Windows 11 802.1X प्रमाणीकरण समस्याओं का निवारण: एंटरप्राइज IT गाइड

त्वरित उत्तर: अपडेट के बाद Windows 11 802.1X की अधिकांश विफलताएं चार कारणों में से एक से होती हैं - RADIUS सर्वर प्रमाणपत्र अब मान्य नहीं है (इवेंट ID 12013), PEAP-MSCHAPv2 सिंगल साइन-ऑन को ब्लॉक करने वाला Credential Guard, EAP-TLS के लिए गायब या समय सीमा समाप्त हो चुका क्लाइंट प्रमाणपत्र, या Ethernet पर Wired AutoConfig सेवा (dot3svc) का न चलना। सबसे पहले WLAN-AutoConfig या Wired-AutoConfig ऑपरेशनल लॉग पढ़ें, नीचे दी गई तालिकाओं में इवेंट ID का मिलान करें, फिर लैपटॉप दर लैपटॉप के बजाय ग्रुप पॉलिसी या Intune के माध्यम से प्रोफाइल को केंद्रीय रूप से ठीक करें।

इन्टरप्राइज वातावरण में 802.1X नेटवर्क प्रमाणीकरण को तैनात और बनाए रखने के लिए क्लाइंट ऑपरेटिंग सिस्टम, एक्सेस पॉइंट, स्विच इंफ्रास्ट्रक्चर और RADIUS प्रमाणीकरण सर्वर के बीच निर्बाध इंटरऑपरेबिलिटी की आवश्यकता होती है। Windows 11 में फीचर अपडेट के बाद, एंटरप्राइज IT विभागों को अक्सर वायरलेस WiFi और वायर्ड Ethernet दोनों नेटवर्क में प्रमाणीकरण विफलताओं में अचानक वृद्धि का अनुभव होता है।

यह तकनीकी मार्गदर्शिका मूल कारणों की पहचान करने, RADIUS ट्रस्ट टूटने को हल करने, Credential Guard संघर्षों का समाधान करने और प्रबंधित Windows 11 एंडपॉइंट्स के लिए विश्वसनीय 802.1X नेटवर्क एक्सेस कंट्रोल स्थापित करने के लिए चरण-दर-चरण नैदानिक ढांचा प्रदान करती है।

Windows 11 802.1X आर्किटेक्चरल परिवर्तनों को समझना

Windows 11 उन्नत सुरक्षा नियंत्रण पेश करता है जो ऑपरेटिंग सिस्टम द्वारा एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल (EAP) वार्तालाप, प्रमाणपत्र सत्यापन और क्रेडेंशियल कैशिंग को संभालने के तरीके को बदलते हैं। हालांकि ये सुरक्षा उपाय कॉर्पोरेट उपकरणों को पहचान की चोरी से बचाते हैं, वे मौजूदा ग्रुप पॉलिसी ऑब्जेक्ट्स (GPO) और मोबाइल डिवाइस मैनेजमेंट (MDM) पेलोड में छिपी हुई कॉन्फ़िगरेशन कमजोरियों को उजागर करते हैं।

Windows 11 802.1X प्रमाणीकरण विफलताओं के प्राथमिक कारण

जब एक Windows 11 डिवाइस 802.1X एंटरप्राइज नेटवर्क पर प्रमाणित करने में विफल रहता है, तो समस्या आमतौर पर चार प्राथमिक विफलता कारणों में से एक से उत्पन्न होती है:

1. RADIUS सर्वर प्रमाणपत्र सत्यापन में विफलता

802.1X EAP-TLS या PEAP हैंडशेक के दौरान, RADIUS सर्वर क्लाइंट के सामने अपनी पहचान साबित करने के लिए अपना X.509 डिजिटल प्रमाणपत्र प्रस्तुत करता है। आगे बढ़ने से पहले Windows 11 तीन मापदंडों को सत्यापित करता है:

• ट्रस्ट चेन: जारीकर्ता Root CA प्रमाणपत्र एंडपॉइंट के Local Computer Trusted Root Certification Authorities स्टोर में होना चाहिए।
• सब्जेक्ट अल्टरनेटिव नेम (SAN): RADIUS सर्वर का होस्टनेम या FQDN क्लाइंट के 802.1X प्रोफ़ाइल XML कॉन्फ़िगरेशन में निर्दिष्ट सर्वर नाम से मेल खाना चाहिए।
• समाप्ति और निरसन: प्रमाणपत्र समाप्त नहीं होना चाहिए और इसे प्रमाणपत्र निरसन सूची (CRL) या OCSP जांच पास करनी चाहिए।

