Vai al contenuto principale
Italiano

Risolvere i problemi di connettività internet e dell'adattatore di rete in Windows 11 dopo l'aggiornamento

Risoluzione dei problemi di connettività internet e WiFi su Windows 11 dopo l'aggiornamento. Soluzioni tecniche passo-passo per stack TCP/IP corrotti, timeout DNS ed errori dei driver.

Di Iain JewittPubblicato Aggiornato
📖 7 minuti di lettura1,888 parole2 esempi pratici2 domande di esercitazione5 definizioni chiave

Video overview

Ascolta questa guida

Visualizza trascrizione del podcast
Benvenuti al briefing tecnico di Purple. Oggi affronteremo un problema critico che sta colpendo i team IT aziendali a livello globale: la perdita di connettività Internet cablata sui dispositivi dopo un aggiornamento sul posto a Windows 11. Se dopo l'aggiornamento avete riscontrato utenti improvvisamente impossibilitati a connettersi alla vostra rete sicura, non siete i soli. Non si tratta di un bug casuale. È un errore specifico nel modo in cui l'aggiornamento gestisce le impostazioni di autenticazione 802.1X. Nei prossimi dieci minuti vi spiegherò perché questo accade, come risolverlo e come evitare che comprometta le vostre operazioni. Iniziamo con il contesto tecnico. Il problema di aggiornamento di Windows 11 di cui stiamo parlando non è nuovo. È stato documentato in contesti aziendali fin dai primi aggiornamenti delle funzionalità, ed è diventato più evidente con il ciclo di aggiornamento da 23H2 a 25H2. Il problema principale è questo: quando viene eseguito un aggiornamento sul posto di Windows 11, questo può rimuovere o corrompere silenziosamente i file di configurazione XML che regolano l'autenticazione cablata 802.1X. Il risultato è che i dispositivi si avviano dopo l'aggiornamento, si connettono fisicamente alla rete, ma non riescono a autenticarsi a livello di porta. Lo switch, svolgendo correttamente il proprio lavoro, blocca il dispositivo o lo assegna a una VLAN guest limitata. Ora, entriamo più nel dettaglio dei meccanismi tecnici. Il servizio Wired AutoConfig, noto internamente come dot3svc, è il componente Windows responsabile della gestione di 802.1X sulle interfacce Ethernet. Legge da un profilo XML memorizzato per sapere come avviare l'handshake di autenticazione con lo switch di rete. Questo profilo definisce tutto: il metodo EAP, sia esso PEAP con MSCHAPv2 o EAP-TLS con certificati, le autorità di certificazione attendibili e il modo in cui il client deve identificarsi. Quando viene eseguito il processo di aggiornamento, questo può reimpostare la configurazione di questo servizio o eliminare interamente il profilo. Senza il profilo, dot3svc non ha istruzioni. Non può avviare il processo di autenticazione e la porta dello switch rimane chiusa. Per diagnosticare questo problema su una macchina specifica, non sono necessari strumenti complessi. Aprite un prompt dei comandi con privilegi di amministratore ed eseguite: netsh lan show profiles. Se l'output è vuoto o il profilo previsto manca, avrete confermato la causa principale. Potete anche aprire il Visualizzatore eventi di Windows e navigare in Registri applicazioni e servizi, quindi Microsoft, Windows, Wired-AutoConfig e infine il registro Operational. Troverete eventi di errore espliciti registrati al momento di ogni tentativo di connessione non riuscito. Questi eventi vi diranno esattamente cosa è andato storto, che si tratti di un profilo mancante, di un errore di attendibilità del certificato o di un problema di dipendenza del servizio. Ora parliamo dei tre percorsi di risoluzione principali. La scelta giusta per la vostra organizzazione dipende dalla vostra infrastruttura di gestione. La prima e più robusta opzione per gli ambienti tradizionali on-premises è Group Policy. Se i dispositivi sono associati a un dominio, è possibile creare una Wired