Passer au contenu principal
Français

Résoudre les problèmes de connectivité internet et de carte réseau Windows 11 après une mise à niveau

Résoudre les pannes de connectivité WiFi et internet Windows 11 après une mise à niveau. Correctifs techniques étape par étape pour les piles TCP/IP corrompues, les expirations de délai DNS et les erreurs de pilote.

Par Iain JewittPublié le Mis à jour le
📖 7 min de lecture2,019 mots2 exemples concrets2 questions d'entraînement5 définitions clés

Video overview

Écouter ce guide

Voir la transcription du podcast
Bienvenue dans ce briefing technique de Purple. Aujourd'hui, nous abordons un problème critique qui impacte les équipes informatiques d'entreprise à l'échelle mondiale : la perte de connectivité internet filaire sur les appareils après une mise à niveau vers Windows 11. Si certains de vos utilisateurs se sont soudainement retrouvés dans l'incapacité de se connecter à votre réseau sécurisé après la mise à niveau, vous n'êtes pas seul. Il ne s'agit pas d'un bug aléatoire. C'est une défaillance spécifique dans la manière dont la mise à niveau gère les paramètres d'authentification 802.1X. Dans les dix prochaines minutes, je vais vous expliquer pourquoi cela se produit, comment y remédier et comment éviter que cela ne perturbe vos opérations. Commençons par le contexte technique. Le problème de mise à niveau vers Windows 11 dont nous parlons n'est pas nouveau. Il est documenté dans les environnements d'entreprise depuis les premières mises à jour de fonctionnalités, et il est devenu plus prédominant avec le cycle de mise à niveau de la version 23H2 à la version 25H2. Le problème de fond est le suivant : lorsqu'une mise à niveau de Windows 11 est exécutée, elle peut supprimer ou corrompre silencieusement les fichiers de configuration XML qui régissent l'authentification filaire 802.1X. En conséquence, les appareils démarrent après la mise à niveau, se connectent physiquement au réseau, mais échouent à s'authentifier au niveau du port. Le commutateur, faisant correctement son travail, bloque l'appareil ou l'affecte à un VLAN invité restreint. Entrons maintenant dans les détails techniques. Le service Configuration automatique de câblage, connu en interne sous le nom de dot3svc, est le composant Windows chargé de gérer le 802.1X sur les interfaces Ethernet. Il lit un profil XML stocké pour savoir comment lancer l'échange d'authentification avec le commutateur réseau. Ce profil définit tout : la méthode EAP, qu'il s'agisse de PEAP avec MSCHAPv2 ou de EAP-TLS avec certificats, les autorités de certification approuvées et la manière dont le client doit s'identifier. Lorsque le processus de mise à niveau s'exécute, il peut réinitialiser la configuration de ce service ou supprimer entièrement le profil. Sans ce profil, dot3svc n'a plus d'instructions. Il ne peut pas démarrer le processus d'authentification et le port du commutateur reste fermé. Pour diagnostiquer ce problème sur une machine spécifique, vous n'avez pas besoin d'outils complexes. Ouvrez une invite de commande avec des privilèges d'administrateur et exécutez : netsh lan show profiles. Si le résultat est vide ou si le profil attendu est manquant, vous avez confirmé la cause racine. Vous pouvez également ouvrir l'Observateur d'événements de Windows et accéder aux journaux des applications et des services, puis Microsoft, puis Windows, puis Wired-AutoConfig, et enfin au journal Opérationnel. Vous y trouverez des événements d'erreur explicites enregistrés au moment de chaque tentative de connexion ayant échoué. Ces événements vous indiqueront précisément ce qui s'est mal passé, qu'il s'agisse d'un profil manquant, d'un échec de confiance de certificat ou d'un problème de dépendance de service. Parlons maintenant des trois principales voies de résolution. Le choix le plus adapté à votre organisation dépend de votre infrastructure de gestion. La première option, la plus robuste pour les environnements