मुख्य मजकुराकडे जा
मराठी

Windows 11 802.1X ऑथेंटिकेशन समस्यांचे निवारण: एंटरप्राइज IT मार्गदर्शिका

Windows 11 802.1X ऑथेंटिकेशन अपयशासाठी निदान आणि निवारण मार्गदर्शिका. RADIUS प्रमाणपत्र ट्रस्ट ब्रेक, Credential Guard PEAP ब्लॉक्स आणि GPO वायरलेस प्रोफाईल त्रुटींचे निराकरण करा.

Iain Jewitt द्वारेप्रकाशित अद्ययावत केले
📖 10 मिनिट वाचन1,809 शब्द2 सोडवलेली उदाहरणे3 सराव प्रश्न6 महत्वाच्या व्याख्या

Video overview

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
[प्रस्तावना आणि संदर्भ] नमस्कार आणि Purple च्या या तांत्रिक माहिती सत्रामध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण एका विशिष्ट, उच्च-प्रभाव समस्येवर मात करणार आहोत ज्यामुळे संपूर्ण एंटरप्राइझ क्षेत्रातील IT टीम्सना डोकेदुखी होत आहे: Windows 11 अपग्रेड्समुळे 802.1X वायरलेस ऑथेंटिकेशनमध्ये येणारे अडथळे. जर तुम्ही कॉर्पोरेट नेटवर्क व्यवस्थापित करत असाल - मग ते विस्तारलेले हॉस्पिटल कॅम्पस असो, मल्टी-साइट रिटेल ऑपरेशन असो किंवा मोठे सार्वजनिक ठिकाण असो - तुम्ही तुमच्या वायरलेस पायाभूत सुविधा सुरक्षित करण्यासाठी 802.1X वर अवलंबून असता. हे सुवर्ण मानक आहे. परंतु अलीकडे, सपोर्ट तिकिटांमध्ये मोठी वाढ झाली आहे जिथे डिव्हाइसेस Windows 11 वर अपग्रेड होतात आणि अचानक सुरक्षित WiFi वरून डिस्कनेक्ट होतात. आज, आपण हे नक्की का घडते, याचे त्वरीत निदान कसे करावे आणि याचे निवारण करण्यासाठी तसेच भविष्यातील रोलआउट टप्प्यांमध्ये ते टाळण्यासाठी तुम्ही कोणती पावले उचलणे आवश्यक आहे याचे सविस्तर विश्लेषण करणार आहोत. चला सुरुवात करूया. [तांत्रिक सखोल माहिती] मशीन Windows 11 वर अपडेट झाल्यावर नेमके काय खराब होते? ही त्रुटी समजून घेण्यासाठी, आपल्याला ऑथेंटिकेशन हँडशेक्स पाहावे लागतील. बहुतांश एंटरप्रायझेस त्यांच्या 802.1X नेटवर्कसाठी PEAP-MSCHAPv2 किंवा EAP-TLS वापरतात. दोघेही पूर्णपणे सर्टिफिकेट ट्रस्टवर अवलंबून असतात. जेव्हा Windows क्लायंट कनेक्ट करण्याचा प्रयत्न करतो, तेव्हा RADIUS सर्व्हर - जो बऱ्याचदा Network Policy Server किंवा NPS असतो - त्याचे सर्टिफिकेट सादर करतो. त्यानंतर क्लायंट NPS सर्टिफिकेट जारी करणाऱ्या Root Certificate Authority वर विश्वास ठेवतो की नाही हे तपासतो. Windows 11 समस्येचा मुख्य मुद्दा येथे आहे: काही अपग्रेड पाथ दरम्यान, किंवा Windows 11 मधील कठोर सुरक्षा डिफॉल्ट्समुळे, वायरलेस प्रोफाईलसाठी ट्रस्टेड रूट सर्टिफिकेट बाइंडिंग्ज काढून टाकले जातात किंवा ते योग्यरित्या स्थलांतरित होण्यास अपयशी ठरतात. याव्यतिरिक्त, Windows 11 ने सुसंगत हार्डवेअरवर बाय डिफॉल्ट Credential Guard सक्षम केले आहे, जे NTLM आणि MS-CHAPv2 क्रेडेंशियल्स कसे स्टोअर केले जातात आणि ॲक्सेस केले जातात ते बदलते, ज्यामुळे काहीवेळा लेगसी PEAP कॉन्फिगरेशनमध्ये अडथळा येतो. जेव्हा क्लायंट सर्व्हरचे सर्टिफिकेट व्हॅलिडेट करू शकत नाही, तेव्हा कनेक्शन लगेच तुटते. युजरला फक्त "Can't connect to this network" दिसते, परंतु बॅकएंडला, ही TLS टनेलच्या स्थापनेतील एक मोठी त्रुटी असते. [अंमलबजावणीच्या शिफारसी आणि संभाव्य धोके] आपण याचे निवारण कसे करू शकतो? याच्या तात्काळ उपायामध्ये तुमच्या एंडपॉइंट्सवर अपडेटेड ग्रुप पॉलिसी ऑब्जेक्ट, किंवा GPO पुश करणे