Network IEEE 802.3 Policy sotto Computer Configuration, Policies, Windows Settings, Security Settings. All'interno di questa policy, si definiscono le impostazioni 802.1X: il tipo EAP, il metodo di autenticazione e la configurazione del certificato di attendibilità. Una volta che questo GPO viene collegato alle unità organizzative appropriate e applicato alle macchine interessate, le impostazioni corrette verranno applicate e riapplicate automaticamente, anche se un aggiornamento futuro tenterà di rimuoverle. La principale insidia da tenere d'occhio in questo caso è il filtraggio GPO. Assicuratevi che il filtraggio di sicurezza e i filtri WMI siano configurati correttamente in modo che la policy raggiunga effettivamente le macchine di destinazione. Un errore comune è creare la policy ma non verificare il suo ambito di applicazione. La seconda opzione, e la best practice per i moderni ambienti gestiti in cloud, è Microsoft Intune. Se i dispositivi sono associati a Azure AD o congiunti in modalità ibrida e gestiti tramite Intune, è necessario creare un Configuration Profile utilizzando il modello Wired Network per Windows 10 e versioni successive. Il modo più efficiente per popolare questo profilo è esportare prima l'XML funzionante da una macchina configurata correttamente utilizzando il comando: netsh lan export profile folder equals dot interface equals Ethernet. Questo vi fornirà l'XML grezzo che definisce le impostazioni 802.1X. È quindi possibile importare questo XML direttamente nel profilo Intune. Assegnate il profilo a un gruppo di dispositivi che contiene le macchine interessate e Intune distribuirà la configurazione. Questo è un approccio altamente scalabile, in particolare per organizzazioni distribuite come catene di negozi o gruppi alberghieri con centinaia di sedi. La terza opzione è la correzione manuale, opportuna per situazioni urgenti e isolate. Su una macchina che funziona correttamente, esportate il profilo con netsh lan export. Trasferite il file XML risultante sulla macchina non funzionante tramite USB o una condivisione di rete accessibile dalla VLAN ospiti. Successivamente, sulla macchina non funzionante, eseguite: netsh lan add profile filename equals your profile dot xml interface equals Ethernet. Questo ripristina immediatamente le impostazioni di autenticazione. Il dispositivo dovrebbe autenticarsi con successo al tentativo di connessione successivo. Si tratta di una soluzione rapida ed efficace per un singolo utente, ma non è scalabile. Se vi trovate a doverlo fare ripetutamente, è un chiaro segnale della necessità di implementare una policy gestita centralmente. Esaminiamo ora le best practice per prevenire questo problema in futuro. Il principio più importante è questo: non fare mai affidamento sul fatto che una configurazione manuale sopravviva a un aggiornamento del sistema operativo in loco. Trattate il vostro profilo 802.1X come una policy che deve essere imposta da un'autorità centrale, non come un'impostazione statica su ciascun dispositivo. Questo singolo cambio di mentalità farà risparmiare al vostro team tempo e sforzi significativi. In termini pratici, questo significa garantire che la configurazione 802.1X faccia parte della configurazione standard del dispositivo. Sia che utilizziate MDT, SCCM o Windows Autopilot, il profilo di rete dovrebbe essere distribuito come parte del processo di provisioning. Dovrebbe anche essere imposto da una policy persistente, GPO o Intune, in modo che, anche se la configurazione locale viene rimossa, venga ripristinata automaticamente. Per le organizzazioni che gestiscono distribuzioni di aggiornamento su larga scala, valutate l'aggiunta di passaggi preliminari e successivi alle sequenze di attività di aggiornamento. Prima dell'esecuzione dell'aggiornamento, uno script può eseguire