traditionnels sur site, est Group Policy. Si vos appareils sont joints à un domaine, vous pouvez créer une stratégie Wired Network IEEE 802.3 sous Configuration ordinateur, Stratégies, Paramètres Windows, Paramètres de sécurité. Dans cette stratégie, vous définissez les paramètres 802.1X : le type EAP, la méthode d'authentification et la configuration de confiance des certificats. Une fois cette GPO liée aux unités d'organisation appropriées et appliquée aux machines concernées, les paramètres corrects seront appliqués et réappliqués automatiquement, même si une future mise à niveau tente de les supprimer. Le principal piège à surveiller ici est le filtrage des GPO. Assurez-vous que votre filtrage de sécurité et vos filtres WMI sont correctement configurés pour que la stratégie atteigne réellement les machines cibles. Une erreur courante consiste à créer la stratégie sans vérifier son champ d'application. La deuxième option, et la meilleure pratique pour les environnements modernes gérés dans le cloud, est Microsoft Intune. Si vos appareils sont joints à Azure AD ou hybrides et gérés via Intune, vous devez créer un profil de configuration en utilisant le modèle Wired Network pour Windows 10 et versions ultérieures. Le moyen le plus efficace de remplir ce profil consiste à exporter d'abord le fichier XML de travail d'une machine correctement configurée à l'aide de la commande : netsh lan export profile folder equals dot interface equals Ethernet. Cela vous donne le XML brut qui définit les paramètres 802.1X. Vous pouvez ensuite importer ce XML directement dans le profil Intune. Attribuez le profil à un groupe d'appareils contenant vos machines concernées, et Intune déploiera la configuration. Il s'agit d'une approche hautement évolutive, en particulier pour les organisations distribuées comme les chaînes de vente au détail ou les groupes hôteliers comptant des centaines de sites. La troisième option est le correctif manuel, qui convient aux situations urgentes et ponctuelles. Sur une machine qui fonctionne correctement, exportez le profil avec netsh lan export. Transférez le fichier XML obtenu vers la machine en panne via une clé USB ou un partage réseau accessible depuis le VLAN invité. Ensuite, sur la machine en panne, exécutez : netsh lan add profile filename equals your profile dot xml interface equals Ethernet. Cela restaure immédiatement les paramètres d'authentification. L'appareil devrait s'authentifier avec succès lors de la prochaine tentative de connexion. Il s'agit d'un correctif rapide et efficace pour un seul utilisateur, mais il n'est pas évolutif. Si vous vous retrouvez à le faire à plusieurs reprises, c'est le signe fort que vous devez mettre en œuvre une stratégie gérée de manière centralisée. Abordons maintenant les meilleures pratiques pour éviter ce problème à l'avenir. Le principe le plus important est le suivant : ne comptez jamais sur une configuration manuelle pour survivre à une mise à niveau sur place du système d'exploitation. Traitez votre profil 802.1X comme une stratégie qui doit être appliquée à partir d'une autorité centrale, et non comme un paramètre statique sur chaque appareil. Ce simple changement de mentalité fera gagner un temps et des efforts considérables à votre équipe. En pratique, cela signifie qu'il faut s'assurer que votre configuration 802.1X fait partie de la configuration standard de vos appareils. Que vous utilisiez MDT, SCCM ou Windows Autopilot, le profil réseau doit être déployé dans le cadre du processus de provisionnement. Il doit également être imposé par une politique persistante, GPO ou Intune, de sorte que même si la configuration locale est supprimée, elle soit automatiquement restaurée. Pour les organisations qui gèrent des déploiements de mise à niveau à grande échelle, pensez à ajouter des étapes de pré-vérification et de post-vérification à vos séquences de tâches de mise à niveau. Avant l'exécution de la mise à niveau, un