यदि कोई भी मापदंड विफल हो जाता है, तो Windows 11 संभावित अनधिकृत एक्सेस पॉइंट्स से कनेक्शन को रोकने के लिए तुरंत EAP सत्र को समाप्त कर देता है।

2. Credential Guard और PEAP-MSCHAPv2 के बीच टकराव

Credential Guard मेमोरी में संग्रहीत रहस्यों को अलग रखने के लिए वर्चुअलाइजेशन-आधारित सुरक्षा (VBS) का उपयोग करता है। PEAP-MSCHAPv2 पर निर्भर पुराने 802.1X सेटअप Active Directory के खिलाफ स्वचालित रूप से प्रमाणित करने के लिए उपयोगकर्ता के लॉगऑन हैश को निकालने का प्रयास करते हैं। Credential Guard इस मेमोरी एक्सेस को ब्लॉक कर देता है, जिसके परिणामस्वरूप बार-बार क्रेडेंशियल प्रॉम्प्ट लूप या स्पष्ट RADIUS अस्वीकृति होती है।

3. गायब या समाप्त हो चुके क्लाइंट प्रमाणपत्र (EAP-TLS)

EAP-TLS का उपयोग करने वाले ज़ीरो-ट्रस्ट वातावरण में, प्रत्येक डिवाइस या उपयोगकर्ता एक आंतरिक Certificate Authority (जैसे Microsoft ADCS) द्वारा जारी एक व्यक्तिगत प्रमाणपत्र प्रस्तुत करता है। कनेक्शन विफलताएं तब होती हैं जब Intune SCEP या PKCS प्रमाणपत्र प्रोफ़ाइल सिंक होने में विफल रहती हैं, क्लाइंट प्रमाणपत्र समाप्त हो जाते हैं, या प्राइवेट की एक्सटेंडेड की यूसेज (EKU) एट्रिब्यूट में Client Authentication (1.3.6.1.5.5.7.3.2) की कमी होती है।

4. वायर्ड ऑटो-कॉन्फ़िग (dot3svc) सेवा स्थिति

वायर्ड इथरनेट 802.1X वातावरण के लिए, Windows 11 डेस्कटॉप इंस्टॉल बॉक्स से बाहर dot3svc सेवा को सक्षम नहीं करते हैं। परिणामस्वरूप, नेटवर्क इंटरफेस कार्ड (NIC) प्रबंधित स्विच पोर्ट द्वारा प्रेषित EAPOL स्टार्ट फ़्रेम के प्रति अनुत्तरदायी रहते हैं, जिससे डिवाइस बिना नेटवर्क एक्सेस के अटक जाता है या एक APIPA IP एड्रेस (169.254.x.x) असाइन हो जाता है।

IT प्रशासकों के लिए चरण-दर-चरण नैदानिक कार्यप्रवाह

प्रबंधित एंडपॉइंट्स पर प्रमाणीकरण विफलताओं को व्यवस्थित रूप से निवारण करने के लिए, इस नैदानिक अनुक्रम का पालन करें:

चरण 1: Windows इवेंट व्यूअर लॉग का विश्लेषण करें

Windows विशेष इवेंट व्यूअर ऑपरेशनल लॉग के तहत सभी 802.1X नेटवर्क इवेंट दर्ज करता है:

• वायरलेस 802.1X: Applications and Services Logs > Microsoft > Windows > WLAN-AutoConfig > Operational पर जाएं
• वायर्ड 802.1X: Applications and Services Logs > Microsoft > Windows > Wired-AutoConfig > Operational पर जाएं

चरण 2: netsh कमांड-लाइन डायग्नोस्टिक्स निष्पादित करें

सक्रिय नेटवर्क स्थितियों का निरीक्षण करने और कॉन्फ़िगरेशन प्रोफ़ाइल निर्यात करने के लिए प्रभावित एंडपॉइंट पर एक एलीवेटेड Command Prompt या PowerShell सत्र खोलें:

# Check active wireless interface state and signal quality
netsh wlan show interfaces

# List all installed wireless 802.1X profiles
netsh wlan show profiles

# Export a wireless profile to XML for inspection
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# Inspect active wired Ethernet 802.1X status
netsh lan show state

# Verify local Root CA certificate store installation
certutil -store Root "Your-Internal-Root-CA"

चरण 3: जांचें कि क्या अनुरोध RADIUS सर्वर तक पहुंचा

Windows लॉग केवल आपको यह बताते हैं कि क्लाइंट ने क्या देखा। किसी भी प्रोफ़ाइल को बदलने से पहले, पुष्टि करें कि किस तरफ विफलता हुई:

• RADIUS लॉग में बिल्कुल भी कोई अनुरोध नहीं है: डिवाइस सर्वर तक कभी पहुंचा ही नहीं। एक्सेस प्वाइंट या स्विच RADIUS कॉन्फ़िगरेशन, साझा रहस्य और IP पहुंचयोग्यता की जांच करें, और यह भी कि क्लाइंट पर dot3svc या WLAN AutoConfig चल रहा है या नहीं।
• Access-Reject लॉग हुआ: सर्वर को अनुरोध प्राप्त हुआ और उसने इसे अस्वीकार कर दिया। Microsoft NPS पर, इवेंट ID 6273 के लिए सुरक्षा लॉग को फ़िल्टर करें और कारण कोड पढ़ें।
• Access-Accept लॉग हुआ लेकिन डिवाइस में अभी भी कोई नेटवर्क नहीं है: प्रमाणीकरण ने काम किया। इसके बजाय VLAN असाइनमेंट, DHCP स्कोप और स्विच पोर्ट कॉन्फ़िगरेशन को देखें।

अपग्रेड के बाद गायब हुई वायर्ड 802.1X प्रोफ़ाइल को पुनर्स्थापित करें

यदि फ़ीचर अपडेट के बाद प्रमाणीकरण टैब खाली है, तो किसी ज्ञात-अच्छे डिवाइस से प्रोफ़ाइल को फिर से आयात करें:

# On a working device: export the wired profile
netsh lan export profile folder="C:\temp" interface="Ethernet"

# On the affected device: make sure Wired AutoConfig is running
Set-Service -Name dot3svc -StartupType Automatic
Start-Service dot3svc

# Import the exported profile
netsh lan add profile filename="C:\temp\Ethernet.xml" interface="Ethernet"

इससे एक लैपटॉप काम करने लगता है। इसे दोबारा होने से रोकने के लिए, नीचे बताए अनुसार Group Policy या Intune के माध्यम से वही प्रोफाइल पुश करें, ताकि हर अपग्रेड इसे फिर से लागू कर दे।

निवारण रणनीतियाँ: GPO और Microsoft Intune

एक बार विफलता के कारण की पहचान हो जाने के बाद, सभी Windows 11 डिवाइसों में एंडपॉइंट कॉन्फ़िगरेशन को मानकीकृत करने के लिए उद्यम - व्यापक नीति अपडेट लागू करें।

Active Directory Group Policy (GPO) निवारण

डोमेन - से जुड़े एंडपॉइंट्स के लिए, केंद्रीकृत वायरलेस और वायर्ड नेटवर्क नीतियां कॉन्फ़िगर करें:

1. Group Policy Management Console (gpmc.msc) खोलें और अपनी बेसलाइन एंडपॉइंट नीति को संपादित करें।
2. Computer Configuration > Policies > Windows Settings > Security Settings > System Services पर जाएं। Wired AutoConfig खोजें, स्टार्टअप मोड को Automatic पर सेट करें, और सेवा शुरू करें।
3. Public Key Policies > Trusted Root Certification Authorities पर जाएं। अपने RADIUS सर्वर के लिए जारीकर्ता Root CA प्रमाणपत्र आयात करें।
4. Wireless Network (IEEE 802.11) Policies पर जाएं, अपना एंटरप्राइज प्रोफाइल खोलें, Security टैब चुनें, और प्रमाणीकरण को Microsoft: Smart Card or other certificate (EAP-TLS के लिए) या PEAP पर सेट करें।
5. Properties पर क्लिक करें और Connect to these servers फ़ील्ड में अपने RADIUS सर्वर FQDNs को निर्दिष्ट करते हुए Trusted Root Certification Authorities सूची में अपने Root CA को स्पष्ट रूप से जांचें।

Microsoft Intune MDM प्रोफाइल परिनियोजन

Intune में क्लाउड - प्रबंधित या हाइब्रिड एंडपॉइंट्स के लिए:

1. अपने एंटरप्राइज Root CA प्रमाणपत्र पेलोड को शामिल करते हुए एक Trusted Certificate profile बनाएं और इसे All Devices को असाइन करें।
2. EAP-TLS के लिए डिवाइस या उपयोगकर्ताओं को विशिष्ट क्लाइंट प्रमाणपत्र जारी करने के लिए एक माध्यमिक PKCS or SCEP Certificate profile बनाएं।
3. Trusted Certificate और SCEP/PKCS दोनों प्रोफ़ाइलों का संदर्भ देते हुए, EAP प्रकार के रूप में निर्दिष्ट EAP-TLS के साथ एक WiFi Configuration profile बनाएं।
4. सुनिश्चित करें कि नीति मूल्यांकन क्रम WiFi प्रोफाइल एप्लिकेशन से पहले Trusted Certificate पेलोड को इंस्टॉल करने की अनुमति देता है।