il backup del profilo 802.1X corrente in una posizione di rete. Al termine dell'aggiornamento, una fase di verifica può controllare se il profilo è presente e, in caso contrario, ripristinarlo dal backup. Questo approccio precauzionale fornisce una rete di sicurezza aggiuntiva. Dal punto di vista della conformità, questo problema ha implicazioni dirette per PCI-DSS e ISO 27001. Il requisito 1.2.1 di PCI-DSS impone che il traffico tra l'ambiente dei dati dei titolari di carta e altre reti sia limitato. Lo standard 802.1X è un controllo chiave per imporre questa segmentazione. Se i dispositivi perdono la loro configurazione 802.1X e finiscono su una rete non segmentata, potreste violare questo requisito. Garantire che le impostazioni 802.1X siano gestite centralmente e resilienti agli aggiornamenti non è quindi solo una preoccupazione operativa - è un imperativo di conformità. Ora, alcune domande rapide che emergono frequentemente nelle conversazioni con i clienti. Questo influisce anche sul WiFi? Sì, lo stesso problema può interessare i profili wireless, anche se il problema relativo alla rete cablata è stato segnalato con maggiore costanza. L'approccio alla risoluzione dei problemi è analogo, utilizzando i comandi netsh wlan invece di netsh lan. Questo è legato a un fornitore di hardware specifico? No. Si tratta di un problema di gestione della configurazione e del software Windows. Interessa i dispositivi di tutti i principali produttori. Posso impedire l'eliminazione del profilo durante l'aggiornamento? Se si utilizza un processo di aggiornamento gestito tramite SCCM o Intune, è possibile aggiungere passaggi di remediation post-aggiornamento. Per gli aggiornamenti non gestiti, la migliore mitigazione consiste nell'adottare una policy che riapplichi automaticamente la configurazione al termine dell'aggiornamento. Cosa succede se il profilo è presente ma l'autenticazione continua a fallire? In questo caso, il problema potrebbe riguardare la catena di certificati. Dopo un aggiornamento, il certificato della macchina o l'autorità di certificazione root attendibile potrebbero essere stati compromessi. Verificate l'archivio dei certificati della macchina e verificate che il certificato root del server RADIUS sia presente e attendibile. Per riassumere i punti chiave del briefing di oggi. Gli aggiornamenti in-place di Windows 11 possono rimuovere silenziosamente i profili XML utilizzati dal servizio Configurazione automatica cablata, causando errori di autenticazione 802.1X. I passaggi diagnostici immediati consistono nell'eseguire netsh lan show profiles e controllare il registro operativo Wired-AutoConfig nel Visualizzatore eventi. I tre percorsi di ripristino sono i Criteri di gruppo per i dispositivi aggiunti a un dominio, Microsoft Intune per i dispositivi gestiti dal cloud e l'importazione manuale del profilo netsh per soluzioni urgenti e una tantum. La soluzione a lungo termine consiste nell'applicare le impostazioni 802.1X tramite un criterio gestito centralmente, considerandola come una configurazione persistente piuttosto che un'impostazione statica. Questo rappresenta anche un problema di conformità per gli ambienti PCI DSS e ISO 27001. La tua attività per questa settimana è semplice. Esegui un audit del tuo attuale approccio di gestione 802.1X. Se le tue impostazioni sono configurate manualmente sugli endpoint senza un criterio di applicazione centrale, questo è un rischio che devi affrontare prima del prossimo ciclo di aggiornamento. Crea il profilo Intune o la GPO, testalo su un gruppo pilota e distribuiscilo. L'investimento è minimo. La mitigazione del rischio è significativa. Grazie per aver partecipato al Purple Technical Briefing. Per ulteriori risorse sulla gestione delle reti aziendali e sulla WiFi intelligence, visita purple dot ai.

