Risoluzione dei problemi di autenticazione 802.1X su Windows 11

[Introduction & Context] Benvenuti a questo briefing tecnico di Purple. Sono il vostro presentatore e oggi affronteremo un problema specifico e ad alto impatto che sta causando grattacapi ai team IT di tutto il panorama aziendale: gli aggiornamenti a Windows 11 che interrompono l'autenticazione wireless 802.1X. Se gestite una rete aziendale, che si tratti di un vasto campus ospedaliero, di un'operazione retail multi-sito o di un grande spazio pubblico, vi affidate allo standard 802.1X per proteggere la vostra infrastruttura wireless. È il gold standard. Recentemente, tuttavia, abbiamo registrato un picco di ticket di supporto in cui i dispositivi, dopo l'aggiornamento a Windows 11, si disconnettono improvvisamente dal Wi-Fi sicuro. Oggi analizzeremo esattamente perché questo accade, come diagnosticarlo rapidamente e i passaggi necessari per risolverlo e prevenire che si verifichi nelle future fasi di implementazione. Entriamo nel vivo. [Technical Deep-Dive] Quindi, cosa si interrompe effettivamente quando una macchina si aggiorna a Windows 11? Per comprendere il guasto, dobbiamo esaminare l'handshake di autenticazione. La maggior parte delle aziende utilizza PEAP-MSCHAPv2 o EAP-TLS per le proprie reti 802.1X. Entrambi si basano fortemente sulla fiducia dei certificati. Quando un client Windows tenta di connettersi, il server RADIUS (spesso un Network Policy Server o NPS) presenta il proprio certificato. Il client verifica quindi se considera attendibile l'Autorità di certificazione radice (Root CA) che ha emesso il certificato NPS. Ecco il fulcro del problema di Windows 11: durante alcuni percorsi di aggiornamento, o a causa di impostazioni di sicurezza predefinite più rigide in Windows 11, i collegamenti dei certificati radice attendibili per il profilo wireless vengono rimossi o non migrano correttamente. Inoltre, Windows 11 ha introdotto Credential Guard abilitato per impostazione predefinita sull'hardware compatibile, il che modifica il modo in cui le credenziali NTLM e MS-CHAPv2 vengono archiviate e consultate, interrompendo a volte le configurazioni PEAP legacy. Quando il client non riesce a convalidare il certificato del server, la connessione si interrompe immediatamente. L'utente visualizza semplicemente il messaggio "Impossibile connettersi a questa rete", ma dietro le quinte si tratta di un errore critico nello stabilire il tunnel TLS. [Implementation Recommendations & Pitfalls] Come possiamo risolvere questo problema? La correzione immediata prevede l'invio di un Group Policy Object (GPO) aggiornato ai vostri endpoint. In primo luogo, è necessario assicurarsi che il certificato della Root CA sia distribuito esplicitamente nell'archivio "Autorità di certificazione radice attendibili" su tutte le macchine client. In secondo luogo, e questo è il passaggio che molti trascurano, è necessario aggiornare i criteri della rete wireless (IEEE 802.11) nel GPO. È necessario selezionare esplicitamente la Root CA attendibile nelle proprietà PEAP o EAP-TLS del profilo wireless. Se quella casella non è selezionata, Windows 11 rifiuterà la connessione. Un grave errore che vediamo commettere dai team IT è il tentativo di aggirare il problema disabilitando completamente la convalida del certificato del server. Non fatelo. Disabilitare la convalida del certificato espone la rete ad attacchi Evil Twin e alla sottrazione di credenziali. Inoltre, viola i requisiti di conformità PCI DSS e GDPR. Risolvete sempre la catena di attendibilità; non aggiratela mai. Per una soluzione a lungo termine, in particolare se si gestisce un'implementazione su larga scala come nel settore [Retail](/industries/retail) o dell' [Hospitality](/industries/hospitality), si consiglia di abbandonare completamente il protocollo PEAP basato su password. Il passaggio a EAP-TLS con certificati macchina e utente è molto più robusto contro queste modifiche delle credenziali a livello di sistema operativo. È possibile approfondire l'argomento nella nostra guida su [Implementing WPA3-Enterprise for Enhanced Wireless Security](/guides/implementing-wpa3-enterprise-for-enhanced-wireless-security). [Rapid-Fire Q&A] Esaminiamo un paio di domande rapide che riceviamo spesso dai network architect. Domanda 1: "Utilizziamo una CA pubblica per il nostro server RADIUS. Dobbiamo comunque distribuirla tramite GPO?" Risposta: Sì. Anche se la CA si trova per impostazione predefinita nell'archivio delle autorità di certificazione radice attendibili di Windows, lo specifico profilo wireless deve essere configurato per considerare attendibile quella specifica CA per l'autenticazione di rete. Domanda 2: "Possiamo usare la piattaforma di Purple per aggirare questo problema?" Risposta: Purple eccelle nel [Guest WiFi](/guest-wifi) e nell'onboarding tramite Captive Portal. Per i vostri SSID aziendali interni che utilizzano 802.1X, è necessario risolvere il trust del certificato sottostante sull'endpoint. Tuttavia, per l'accesso BYOD o dei collaboratori esterni, instradarli attraverso un Captive Portal di Purple con OpenRoaming può essere un'alternativa altamente efficace alla gestione dei certificati locali. [Summary & Next Steps] Per riassumere: gli aggiornamenti a Windows 11 interrompono il funzionamento di 802.1X a causa di errori di migrazione del trust dei certificati e dell'applicazione di Credential Guard. Il vostro piano d'azione: controllate i log di WLAN-AutoConfig nel Visualizzatore eventi per verificare la presenza dell'Errore 11 o 15. Aggiornate le vostre GPO wireless per considerare esplicitamente attendibile la Root CA del vostro server RADIUS. E pianificate una migrazione a EAP-TLS per una stabilità permanente. Grazie per aver partecipato a questo briefing tecnico. Per ulteriori approfondimenti sul networking aziendale, consultate le nostre risorse su Purple.ai.