script peut sauvegarder le profil 802.1X actuel sur un emplacement réseau. Une fois la mise à niveau terminée, une étape de vérification peut contrôler si le profil est présent et, dans le cas contraire, le restaurer à partir de la sauvegarde. Cette approche de double sécurité offre un filet de protection supplémentaire. Du point de vue de la conformité, ce problème a des implications directes pour PCI-DSS et ISO 27001. La condition 1.2.1 de PCI-DSS exige que le trafic entre l'environnement des données de titulaires de carte et les autres réseaux soit restreint. Le 802.1X est un contrôle clé pour appliquer cette segmentation. Si des appareils perdent leur configuration 802.1X et se retrouvent sur un réseau non segmenté, vous risquez de ne pas respecter cette exigence. S'assurer que vos paramètres 802.1X sont gérés de manière centralisée et résistent aux mises à niveau n'est donc pas seulement une préoccupation opérationnelle ; c'est un impératif de conformité. Voici maintenant quelques questions rapides qui reviennent fréquemment dans nos discussions avec nos clients. Cela affecte-t-il également le WiFi ? Oui, le même problème peut affecter les profils sans fil, bien que le problème filaire ait été signalé de manière plus systématique. L'approche de dépannage est analogue, en utilisant les commandes netsh wlan au lieu de netsh lan. Est-ce lié à un fournisseur de matériel spécifique ? Non. Il s'agit d'un problème lié au système Windows et à la gestion de la configuration. Il affecte les appareils de tous les principaux fabricants. Puis-je empêcher la suppression du profil pendant la mise à niveau ? Si vous utilisez un processus de mise à niveau géré via SCCM ou Intune, vous pouvez ajouter des étapes de correction post-mise à niveau. Pour les mises à niveau non gérées, la meilleure atténuation consiste à mettre en place une politique qui applique à nouveau la configuration automatiquement une fois la mise à niveau terminée. Que faire si le profil est présent mais que l'authentification échoue toujours ? Dans ce cas, le problème peut provenir de la chaîne de certificats. Après une mise à niveau, le certificat de la machine ou l'autorité de certification racine de confiance peut avoir été affecté. Vérifiez le magasin de certificats de la machine et assurez-vous que le certificat racine du serveur RADIUS est présent et approuvé. Pour résumer les points clés du briefing d'aujourd'hui. Les mises à niveau sur place de Windows 11 peuvent supprimer silencieusement les profils XML utilisés par le service de configuration automatique câblée, entraînant des échecs d'authentification 802.1X. Les étapes de diagnostic immédiat consistent à exécuter netsh lan show profiles et à vérifier le journal opérationnel de la configuration automatique câblée dans l'observateur d'événements. Les trois voies de remédiation sont les stratégies de groupe pour les appareils joints au domaine, Microsoft Intune pour les appareils gérés dans le cloud, et l'importation manuelle de profils netsh pour les correctifs d'urgence ponctuels. La solution à long terme consiste à appliquer les paramètres 802.1X via une stratégie gérée de manière centralisée, en la traitant comme une configuration persistante plutôt que comme un paramètre statique. Il s'agit également d'un enjeu de conformité pour les environnements PCI-DSS et ISO 27001. Votre plan d'action pour cette semaine est simple. Auditez votre approche actuelle de la gestion du 802.1X. Si vos paramètres sont configurés manuellement sur les terminaux sans stratégie d'application centralisée, c'est un risque que vous devez traiter avant votre prochain cycle de mise à niveau. Créez le profil Intune ou la GPO, testez-le sur un groupe pilote et déployez-le. L'investissement est minimal. L'atténuation du risque est significative. Merci d'avoir rejoint ce briefing technique Purple. Pour plus de ressources sur la gestion des réseaux d'entreprise et l'intelligence WiFi, visitez purple.ai.