Parte della nostra serie principale: Enterprise WiFi Security Guide →

Risolvere i problemi di connettività internet e dell'adattatore di rete in Windows 11 dopo l'aggiornamento

Sintesi esecutiva

La transizione a Windows 11 introduce un problema operativo critico per gli ambienti di rete aziendali: la cancellazione invisibile delle configurazioni di autenticazione cablata IEEE 802.1X durante gli aggiornamenti in-place del sistema operativo. Per i direttori IT, i network architect e gli amministratori di sistema che gestiscono parchi dispositivi aziendali, questo problema causa interruzioni immediate della connettività, un aumento dei ticket di supporto e rischi di conformità.

La causa principale risiede nella corruzione o nella rimozione completa dei profili di configurazione XML locali per il servizio Configurazione automatica reti cablate di Windows (dot3svc). Quando questi profili vengono eliminati, gli endpoint non possono eseguire l'autenticazione del controllo dell'accesso alla rete basato su porta definita dallo standard IEEE 802.1X.

Questa guida fornisce una metodologia autorevole per diagnosticare, ripristinare e prevenire i problemi di autenticazione 802.1X su Windows 11. Copre i meccanismi della causa principale, i codici diagnostici di Visualizzatore eventi, tre framework di risoluzione (Criteri di gruppo, Microsoft Intune e CLI netsh) e la mitigazione del rischio a lungo termine tramite l'autenticazione RADIUS nativa del cloud.

Questa guida fa parte della nostra Enterprise WiFi Security & Authentication Guide completa.

Background tecnico e analisi delle cause principali

Lo standard IEEE 802.1X si basa su tre componenti principali: il richiedente o supplicant (dispositivo client), l'autenticatore (switch di rete o access point) e il server di autenticazione (server RADIUS). Sugli endpoint Windows, l'autenticazione basata su porta per le connessioni Ethernet è gestita dal servizio Configurazione automatica reti cablate (dot3svc).

Durante i principali aggiornamenti delle funzionalità di Windows 11 (come il passaggio da Windows 10 a Windows 11 o l'aggiornamento tra 22H2, 23H2 e 24H2), il sistema operativo esegue una migrazione approfondita delle chiavi di registro e delle definizioni dei servizi. Durante questo processo si verificano tre guasti specifici:

1. Ripristino dello stato del servizio

Il tipo di avvio del servizio dot3svc viene spesso reimpostato da Automatico a Manuale o Disabilitato. Al riavvio del dispositivo dopo l'aggiornamento, il servizio non si avvia automaticamente, impedendo la trasmissione dei frame EAPOL (EAP over LAN) attraverso l'interfaccia di rete fisica.

2. Cancellazione del registro dei profili

I profili XML locali 802.1X memorizzati in HKLM\SOFTWARE\Microsoft\Wired-AutoConfig vengono spesso eliminati durante la fase di migrazione. Senza un profilo attivo, Windows 11 non può presentare i certificati client o le credenziali EAP alla porta dello switch.

3. Incompatibilità tra Credential Guard e PEAP-MSCHAPv2

Windows 11 abilita per impostazione predefinita la Virtualization-based Security (VBS) e Credential Guard. Credential Guard isola gli hash segreti NTLM e Kerberos in un contenitore virtualizzato, bloccando l'estrazione degli hash delle password legacy PEAP-MSCHAPv2. Di conseguenza, gli endpoint che si affidano all'autenticazione legacy PEAP riscontrano risposte di Access-Reject persistenti dopo l'aggiornamento. Per ripristinare l'autenticazione è necessario eseguire l'aggiornamento a EAP-TLS basato su certificati. Per un confronto dettagliato, consulta la nostra guida WPA3 Enterprise vs iPSK Security Model.

4. Validazione rigorosa del certificato RADIUS in Windows 11 24H2

Windows 11 24H2 impone regole rigorose per la validazione del certificato del server. Se il certificato del server RADIUS è privo di un Subject Alternative Name (SAN) valido corrispondente alla configurazione del profilo 802.1X, o se la Root CA emittente è assente dall'archivio delle Autorità di certificazione radice attendibili del computer locale, Windows interrompe la connessione con il codice di errore 0x80070490.

Matrice diagnostica e riferimento del Visualizzatore eventi

Durante la risoluzione dei problemi di un endpoint Windows 11 interessato, utilizza il percorso del Visualizzatore eventi di Windows: Registri applicazioni e servizi > Microsoft > Windows > Wired-AutoConfig > Operational

ID evento Origine registro Condizione di errore Causa radice Soluzione da prompt dei comandi con privilegi elevati
12014 Wired-AutoConfig Timeout avvio EAPOL Servizio dot3svc disabilitato o interrotto sc config dot3svc start=auto && net start dot3svc
12015 Wired-AutoConfig Errore di autenticazione (IP APIPA) Porta dello switch non autenticata; dispositivo inserito in Guest VLAN netsh lan reauthenticate interface="Ethernet"
5632 Wired-AutoConfig Access-Reject esplicito Certificato client mancante o account AD disabilitato netsh lan export profile folder=C:\temp
12013 Wired-AutoConfig Certificato del server non attendibile Root CA mancante nell'archivio attendibile del computer locale certutil -store Root
10001 Wired-AutoConfig Profilo 802.1X assente Chiavi di registro del profilo XML Netsh LAN rimosse dall'aggiornamento netsh lan add profile filename="C:\temp\Profile.xml"