समाविष्ट आहे. प्रथम, तुमचे Root CA सर्टिफिकेट सर्व क्लायंट मशीनवरील 'Trusted Root Certification Authorities' स्टोअरमध्ये स्पष्टपणे तैनात केले असल्याची खात्री तुम्ही केली पाहिजे. दुसरे, आणि ही पायरी अनेकजण चुकवतात, तुम्हाला GPO मधील तुमच्या Wireless Network (IEEE 802.11) Policies अपडेट करण्याची आवश्यकता आहे. वायरलेस प्रोफाईलच्या PEAP किंवा EAP-TLS प्रॉपर्टीजमध्ये तुम्ही ट्रस्टेड रूट CA स्पष्टपणे निवडले पाहिजे. जर तो बॉक्स अनटिक केला असेल, तर Windows 11 कनेक्शन नाकारेल. एक मोठा धोका जो आम्ही पाहतो तो म्हणजे IT टीम्स सर्व्हर सर्टिफिकेट व्हॅलिडेशन पूर्णपणे डिसेबल करून समस्येकडे दुर्लक्ष करण्याचा प्रयत्न करतात. असे करू नका. सर्टिफिकेट व्हॅलिडेशन डिसेबल केल्याने तुमचे नेटवर्क Evil Twin हल्ले आणि क्रेडेंशियल हार्वेस्टिंगसाठी खुले होते. हे PCI DSS आणि GDPR अनुपालन आवश्यकतांचे उल्लंघन करते. नेहमी ट्रस्ट चेन निश्चित करा; कधीही त्याकडे दुर्लक्ष करू नका.दीर्घकालीन समाधानासाठी, विशेषतः जर तुम्ही [Retail](/industries/retail) किंवा [Hospitality](/industries/hospitality) सारखे मोठ्या प्रमाणावर डिप्लॉयमेंट व्यवस्थापित करत असाल, तर पासवर्ड-आधारित PEAP वापरणे पूर्णपणे बंद करण्याचा विचार करा. मशिन्स आणि युझर प्रमाणपत्रांसह EAP-TLS वर स्थलांतरित होणे हे अशा OS-स्तरीय क्रेडेंशियल बदलांविरूद्ध अधिक मजबूत आहे. आपण याबद्दल आमच्या [Implementing WPA3-Enterprise for Enhanced Wireless Security](/guides/implementing-wpa3-enterprise-for-enhanced-wireless-security) या मार्गदर्शकामध्ये अधिक वाचू शकता. [Rapid-Fire Q&A] नेटवर्क आर्किटेक्ट्सकडून आम्हाला विचारल्या जाणार्‍या काही जलद प्रश्नांवर नजर टाकूया. प्रश्न १: "आम्ही आमच्या RADIUS सर्व्हरसाठी पब्लिक CA वापरतो. तरीही आम्हाला ते GPO द्वारे पुश करावे लागेल का?" उत्तर: होय. जरी CA डीफॉल्टनुसार Windows ट्रस्टेड रूट स्टोअरमध्ये असले, तरी विशिष्ट वायरलेस प्रोफाइल नेटवर्क ऑथेंटिकेशनसाठी त्या विशिष्ट CA वर विश्वास ठेवण्यासाठी कॉन्फिगर केलेले असणे आवश्यक आहे. प्रश्न २: "बायपास करण्यासाठी आम्ही Purple चे प्लॅटफॉर्म वापरू शकतो का?" उत्तर: Purple हे [Guest WiFi](/guest-wifi) आणि कॅप्टिव्ह पोर्टलद्वारे ऑनबोर्डिंगमध्ये उत्कृष्ट आहे. 802.1X वापरणाऱ्या तुमच्या अंतर्गत कॉर्पोरेट SSIDs साठी, तुम्हाला एंडपॉइंटवरील मूळ प्रमाणपत्र विश्वासाचे निराकरण करावे लागेल. तथापि, BYOD किंवा कंत्राटदार प्रवेशासाठी, त्यांना OpenRoaming सह Purple कॅप्टिव्ह पोर्टलद्वारे मार्गस्थ करणे हा स्थानिक प्रमाणपत्रे व्यवस्थापित करण्यासाठी एक अत्यंत प्रभावी पर्याय असू शकतो. [Summary & Next Steps] थोडक्यात सांगायचे तर: प्रमाणपत्र विश्वास स्थलांतर अपयश आणि Credential Guard अंमलबजावणीमुळे Windows 11 अपग्रेड्स 802.1X खंडित करत आहेत. तुमची कृती योजना: एरर ११ किंवा १५ साठी इव्हेंट व्ह्यूअरमधील WLAN-AutoConfig लॉग तपासा. तुमच्या RADIUS सर्व्हरच्या Root CA वर स्पष्टपणे विश्वास ठेवण्यासाठी तुमचे वायरलेस GPOs अपडेट करा. आणि कायमस्वरूपी स्थिरतेसाठी EAP-TLS वर स्थलांतराचे नियोजन करा. या तांत्रिक माहिती सत्रात सामील झाल्याबद्दल धन्यवाद. एंटरप्राइझ नेटवर्किंगच्या अधिक सखोल माहितीसाठी, Purple.ai वरील आमची संसाधने पहा.