Fait partie de notre série principale : Guide de sécurité WiFi d'entreprise →

Résoudre les problèmes de connectivité internet et de carte réseau Windows 11 après une mise à niveau

Résumé opérationnel

La transition vers Windows 11 introduit un problème opérationnel critique pour les environnements réseau d'entreprise : la suppression silencieuse des configurations d'authentification filaire IEEE 802.1X lors des mises à niveau du système d'exploitation sur place. Pour les directeurs informatiques, les architectes réseau et les administrateurs système qui supervisent des parcs d'appareils gérés, ce problème entraîne des interruptions de connectivité immédiates, une augmentation des tickets d'assistance et une exposition en matière de conformité.

La cause principale est la corruption ou la suppression complète des profils de configuration XML locaux pour le service Windows de configuration automatique de câblage (dot3svc). Lorsque ces profils sont purgés, les points de terminaison ne peuvent pas effectuer l'authentification de contrôle d'accès réseau basée sur les ports, telle que définie par IEEE 802.1X.

Ce guide fournit une méthodologie de référence pour diagnostiquer, restaurer et prévenir les échecs d'authentification 802.1X sous Windows 11. Il couvre les mécanismes de cause profonde, les codes de diagnostic de l'Observateur d'événements, trois cadres de remédiation (stratégie de groupe, Microsoft Intune et l'interface de ligne de commande netsh) ainsi que l'atténuation des risques à long terme à l'aide de l'authentification RADIUS cloud-native.

Ce guide fait partie de notre Guide complet sur la sécurité et l'authentification WiFi d'entreprise.

Contexte technique et analyse de la cause profonde

La norme IEEE 802.1X repose sur trois composants principaux : le suppliant (appareil client), l'authentificateur (commutateur réseau ou point d'accès) et le serveur d'authentification (serveur RADIUS). Sur les points de terminaison Windows, l'authentification basée sur les ports pour les connexions Ethernet est gérée par le service de configuration automatique de câblage (dot3svc).

Lors des mises à jour majeures des fonctionnalités de Windows 11 (telles que la mise à niveau de Windows 10 vers Windows 11, ou la mise à jour entre les versions 22H2, 23H2 et 24H2), le système d'exploitation effectue une migration approfondie des clés de registre et des définitions de service. Trois défaillances spécifiques se produisent au cours de ce processus :

1. Réinitialisation de l'état du service

Le type de démarrage du service dot3svc est fréquemment réinitialisé d'Automatique à Manuel ou Désactivé. Lorsque l'appareil redémarre après la mise à niveau, le service ne parvient pas à s'initialiser automatiquement, ce qui empêche la transmission des trames EAPOL (EAP sur LAN) via l'interface physique de la carte réseau.

2. Purge du registre des profils

Les profils XML 802.1X locaux stockés sous HKLM\SOFTWARE\Microsoft\Wired-AutoConfig sont souvent effacés lors de la phase de migration. Sans profil actif, Windows 11 ne peut pas présenter de certificats clients ou d'identifiants EAP au port du commutateur.

3. Incompatibilité entre Credential Guard et PEAP-MSCHAPv2

Windows 11 active par défaut la sécurité basée sur la virtualisation (VBS) et Credential Guard. Credential Guard isole les hachages de secrets NTLM et Kerberos dans un conteneur virtualisé, bloquant l'extraction héritée des hachages de mots de passe PEAP-MSCHAPv2. Par conséquent, les terminaux s'appuyant sur l'authentification héritée PEAP subissent des réponses Access-Reject persistantes après la mise à niveau. La mise à niveau vers EAP-TLS basé sur des certificats est requise pour rétablir l'authentification. Pour une comparaison détaillée, consultez notre guide WPA3 Enterprise vs iPSK Security Model.

4. Validation stricte du certificat RADIUS dans Windows 11 24H2

Windows 11 24H2 applique des règles strictes de validation des certificats de serveur. Si le certificat du serveur RADIUS ne contient pas de nom alternatif de l'objet (SAN) valide correspondant à la configuration du profil 802.1X, ou si l'autorité de certification racine émettrice est absente du magasin d'autorités de certification racines de confiance de l'ordinateur local, Windows interrompt la connexion avec le code d'erreur 0x80070490.

Matrice de diagnostic et référence de l'Observateur d'événements

Lors du dépannage d'un terminal Windows 11 concerné, utilisez le chemin suivant de l'Observateur d'événements Windows : Journaux des applications et des services > Microsoft > Windows > Wired-AutoConfig > Opérationnel

ID d'événement Source du journal Condition d'erreur Cause racine Correction par invite de commande élevée
12014 Wired-AutoConfig Délai d'attente d'expiration EAPOL Service dot3svc désactivé ou arrêté sc config dot3svc start=auto && net start dot3svc
12015 Wired-AutoConfig Échec de l'authentification (IP APIPA) Port de commutateur non authentifié ; appareil placé dans le VLAN invité netsh lan reauthenticate interface="Ethernet"
5632 Wired-AutoConfig Access-Reject explicite Certificat client manquant ou compte AD désactivé netsh lan export profile folder=C:\temp
12013 Wired-AutoConfig Certificat de serveur non approuvé Autorité de certification racine manquante dans le magasin local de l'ordinateur certutil -store Root
10001 Wired-AutoConfig Profil 802.1X absent Clés de registre du profil Netsh LAN XML purgées par la mise à niveau netsh lan add profile filename="C:\temp\Profile.xml"