Snippet diagnostico PowerShell automatizzato

Esegui i seguenti comandi PowerShell con privilegi elevati per controllare lo stato dell'interfaccia fisica e del profilo 802.1X:

# Controlla lo stato del servizio Configurazione automatica reti cablate (dot3svc)
Get-Service -Name dot3svc | Select-Object Name, Status, StartType

# Mostra i profili cablati 802.1X configurati
netsh lan show profiles

# Mostra lo stato di autorizzazione dell'interfaccia
netsh lan show interfaces

Hai domande sulla tua configurazione specifica?

Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.

Metodi di risoluzione passo dopo passo

Il ripristino della connettività 802.1X in un parco macchine aziendale richiede la selezione della toolchain di gestione appropriata in base all'architettura dell'infrastruttura.

Metodo 1: Applicazione tramite Criteri di gruppo di Active Directory (GPO)

Per gli endpoint aggiunti a un dominio, i Criteri di gruppo offrono un'applicazione automatizzata che ripristina i profili cancellati al riavvio successivo:

  1. Apri la Console di gestione Criteri di gruppo (gpmc.msc) su un Domain Controller.
  2. Modificare l'Oggetto Criteri di Gruppo di destinazione collegato alla OU dei Computer Windows 11.
  3. Passare a: Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni di sicurezza > Criteri cablati (IEEE 802.3).
  4. Fare clic con il pulsante destro del mouse e selezionare Crea nuovo criterio di rete cablata per Windows Vista e versioni successive.
  5. Abilitare Usa il servizio Configurazione automatica reti cablate di Windows per l'accesso alla rete IEEE 802.1X.
  6. Nella scheda Sicurezza, selezionare Microsoft: Smart Card o altro certificato (EAP-TLS) e configurare le Autorità di Certificazione (CA) Root aziendali attendibili.
  7. Forzare l'aggiornamento dei criteri sugli endpoint client: gpupdate /force.

Metodo 2: Distribuzione tramite Microsoft Intune (MDM Cloud)

Per gli endpoint gestiti tramite cloud, distribuire un payload del profilo 802.1X tramite Microsoft Intune. Per la configurazione dettagliata del profilo dei certificati SCEP e PKCS, consultare la nostra Guida alla distribuzione dei certificati WiFi Microsoft Intune dedicata.

  1. Esportare un profilo XML 802.1X master da una macchina di riferimento: netsh lan export profile folder=C:\temp interface="Ethernet"
  2. Aprire il Centro amministrativo di Microsoft Intune (intune.microsoft.com).
  3. Passare a Dispositivi > Profili di configurazione > Crea profilo.
  4. Selezionare Windows 10 e versioni successive come Piattaforma e Rete cablata come Modello.
  5. Incollare la configurazione XML EAP esportata nel campo delle impostazioni del profilo XML.
  6. Assegnare il criterio al proprio gruppo di dispositivi Azure AD per forzare il ripristino automatico dopo l'aggiornamento.

Metodo 3: Importazione manuale del profilo XML tramite interfaccia a riga di comando Netsh

Per gli endpoint standalone o per il supporto desktop di emergenza, importare il profilo manualmente tramite il Prompt dei comandi:

:: 1. Verificare che il servizio Configurazione automatica reti cablate sia attivo
sc config dot3svc start=auto
net start dot3svc

:: 2. Importare il profilo XML 802.1X di riferimento
netsh lan add profile filename="C:\temp\MasterWiredProfile.xml" interface="Ethernet"

:: 3. Attivare nuovamente l'autenticazione della porta
netsh lan reauthenticate interface="Ethernet"

Best practice per le distribuzioni aziendali

Per prevenire la perdita dei profili 802.1X durante i futuri aggiornamenti di Windows 11, implementare le seguenti misure di sicurezza operative:

  • Includere la configurazione 802.1X nelle baseline di distribuzione del sistema operativo: Assicurarsi che le sequenze di attività di Microsoft Autopilot, SCCM o MDT applichino i profili 802.1X durante il provisioning iniziale.
  • Centralizzare l'applicazione dei criteri: Evitare endpoint configurati manualmente. Imporre le impostazioni di rete tramite GPO o Intune per garantire la riapplicazione automatica dei criteri in caso di anomalie.
  • Implementare backup delle sequenze di attività pre-aggiornamento: Esportare i profili esistenti in una cartella di rete sicura (netsh lan export) prima di eseguire importanti aggiornamenti del sistema operativo.
  • Mantenere archivi XML controllati a livello di versione: Memorizzare i profili XML master per ciascuna sede e zona di sicurezza in un archivio centrale per accelerare il ripristino di emergenza.- Migrare da PEAP-MSCHAPv2 a EAP-TLS: Passare dall'autenticazione basata su password ai certificati digitali per eliminare i fallimenti di compatibilità con Credential Guard. Scopri come fare nella nostra guida Che cos'è l'autenticazione RADIUS e come funziona?.

Risoluzione dei problemi e mitigazione dei rischi

Quando un endpoint perde l'accesso alla rete dopo l'aggiornamento, esegui questa sequenza diagnostica sistematica:

  1. Verificare il livello fisico e i LED di collegamento: Confermare lo stato del collegamento Ethernet e la connettività della porta dello switch.
  2. Controllare l'allocazione dell'indirizzo IP: Eseguire ipconfig /all. Un indirizzo APIPA (169.254.x.x) indica un fallimento totale dell'autenticazione 802.1X o il blocco della porta dello switch. Una sottorete imprevista indica il posizionamento in una VLAN Guest isolata.
  3. Ispezionare lo stato del profilo 802.1X: Eseguire netsh lan show profiles. Se vuoto, il profilo è stato eliminato durante la migrazione del sistema operativo.
  4. Analizzare i registri eventi di Wired-AutoConfig: Controllare gli ID evento 12014, 12015 e 5632 per isolare problemi relativi a certificati, credenziali o servizi.
  5. Applicare il ripristino centralizzato dei criteri: Avviare una sincronizzazione dei criteri tramite Intune o GPO per ripristinare automaticamente il profilo.

Risolvere i problemi di connettività internet e dell'adattatore di rete in Windows 11 dopo l'aggiornamento - troubleshooting…

ROI e impatto aziendale

Le interruzioni di rete impreviste a seguito degli aggiornamenti del sistema operativo comportano notevoli costi finanziari e operativi. La gestione centralizzata delle configurazioni 802.1X genera un ROI misurabile in tre aree chiave:

1. Riduzione dei costi di supporto IT

In un parco aziendale di 1.000 dispositivi, circa il 15% degli endpoint subisce la perdita del profilo o il ripristino dei servizi durante i principali cicli di aggiornamento del sistema operativo. Risolvere manualmente i problemi di 150 dispositivi a 30 minuti per ticket consuma 75 ore di tempo del supporto IT di livello 2. Ad un costo lordo di £60 all'ora, un singolo ciclo di aggiornamento costa £4.500 in supporto reattivo.

Distribuendo criteri centralizzati tramite Intune o GPO (che richiedono circa 4 ore di configurazione da parte di un progettista, pari a £240), le organizzazioni ottengono il ROI completo al primo ciclo di aggiornamento, con una riduzione dell'80% dei ticket di supporto per l'accesso alla rete.

2. Rispetto della conformità normativa

  • Requisito PCI-DSS 1.2.1: Impone una rigorosa segmentazione della rete tra gli ambienti dei dati dei titolari di carta (CDE) e le reti aziendali generali. I dispositivi non autenticati che finiscono su VLAN predefinite aperte violano i controlli di segmentazione.
  • ISO 27001 Allegato A.12.1.2: Richiede una gestione formale delle modifiche e l'applicazione delle configurazioni. I criteri di rete auto-riparanti soddisfano i controlli di audit.
  • GDPR Articolo 32: Richiede misure tecniche per garantire la riservatezza e l'integrità dei dati di rete.