आमच्या मुख्य मालिकेचा भाग: एंटरप्राइज WiFi सुरक्षा मार्गदर्शिका →

Interactive Diagnostic Tool

Windows 11 802.1X & network authentication troubleshooter

Select your Windows 11 build, authentication protocol, deployment mechanism, and error symptom below to generate an immediate CLI repair sequence and Intune/GPO remediation steps.

Wired AutoConfig Service Authentication Loop (EAPOL Timeout)

High Impact

Root Cause Diagnosis: The 802.1X Wired AutoConfig service (dot3svc) did not initiate EAPOL Handshake after NIC driver initialisation, or 802.1X authentication mode is disabled on the Ethernet adapter.

Elevated CLI Remediation Sequence
netsh lan set autoconfig enabled=yes interface="Ethernet"
netsh lan reconnect interface="Ethernet"
Step-by-Step Resolution Workflow (INTUNE)
  1. Verify that Wired AutoConfig service (dot3svc) Startup Type is set to Automatic in services.msc.
  2. Execute netsh lan set autoconfig enabled=yes interface="Ethernet" from an elevated Command Prompt.
  3. Check switch port configuration to ensure 802.1X re-authentication timer is not expiring before client response.
  4. Re-enable 802.1X authentication in Ethernet Adapter Properties > Authentication tab.
Event Viewer Verification Path: Microsoft-Windows-Wired-AutoConfig/Operational -> Event ID 12014 (EAPOL Start Sent)

Need automated Cloud RADIUS & 802.1X certificate management?

Purple Cloud RADIUS eliminates Windows 11 upgrade authentication failures by providing automated Passpoint certificate provisioning, zero-touch Intune payload integration, and centralised IEEE 802.1X policy management for enterprise network environments.

Request 802.1X & enterprise WiFi audit

Useful? Link to this tool

जलद उत्तर: अपग्रेडनंतर बहुतेक Windows 11 802.1X अपयश चार घटकांपैकी एका घटकामुळे होतात - RADIUS सर्व्हर प्रमाणपत्र यापुढे व्हॅलिडेट होत नाही (Event ID 12013), Credential Guard द्वारे PEAP-MSCHAPv2 सिंगल साइन-ऑन ब्लॉक करणे, EAP-TLS साठी क्लायंट प्रमाणपत्र गहाळ असणे किंवा एक्सपायर होणे, किंवा Ethernet वर Wired AutoConfig सर्व्हिस (dot3svc) सुरू नसणे. प्रथम WLAN-AutoConfig किंवा Wired-AutoConfig ऑपरेशनल लॉग वाचा, खालील तक्त्यांमध्ये Event ID मॅच करा, आणि लॅपटॉपनुसार मॅन्युअली करण्याऐवजी Group Policy किंवा Intune द्वारे मध्यवर्ती पद्धतीने प्रोफाईल दुरुस्त करा.