दीर्घकालिक सुरक्षा वास्तुकला: EAP-TLS और Passpoint पर माइग्रेट करना

यद्यपि PEAP-MSCHAPv2 को पैच किया जा सकता है, पासवर्ड - आधारित 802.1X प्रोटोकॉल स्वाभाविक रूप से क्रेडेंशियल कटाई, ऑफ़लाइन शब्दकोश हमलों और दुष्ट AP प्रतिरूपण के लिए संवेदनशील बने रहते हैं। NIST और Wi-Fi Alliance के उद्योग सुरक्षा दिशानिर्देश एंटरप्राइज नेटवर्क को EAP-TLS certificate authentication या Passpoint (Hotspot 2.0) पर माइग्रेट करने का आदेश देते हैं।

हमारे व्यापक Enterprise WiFi Security Guide में एंड-टू-एंड सुरक्षा आर्किटेक्चर लागू करने के बारे में अधिक जानें। विस्तृत प्रोटोकॉल तुलनाओं के लिए, EAP Methods Compared (PEAP, EAP-TLS, EAP-TTLS, and EAP-FAST) पर हमारे विश्लेषण की समीक्षा करें या Deploying WiFi Certificates via Microsoft Intune पर हमारी गाइड में स्वचालित प्रमाणपत्र डिलीवरी का पता लगाएं।

प्रमाणपत्र-आधारित 802.1X को स्वचालित क्लाउड RADIUS प्रबंधन के साथ जोड़कर, एंटरप्राइज IT टीमें पासवर्ड प्रॉम्प्ट को समाप्त करती हैं, Windows 11 एंडपॉइंट ऑनबोर्डिंग को सुव्यवस्थित करती हैं, और सभी कॉर्पोरेट सुविधाओं में ज़ीरो-ट्रस्ट नेटवर्क एक्सेस कंट्रोल प्राप्त करती हैं।

Windows 11 802.1X को RADIUS-as-a-Service पर कब स्थानांतरित करें

इस गाइड की अधिकांश विफलताएं उस इंफ्रास्ट्रक्चर के कारण होती हैं जिसे Windows के साथ मैन्युअल रूप से अपडेट रखना पड़ता है: एक NPS या FreeRADIUS सर्वर प्रमाणपत्र जो समाप्त हो जाता है, एक रूट CA जो नए बिल्ड से गायब है, या एक PEAP-MSCHAPv2 नीति जिसे Credential Guard अब सपोर्ट नहीं करता है। ऑथेंटिकेशन को क्लाउड पर ले जाने से वह सर्वर इस सूची से हट जाता है।

Purple RADIUS-as-a-Service आपके द्वारा पहले से चलाए जा रहे एक्सेस पॉइंट्स - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks और Fortinet पर EAP-TLS, PEAP, EAP-TTLS या EAP-FAST के साथ Windows 11 डिवाइसेस को ऑथेंटिकेट करता है, आपके आइडेंटिटी प्रोवाइडर के खिलाफ हर अनुरोध की जांच करता है और सही VLAN असाइन करता है। यह Microsoft NPS, FreeRADIUS और Cisco ISE को रिप्लेस करता है, और मल्टी-रीजन रन करता है, इसलिए फीचर अपडेट के बाद पैच करने के लिए कोई सर्वर नहीं है।

वह सेटअप चुनें जो आपकी डायरेक्टरी से मेल खाता हो:

• RADIUS with Microsoft Intune - एक ही पॉलिसी सेट में SCEP या PKCS प्रमाणपत्र और WiFi प्रोफ़ाइल डिलीवर करें।
• RADIUS with Microsoft Entra ID - बिना किसी डोमेन कंट्रोलर के केवल क्लाउड डिवाइसेस के लिए प्रमाणपत्र-आधारित 802.1X।
• RADIUS with Okta या Google Workspace - गैर-Microsoft डायरेक्टरीज़ के लिए समान मॉडल।

पहले विकल्पों की तुलना कर रहे हैं? हमारी cloud RADIUS providers comparison और EAP-TLS vs PEAP देखें।

हर Windows अपडेट के बाद उसी 802.1X समस्या को ठीक कर रहे हैं? Book a demo और हम आपके मौजूदा एक्सेस पॉइंट्स का उपयोग करके, क्लाउड RADIUS पर प्रमाणपत्र-आधारित WiFi पर आपके Windows 11 बेड़े को स्थानांतरित करने की प्रक्रिया समझाएंगे।