3. Continuità operativa per i parchi immobiliari delle strutture

Le sedi fisiche - hotel, centri congressi, catene di vendita al dettaglio e stadi - dipendono da un'infrastruttura di rete autenticata per i sistemi di gestione della proprietà, i terminali di biglietteria e i sistemi POS. La gestione proattiva di 802.1X previene le perdite di fatturato causate dai tempi di inattività offline della reception o dei POS.

Risoluzione permanente con Purple Cloud RADIUS

Il ripristino manuale dei profili XML o la risoluzione dei problemi di ritardo della sincronizzazione GPO dopo ogni aggiornamento di Windows creano un carico operativo non necessario. Purple Passwordless Staff WiFi e Cloud RADIUS forniscono una piattaforma di autenticazione 802.1X cloud-native che elimina la corruzione dei profili locali.

  • Integrazione dell'identità zero-touch: Autentica automaticamente i dispositivi tramite Microsoft Entra ID, Okta o Google Workspace utilizzando WPA3-Enterprise basato su certificati o Passpoint (Hotspot 2.0).
  • Riduzione dell'80% dei ticket di supporto: Elimina le password WPA2 condivise e gli script di profilo XML manuali in tutta la tua infrastruttura.
  • Affidabilità enterprise: Basato su un'architettura cloud RADIUS indipendente dall'hardware che serve oltre 80.000 sedi attive con uno SLA di uptime del 99,999%.

Prenota una consulenza tecnica WiFi aziendale o esplora Purple Passwordless Staff WiFi per eliminare gli errori di configurazione di 802.1X.

Definizioni chiave

IEEE 802.1X

Uno standard IEEE per il controllo dell'accesso alla rete basato su porta (PNAC) che fornisce un meccanismo di autenticazione ai dispositivi che desiderano connettersi a una LAN o WLAN.

Standard di controllo dell'accesso alla rete basato su porta per reti aziendali.

Servizio Configurazione automatica reti cablate (dot3svc)

Un servizio Windows integrato responsabile dell'esecuzione dell'autenticazione IEEE 802.1X sugli adattatori di rete Ethernet.

Servizio Windows che gestisce l'autenticazione 802.1X sulle interfacce Ethernet.

EAP-TLS

Uno standard IETF per l'autenticazione reciproca tra un client e un server RADIUS mediante certificati digitali X.509.

Extensible Authentication Protocol che utilizza Transport Layer Security.

netsh lan

Uno strumento di scripting da riga di comando in Windows che consente agli amministratori di configurare, visualizzare ed esportare profili di rete cablata 802.1X.

Utilità da riga di comando di Windows per la gestione delle impostazioni di rete cablata.

RADIUS Server

Server Remote Authentication Dial-In User Service (come Microsoft NPS, Cisco ISE o Aruba ClearPass) che autentica le credenziali del client.

Server di autenticazione AAA centralizzato nell'architettura aziendale.

Esempi pratici

A seguito di un aggiornamento a livello aziendale a Windows 11, il 20% degli endpoint desktop aziendali segnala la perdita dell'accesso alla rete intranet e acquisisce indirizzi IP APIPA 169.254.x.x sulle connessioni Ethernet. L'esecuzione di netsh lan show profiles mostra zero profili configurati. Qual è la causa principale e in che modo l'IT dovrebbe rimediare su larga scala?

  1. Causa principale: Il passaggio di migrazione dell'aggiornamento delle funzionalità di Windows 11 ha rimosso le chiavi di registro HKLM\SOFTWARE\Microsoft\Wired-AutoConfig, eliminando i profili 802.1X locali e lasciando le porte dello switch in uno stato guest/bloccato non autenticato. 2. Soluzione tattica: Esportare un profilo XML funzionante da un endpoint di riferimento (netsh lan export profile folder=C:\temp) e importarlo sugli host interessati (netsh lan add profile filename=...). 3. Risoluzione scalabile: Distribuire un Oggetto Criteri di Gruppo (GPO) di Active Directory mirato ai criteri delle reti cablate (IEEE 802.3) o un profilo di configurazione Intune con un payload di rete cablata per imporre il ripristino automatico del profilo.
Commento dell'esaminatore: Questa soluzione diagnostica correttamente la perdita del registro dei profili durante i principali aggiornamenti del sistema operativo e delinea sia il ripristino immediato da riga di comando sia l'applicazione a lungo termine delle policy MDM automatizzate.