एंटरप्राइज वातावरणात 802.1X नेटवर्क ऑथेंटिकेशन डिप्लॉय आणि मेंटेन करण्यासाठी क्लायंट ऑपरेटिंग सिस्टीम, ॲक्सेस पॉईंट्स, स्विच इन्फ्रास्ट्रक्चर आणि RADIUS ऑथेंटिकेशन सर्व्हर्स दरम्यान विनाअडथळा सुसंगततेची आवश्यकता असते. Windows 11 च्या फिचर अपडेट्सनंतर, एंटरप्राइज IT विभागांना सहसा वायरलेस WiFi आणि वायर्ड Ethernet दोन्ही नेटवर्कवर ऑथेंटिकेशन अपयशांमध्ये अचानक वाढ अनुभवायला मिळते.

हे तांत्रिक मार्गदर्शक मूळ कारणे शोधण्यासाठी, RADIUS ट्रस्ट त्रुटी सोडवण्यासाठी, Credential Guard मधील संघर्ष दूर करण्यासाठी आणि मॅनेज्ड Windows 11 एंडपॉइंट्ससाठी विश्वासार्ह 802.1X नेटवर्क ॲक्सेस कंट्रोल स्थापित करण्यासाठी स्टेप-बाय-स्टेप डायग्नोस्टिक फ्रेमवर्क प्रदान करते.

Windows 11 802.1X आर्किटेक्चरल बदलांची समज

Windows 11 वर्धित सुरक्षा नियंत्रणे सादर करते जी ऑपरेटिंग सिस्टीम Extensible Authentication Protocol (EAP) निगोशिएशन, प्रमाणपत्र व्हॅलिडेशन आणि क्रेडेंशियल कॅशिंग कशी हाताळते यामध्ये बदल करतात. हे सुरक्षा मजबूतकरण कॉर्पोरेट उपकरणांचे ओळख चोरीपासून संरक्षण करत असले तरी, ते विद्यमान Group Policy Objects (GPO) आणि Mobile Device Management (MDM) पेलोड्समधील छुपा कॉन्फिगरेशन कमकुवतपणा उघड करते.

Windows 11 OS बिल्ड सुरक्षा फिचर / बदल 802.1X ऑथेंटिकेशनवर होणारा परिणाम आवश्यक उपाययोजना
Windows 11 22H2 Credential Guard बाय डीफॉल्ट सक्षम केले आहे NTLMv2 हॅश वेगळे करते, ज्यामुळे जुने PEAP-MSCHAPv2 SSO ऑथेंटिकेशन ब्रेक होते. EAP-TLS प्रमाणपत्रांवर स्थलांतरित व्हा किंवा स्पष्ट क्रेडेंशियल प्रॉम्प्टिंग कॉन्फिगर करा.
Windows 11 23H2 WPA3-Enterprise 192-बिट मोड अंमलबजावणी उच्च-सुरक्षा वायरलेस प्रोफाईल्ससाठी Suite B क्रिप्टोग्राफी अनुपालन अनिवार्य करते. RADIUS सर्व्हर प्रमाणपत्र SHA-384 आणि RSA 3072+ किंवा ECDSA P-384 वापरत असल्याची खात्री करा.
Windows 11 24H2 कडक RADIUS प्रमाणपत्र व्हॅलिडेशन ट्रस्टेड स्टोअरमध्ये Root CA नसल्यास किंवा SAN मॅच होण्यात अयशस्वी झाल्यास कनेक्शन नाकारते. क्लायंट ट्रस्ट स्टोअरमध्ये Root CA डिप्लॉय करा आणि वायरलेस प्रोफाईल सर्व्हर नावांची यादी अपडेट करा.
सर्व बिल्ड्स Wired AutoConfig बाय डीफॉल्ट अक्षम केले आहे Ethernet स्विच पोर्ट्स 802.1X हँडशेक पूर्ण करू शकत नाहीत; एंडपॉइंट्सना APIPA पत्ते दिले जातात. GPO किंवा PowerShell स्क्रिप्ट्सद्वारे dot3svc स्टार्टअप प्रकार ऑटोमॅटिक वर सक्षम करा.

