositivo que funcione correctamente:

# En un dispositivo que funcione: exporte el perfil cableado
netsh lan export profile folder="C:\temp" interface="Ethernet"

# En el dispositivo afectado: asegúrese de que Wired AutoConfig se esté ejecutando
Set-Service -Name dot3svc -StartupType Automatic
Start-Service dot3svc

# Import the exported profile
netsh lan add profile filename="C:\temp\Ethernet.xml" interface="Ethernet"

Esto hace que una laptop funcione. Para evitar que vuelva a suceder, envíe el mismo perfil a través de Group Policy o Intune como se describe a continuación, para que cada actualización lo vuelva a aplicar.

Estrategias de remediación: GPO y Microsoft Intune

Una vez identificado el mecanismo de falla, implemente actualizaciones de directivas en toda la empresa para estandarizar la configuración de los puntos finales en todos los dispositivos Windows 11.

Remediación mediante Active Directory Group Policy (GPO)

Para los puntos finales unidos al dominio, configure directivas de red inalámbrica y cableada centralizadas:

1. Abra la consola de administración de Group Policy (gpmc.msc) y edite su directiva de punto final base.
2. Vaya a Configuración del equipo > Directivas > Configuración de Windows > Configuración de seguridad > Servicios del sistema. Localice Configuración automática de redes cableadas, establezca el Tipo de inicio en Automático e inicie el servicio.
3. Vaya a Directivas de clave pública > Entidades de certificación raíz de confianza. Importe el certificado de la CA raíz emisora para su servidor RADIUS.
4. Vaya a Directivas de red inalámbrica (IEEE 802.11), abra su perfil empresarial, seleccione la pestaña Seguridad y establezca la Autenticación en Microsoft: Tarjeta inteligente u otro certificado (para EAP-TLS) o PEAP.
5. Haga clic en Propiedades y marque explícitamente su CA raíz en la lista Entidades de certificación raíz de confianza mientras especifica los FQDN de su servidor RADIUS en el campo Conectarse a estos servidores.

Implementación del perfil MDM de Microsoft Intune

Para puntos finales administrados en la nube o híbridos en Intune:

1. Cree un Perfil de certificado de confianza que contenga la carga útil del certificado de CA raíz empresarial y asígnelo a Todos los dispositivos.
2. Cree un Perfil de certificado PKCS o SCEP secundario para emitir certificados de cliente únicos a dispositivos o usuarios para EAP-TLS.
3. Cree un Perfil de configuración de WiFi con EAP-TLS especificado como el tipo de EAP, haciendo referencia tanto al perfil de Certificado de confianza como al de SCEP/PKCS.
4. Asegúrese de que el orden de evaluación de directivas permita que la carga útil del Certificado de confianza se instale antes de la aplicación del perfil de WiFi.

Arquitectura de seguridad a largo plazo: Migración a EAP-TLS y Passpoint

Si bien PEAP-MSCHAPv2 se puede parchear, los protocolos 802.1X basados en contraseñas siguen siendo inherentemente vulnerables a la recolección de credenciales, ataques de diccionario fuera de línea y la suplantación de puntos de acceso no autorizados. Las directrices de seguridad de la industria de NIST y la Wi-Fi Alliance exigen la migración de las redes empresariales a la autenticación por certificado EAP-TLS o Passpoint (Hotspot 2.0).

Obtenga más información sobre cómo implementar arquitecturas de seguridad de extremo a extremo en nuestra completa Guía de seguridad WiFi para empresas. Para obtener comparaciones detalladas de protocolos, revise nuestro análisis sobre Comparación de métodos EAP (PEAP, EAP-TLS, EAP-TTLS y EAP-FAST) o explore la distribución automatizada de certificados en nuestra guía sobre Despliegue de certificados WiFi a través de Microsoft Intune.

Al combinar 802.1X basado en certificados con la gestión automatizada de RADIUS en la nube, los equipos de TI empresariales eliminan las solicitudes de contraseña, agilizan la incorporación de puntos finales con Windows 11 y logran un control de acceso a la red de cero confianza en todas las instalaciones corporativas.

Cuándo migrar Windows 11 802.1X a RADIUS-as-a-Service

La mayoría de las fallas en esta guía se deben a una infraestructura que debe mantenerse sincronizada manualmente con Windows: un certificado de servidor NPS o FreeRADIUS que expira, una CA raíz que falta en las nuevas compilaciones o una política PEAP-MSCHAPv2 que Credential Guard ya no admite. Migrar la autenticación a la nube elimina el servidor de esa lista.

Purple RADIUS-as-a-Service autentica dispositivos Windows 11 con EAP-TLS, PEAP, EAP-TTLS o EAP-FAST, verifica cada solicitud con su proveedor de identidad y asigna la VLAN correcta en los puntos de acceso que ya utiliza - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Reemplaza a Microsoft NPS, FreeRADIUS y Cisco ISE, y funciona en múltiples regiones, por lo que no hay ningún servidor que parchear después de una actualización de funciones.

Elija la configuración que coincida con su directorio:

• RADIUS con Microsoft Intune - entregue certificados SCEP o PKCS y el perfil WiFi en un solo conjunto de políticas.
• RADIUS con Microsoft Entra ID - 802.1X basado en certificados para dispositivos exclusivamente en la nube sin controlador de dominio.
• RADIUS con Okta o Google Workspace - el mismo modelo para directorios que no son de Microsoft.

¿Desea comparar opciones primero? Consulte nuestra comparación de proveedores de RADIUS en la nube y EAP-TLS vs PEAP.

¿Solucionando el mismo problema de 802.1X después de cada actualización de Windows? Reserve una demostración y le guiaremos en la migración de su flota de Windows 11 a WiFi basado en certificados con RADIUS en la nube, utilizando sus puntos de acceso actuales.