Extrait de diagnostic PowerShell automatisé

Exécutez les commandes PowerShell élevées suivantes pour inspecter l'interface physique et l'état du profil 802.1X :

# Vérifier l'état du service Wired AutoConfig
Get-Service -Name dot3svc | Select-Object Name, Status, StartType

# Afficher les profils filaires 802.1X configurés
netsh lan show profiles

# Afficher l'état d'autorisation de l'interface
netsh lan show interfaces

Vous avez des questions sur votre configuration spécifique ?

Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.

Méthodes de résolution étape par étape

Rétablir la connectivité 802.1X sur l'ensemble d'un parc d'entreprise nécessite de sélectionner la chaîne d'outils de gestion appropriée en fonction de l'architecture de l'infrastructure.

Méthode 1 : Application des stratégies de groupe Active Directory (GPO)

Pour les terminaux joints au domaine, les stratégies de groupe offrent une application automatisée qui restaure les profils supprimés au prochain redémarrage :

  1. Ouvrez la Console de gestion des stratégies de groupe (gpmc.msc) sur un contrôleur de domaine.
  2. Modifiez l'Objet de Stratégie de Groupe cible lié à l'Unité d'Organisation de vos ordinateurs Windows 11.
  3. Naviguez vers : Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Stratégies de réseau câblé (IEEE 802.3).
  4. Faites un clic droit et sélectionnez Créer une nouvelle stratégie de réseau câblé pour Windows Vista et versions ultérieures.
  5. Activez Utiliser le service de configuration automatique câblée Windows pour l'accès réseau IEEE 802.1X.
  6. Sous l'onglet Sécurité, sélectionnez Microsoft : Carte à puce ou autre certificat (EAP-TLS) et configurez les Autorités de Certification Racines d'Entreprise de confiance.
  7. Forcez la mise à jour de la stratégie sur les postes clients : gpupdate /force.

Méthode 2 : Déploiement via Microsoft Intune (MDM Cloud)

Pour les postes managés dans le cloud, déployez un profil 802.1X via Microsoft Intune. Pour une configuration étape par étape des profils de certificats SCEP et PKCS, reportez-vous à notre guide dédié Microsoft Intune WiFi Certificate Deployment Guide.

  1. Exportez un profil XML 802.1X de référence depuis une machine modèle : netsh lan export profile folder=C:\temp interface="Ethernet"
  2. Ouvrez le Centre d'administration Microsoft Intune (intune.microsoft.com).
  3. Naviguez vers Appareils > Profils de configuration > Créer un profil.
  4. Sélectionnez Windows 10 et versions ultérieures comme Plateforme, et Réseau câblé comme Modèle.
  5. Collez la configuration XML EAP exportée dans le champ des paramètres du profil XML.
  6. Assignez la stratégie à votre groupe d'appareils Azure AD afin d'imposer une correction automatisée après la mise à niveau.

Méthode 3 : Importation manuelle du profil XML via la CLI Netsh

Pour les postes autonomes ou le support technique d'urgence, importez le profil manuellement via l'Invite de commandes :

:: 1. S'assurer que le service de configuration automatique câblée est actif
sc config dot3svc start=auto
net start dot3svc

:: 2. Importer le profil XML 802.1X de référence
netsh lan add profile filename="C:\temp\MasterWiredProfile.xml" interface="Ethernet"

:: 3. Relancer l'authentification du port
netsh lan reauthenticate interface="Ethernet"

Bonnes pratiques pour les déploiements d'entreprise

Afin d'éviter la perte des profils 802.1X lors des prochaines mises à jour de Windows 11, appliquez les mesures de protection opérationnelles suivantes :