Un host Windows 11 24H2 non supera l'autenticazione 802.1X. Il Visualizzatore eventi mostra l'ID evento 12013: "Impossibile verificare l'identità del server di autenticazione". I log RADIUS mostrano Access-Reject. Quale modifica di configurazione è richiesta?

  1. Windows 11 24H2 impone una convalida rigida della attendibilità del certificato del server. 2. Il profilo 802.1X del client deve avere ValidateServerCertificate impostato su true, con la CA radice presente nell'archivio Autorità di certificazione radice attendibili del computer. 3. La proprietà ServerNames nel profilo XML deve corrispondere al Subject Alternative Name (SAN) del certificato del server RADIUS.
Commento dell'esaminatore: L'identificazione delle rigide regole di convalida dei certificati in Windows 11 24H2 è fondamentale per risolvere i problemi di autenticazione EAP-TLS e PEAP.

Domande di esercitazione

Q1. Quale servizio Windows deve essere impostato su avvio Automatico affinché l'autenticazione Ethernet 802.1X funzioni?

Suggerimento: Controllare il tipo di avvio del servizio Configurazione automatica reti cablate di Windows.

Visualizza risposta modello

Il servizio Configurazione automatica reti cablate (dot3svc) deve essere impostato sul tipo di avvio Automatico. Per impostazione predefinita, sulle installazioni di Windows non unite a un dominio, questo servizio è impostato su Manuale e non esegue l'autenticazione 802.1X.

Q2. Qual è il comando esatto per esportare un profilo 802.1X da un adattatore Ethernet attivo a un file XML?

Suggerimento: Richiamare la sintassi netsh lan per esportare i profili di rete.

Visualizza risposta modello

netsh lan export profile folder=C:\temp interface="Ethernet" esporta il profilo 802.1X come file XML nella directory specificata.

Continua a leggere questa serie

Power over Ethernet (PoE) per Access Point: Una Guida all'Implementazione

Questa guida fornisce a tecnici delle infrastrutture, network architect e decision-maker IT un riferimento tecnico definitivo per l'implementazione di access point Power over Ethernet (PoE) in ambienti aziendali, tra cui hotel, punti vendita, stadi e strutture del settore pubblico. Copre gli standard IEEE da 802.3af a 802.3bt, il calcolo del budget energetico, i requisiti di cablaggio, la segmentazione VLAN e la conformità di sicurezza, con scenari di implementazione concreti e benchmark ROI misurabili. Comprendere l'architettura PoE è fondamentale per qualsiasi implementazione di [Guest WiFi](/guest-wifi) o [WiFi Analytics](/guest-wifi), poiché l'affidabilità del livello fisico determina direttamente la qualità dell'acquisizione dei dati, l'esperienza utente e l'uptime operativo.

Leggi la guida →

Come configurare le policy NAC per lo steering VLAN in Cisco Meraki

Questa guida autorevole offre ai leader IT, agli architetti di rete e ai direttori operativi delle strutture un framework pratico e dettagliato per configurare le policy NAC e lo steering VLAN in ambienti Cisco Meraki. Copre l'implementazione dello standard 802.1X, l'isolamento dei dispositivi IoT tramite MAC Authentication Bypass e l'integrazione fluida con la piattaforma di analytics per WiFi per gli ospiti di Purple per garantire una segmentazione di rete sicura, conforme e ad alte prestazioni in contesti alberghieri, retail e del settore pubblico.

Leggi la guida →

Confronto tra Access Point Enterprise: Cisco, Aruba, Ruckus e UniFi

Confronta gli access point enterprise Cisco Meraki, Aruba, Ruckus e UniFi. Valuta WiFi 6E/7, TCO delle licenze, prestazioni RF e architetture dei controller.

Leggi la guida →

Hai domande sulla tua configurazione specifica?

Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.