  • Intégrez la configuration 802.1X dans les configurations de référence de déploiement d'OS : Veillez à ce que les séquences de tâches Microsoft Autopilot, SCCM ou MDT appliquent les profils 802.1X lors de la préparation initiale.
  • Centralisez l'application des stratégies : Évitez les postes configurés manuellement. Imposez les paramètres réseau via GPO ou Intune pour garantir une réapplication automatique et corrective des stratégies.
  • Mettez en œuvre des sauvegardes de séquences de tâches pré-mise à niveau : Exportez les profils existants vers un partage réseau sécurisé (netsh lan export) avant de lancer des mises à niveau majeures du système d'exploitation.
  • Maintenez des dépôts de fichiers XML gérés par version : Stockez les profils XML maîtres pour chaque site et zone de sécurité dans un dépôt centralisé afin d'accélérer la reprise après sinistre.- Migrer de PEAP-MSCHAPv2 vers EAP-TLS : Passez d'une authentification par mot de passe à des certificats numériques pour éliminer les échecs de compatibilité avec Credential Guard. Découvrez comment dans notre guide Qu'est-ce que l'authentification RADIUS et comment fonctionne-t-elle ?.

Dépannage et atténuation des risques

Lorsqu'un terminal perd l'accès au réseau après une mise à niveau, exécutez cette séquence de diagnostic systématique :

  1. Vérifier la couche physique et les voyants de liaison : Confirmez l'état de la liaison Ethernet et la connectivité des ports du commutateur.
  2. Vérifier l'attribution de l'adresse IP : Exécutez ipconfig /all. Une adresse APIPA (169.254.x.x) indique un échec complet de l'authentification 802.1X ou un blocage du port du commutateur. Un sous-réseau inattendu indique un placement dans un VLAN Invité isolé.
  3. Inspecter l'état du profil 802.1X : Exécutez netsh lan show profiles. S'il est vide, le profil a été purgé lors de la migration du système d'exploitation.
  4. Analyser les journaux d'événements de configuration automatique câblée : Vérifiez les ID d'événement 12014, 12015 et 5632 pour isoler les problèmes de certificat, d'identifiant ou de service.
  5. Appliquer une correction de politique centralisée : Déclenchez une synchronisation des politiques via Intune ou GPO pour restaurer automatiquement le profil.

Résoudre les problèmes de connectivité internet et de carte réseau Windows 11 après une mise à niveau - troubleshooting step…

ROI et impact commercial

Les pannes de réseau imprévues suite aux mises à jour du système d'exploitation entraînent des coûts financiers et opérationnels importants. La gestion centralisée des configurations 802.1X génère un ROI mesurable dans trois domaines clés :

1. Réduction des coûts de support informatique

Dans un parc d'entreprise de 1 000 appareils, environ 15 % des terminaux subissent une perte de profil ou une réinitialisation de service lors des cycles majeurs de mise à niveau du système d'exploitation. Le dépannage manuel de 150 appareils à raison de 30 minutes par ticket consomme 75 heures de support informatique de niveau 2. À un coût chargé de 60 £ par heure, un seul cycle de mise à jour coûte 4 500 £ en support réactif.

En déployant des politiques centralisées Intune ou GPO (nécessitant environ 4 heures de temps de configuration par un architecte, soit 240 £), les organisations obtiennent un ROI complet dès le premier cycle de mise à niveau, avec une réduction de 80 % des tickets de support liés à l'accès réseau.

2. Respect de la conformité réglementaire

  • Exigence PCI-DSS 1.2.1 : Impose une segmentation réseau stricte entre les environnements de données de titulaires de cartes (CDE) et les réseaux d'entreprise généraux. Les appareils non authentifiés qui basculent sur des VLAN par défaut ouverts violent les contrôles de segmentation.
  • Annexe A.12.1.2 d'ISO 27001 : Exige une gestion formelle des changements et l'application des configurations. Les politiques réseau auto-correctrices répondent aux contrôles d'audit.
  • Article 32 du GDPR : Exige des mesures techniques pour garantir la confidentialité et l'intégrité des données réseau.

3. Continuité opérationnelle pour les parcs de sites physiques

Les sites physiques - hôtels, centres de conférences, chaînes de magasins et stades - dépendent d'une infrastructure réseau authentifiée pour leurs systèmes de gestion d'établissement, terminaux de billetterie et systèmes POS. Une gestion proactive du protocole 802.1X évite les pertes de revenus causées par les temps d'arrêt de la réception ou des systèmes POS hors ligne.

Résolution permanente avec Purple Cloud RADIUS

Restaurer manuellement des profils XML ou résoudre les retards de synchronisation GPO après chaque mise à jour Windows crée une charge opérationnelle inutile. Purple Passwordless Staff WiFi et le Cloud RADIUS fournissent une plateforme d'authentification 802.1X cloud-native qui élimine la corruption des profils locaux.

  • Intégration d'identité zéro-touch : Authentifiez automatiquement les appareils via Microsoft Entra ID, Okta, ou Google Workspace en utilisant le protocole WPA3-Enterprise basé sur des certificats ou Passpoint (Hotspot 2.0).
  • Réduction de 80 % des tickets de support : Éliminez les mots de passe WPA2 partagés et les scripts de profils XML manuels sur l'ensemble de votre parc.
  • Fiabilité d'entreprise : Conçu sur une architecture cloud RADIUS agnostique en matière de matériel, desservant plus de 80 000 sites actifs avec un SLA de disponibilité de 99,999 %.

Réservez une consultation technique WiFi d'entreprise ou découvrez Purple Passwordless Staff WiFi pour éliminer les échecs de configuration 802.1X.

Définitions clés

IEEE 802.1X

Une norme IEEE pour le contrôle d'accès réseau basé sur les ports (PNAC) qui fournit un mécanisme d'authentification aux appareils souhaitant se connecter à un réseau LAN ou WLAN.

Norme de contrôle d'accès réseau basée sur les ports pour les réseaux d'entreprise.

Service de configuration automatique câblée (dot3svc)

Un service Windows intégré chargé d'effectuer l'authentification IEEE 802.1X sur les cartes réseau Ethernet.

Service Windows gérant l'authentification 802.1X sur les interfaces Ethernet.

EAP-TLS

Une norme IETF pour l'authentification mutuelle entre un client et un serveur RADIUS à l'aide de certificats numériques X.509.

Protocole d'authentification extensible utilisant la sécurité de la couche de transport.

netsh lan

Un outil de script en ligne de commande dans Windows qui permet aux administrateurs de configurer, d'afficher et d'exporter des profils de réseau câblé 802.1X.

Utilitaire en ligne de commande Windows pour gérer les paramètres de réseau câblé.

Serveur RADIUS

Serveur Remote Authentication Dial-In User Service (tel que Microsoft NPS, Cisco ISE ou Aruba ClearPass) qui authentifie les informations d'identification des clients.

Serveur d'authentification AAA centralisé dans l'architecture d'entreprise.

Exemples concrets

À la suite d'une mise à jour de l'ensemble du parc vers Windows 11, 20 % des postes de travail de l'entreprise signalent une perte d'accès à l'intranet et obtiennent des adresses IP APIPA 169.254.x.x sur les connexions Ethernet. L'exécution de netsh lan show profiles n'affiche aucun profil configuré. Quelle est la cause racine et comment le service informatique doit-il y remédier à grande échelle ?

  1. Cause racine : La phase de migration de la mise à niveau des fonctionnalités de Windows 11 a purgé les clés de registre HKLM\SOFTWARE\Microsoft\Wired-AutoConfig, supprimant les profils 802.1X locaux tout en laissant les ports de commutateur dans un état d'invité non authentifié ou bloqué. 2. Correctif tactique : Exporter un profil XML fonctionnel à partir d'un poste de référence (netsh lan export profile folder=C:\temp) et l'importer sur les hôtes concernés (netsh lan add profile filename=...). 3. Résolution évolutive : Déployer un objet de stratégie de groupe (GPO) Active Directory ciblant les stratégies de réseau câblé (IEEE 802.3) ou un profil de configuration Intune avec une charge utile de réseau câblé pour imposer automatiquement la restauration du profil.
Commentaire de l'examinateur : Cette solution diagnostique correctement la perte du registre de profils lors des mises à jour majeures du système d'exploitation et décrit à la fois une remédiation immédiate en ligne de commande et l'application d'une politique MDM automatisée à long terme.

Un hôte Windows 11 24H2 échoue à l'authentification 802.1X. L'Observateur d'événements affiche l'ID d'événement 12013 : "L'identité du serveur d'authentification n'a pas pu être vérifiée". Les journaux RADIUS indiquent Access-Reject. Quel changement de configuration est requis ?

  1. Windows 11 24H2 impose une validation stricte de la confiance des certificats de serveur. 2. Le profil 802.1X du client doit avoir ValidateServerCertificate défini sur true, avec la CA racine présente dans le magasin d'autorités de certification racines de confiance de l'ordinateur. 3. La propriété ServerNames dans le profil XML doit correspondre au Subject Alternative Name (SAN) du certificat du serveur RADIUS.
Commentaire de l'examinateur : L'identification des règles de validation de certificat strictes dans Windows 11 24H2 est essentielle pour résoudre les échecs d'authentification EAP-TLS et PEAP.

Questions d'entraînement

Q1. Quel service Windows doit être configuré sur démarrage Automatique pour que l'authentification Ethernet 802.1X fonctionne ?

Conseil : Vérifiez le type de démarrage du service de configuration automatique câblée de Windows.

Voir la réponse type

Le service de configuration automatique câblée (dot3svc) doit être configuré sur le type de démarrage Automatique. Par défaut, sur les installations Windows non jointes à un domaine, ce service est configuré sur Manuel et n'effectuera pas d'authentification 802.1X.

Q2. Quelle commande exacte exporte un profil 802.1X d'une carte Ethernet active vers un fichier XML ?

Conseil : Rappelez-vous la syntaxe netsh lan pour exporter des profils réseau.

Voir la réponse type

netsh lan export profile folder=C:\temp interface="Ethernet" exporte le profil 802.1X sous forme de fichier XML vers le répertoire spécifié.

Continuer la lecture de cette série

Power over Ethernet (PoE) pour Points d'Accès : Un Guide d'Implémentation

Ce guide fournit aux techniciens d'infrastructure, aux architectes réseau et aux décideurs informatiques une référence technique définitive pour le déploiement de points d'accès Power over Ethernet (PoE) dans les sites d'entreprise, notamment les hôtels, les commerces de détail, les stades et les infrastructures publiques. Il couvre les normes IEEE de 802.3af à 802.3bt, le calcul du bilan énergétique, les exigences de câblage, la segmentation VLAN et la conformité de sécurité, avec des scénarios d'implémentation concrets et des indicateurs de ROI mesurables. Comprendre l'architecture PoE est fondamental pour tout déploiement de [Guest WiFi](/guest-wifi) ou de [WiFi Analytics](/guest-wifi), car la fiabilité de la couche physique détermine directement la qualité de la capture de données, l'expérience utilisateur et la disponibilité opérationnelle.

Lire le guide →

Comment configurer les politiques NAC pour le routage VLAN dans Cisco Meraki

Ce guide de référence offre aux responsables informatiques, architectes réseau et directeurs d'exploitation d'établissements un cadre pratique, étape par étape, pour configurer les politiques NAC et le routage VLAN dans les environnements Cisco Meraki. Il couvre l'implémentation de la norme 802.1X, l'isolation des appareils IoT via le contournement d'authentification MAC (MAB), et l'intégration transparente avec la plateforme d'analyse WiFi pour les visiteurs de Purple afin de garantir une segmentation réseau sécurisée, conforme et performante dans les secteurs de l'hôtellerie, du commerce de détail et du secteur public.

Lire le guide →

Choix des points d'accès d'entreprise : Cisco, Aruba, Ruckus, et UniFi comparés

Comparez les points d'accès d'entreprise Cisco Meraki, Aruba, Ruckus, et UniFi. Évaluez le WiFi 6E/7, le coût total de possession (TCO) des licences, les performances RF, et les architectures de contrôleurs.

Lire le guide →

Vous avez des questions sur votre configuration spécifique ?

Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.