Windows 11 802.1X ऑथेंटिकेशन अपयशाची प्राथमिक कारणे

जेव्हा एखादे Windows 11 डिव्हाइस 802.1X एंटरप्राइज नेटवर्कवर ऑथेंटिकेट होण्यास अयशस्वी ठरते, तेव्हा ही समस्या सहसा चार प्राथमिक अपयश घटकांपैकी एका घटकामुळे उद्भवते:

1. RADIUS सर्व्हर प्रमाणपत्र व्हॅलिडेशन बिघाड

802.1X EAP-TLS किंवा PEAP हँडशेक दरम्यान, क्लायंटला त्याची ओळख सिद्ध करण्यासाठी RADIUS सर्व्हर त्याचे X.509 डिजिटल प्रमाणपत्र सादर करतो. पुढे जाण्यापूर्वी Windows 11 तीन निकषांचे सत्यापन करते:

  • विश्वास साखळी (Trust chain): जारी करणारे Root CA प्रमाणपत्र एंडपॉइंटच्या Local Computer Trusted Root Certification Authorities स्टोअरमध्ये असले पाहिजे.
  • Subject Alternative Name (SAN): RADIUS सर्व्हरचे होस्टनाव किंवा FQDN क्लायंटच्या 802.1X प्रोफाइल XML कॉन्फिगरेशनमध्ये नमूद केलेल्या सर्व्हरच्या नावाशी जुळले पाहिजे.
  • कालबाह्यता आणि रद्द करणे (Expiration and revocation): प्रमाणपत्र कालबाह्य झालेले नसावे आणि ते Certificate Revocation List (CRL) किंवा OCSP तपासण्यांमध्ये उत्तीर्ण झाले पाहिजे.

कोणताही निकष अयशस्वी झाल्यास, संभाव्य बनावट ॲक्सेस पॉइंट्सशी कनेक्शन रोखण्यासाठी Windows 11 त्वरित EAP सत्र समाप्त करते.

2. Credential Guard चे PEAP-MSCHAPv2 सोबत होणारे संघर्ष

Credential Guard मेमरीमध्ये संग्रहित केलेली गुपिते वेगळी ठेवण्यासाठी Virtualization-Based Security (VBS) वापरते. PEAP-MSCHAPv2 वर अवलंबून असणारे जुने 802.1X सेटअप्स Active Directory विरुद्ध आपोआप प्रमाणीकृत करण्यासाठी युझर लॉगऑन हॅश काढण्याचा प्रयत्न करतात. Credential Guard या मेमरी ॲक्सेसला अवरोधित करते, ज्यामुळे वारंवार क्रेडेंशियल प्रॉम्प्ट लूप किंवा स्पष्ट RADIUS नकार मिळतो.

3. गहाळ किंवा कालबाह्य झालेली क्लायंट प्रमाणपत्रे (EAP-TLS)

EAP-TLS वापरणाऱ्या झिरो-ट्रस्ट वातावरणात, प्रत्येक डिव्हाइस किंवा युझर अंतर्गत Certificate Authority (जसे की Microsoft ADCS) द्वारे जारी केलेले वैयक्तिक प्रमाणपत्र सादर करतो. जेव्हा Intune SCEP किंवा PKCS प्रमाणपत्र प्रोफाईल सिंक होण्यास अपयशी ठरतात, क्लायंट प्रमाणपत्रे कालबाह्य होतात, किंवा प्रायव्हेट की Extended Key Usage (EKU) गुणधर्मांमध्ये Client Authentication (1.3.6.1.5.5.7.3.2) चा अभाव असतो, तेव्हा कनेक्शन अयशस्वी होते.

4. Wired AutoConfig (dot3svc) सेवा स्थिती

वायर्ड ईथरनेट 802.1X वातावरणासाठी, Windows 11 डेस्कटॉप इन्स्टॉलेशन्स थेट dot3svc सेवा सक्षम करत नाहीत. परिणामी, नेटवर्क इंटरफेस कार्ड्स (NICs) मॅनेज्ड स्विच पोर्ट्सद्वारे ट्रान्समिट केलेल्या EAPOL स्टार्ट फ्रेमला प्रतिसाद देत नाहीत, ज्यामुळे डिव्हाइस नेटवर्क ॲक्सेसशिवाय अडकून पडते किंवा त्याला APIPA IP ॲड्रेस (169.254.x.x) असाइन होतो.

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.

IT ॲडमिनिस्ट्रेटर्ससाठी टप्प्याटप्प्याने डायग्नोस्टिक वर्कफ्लो

मॅनेज्ड एंडपॉइंट्सवरील प्रमाणीकरण त्रुटींचे पद्धतशीरपणे निवारण करण्यासाठी, या डायग्नोस्टिक क्रमाचे अनुसरण करा:

टप्पा 1: Windows इव्हेंट व्ह्यूअर लॉगचे विश्लेषण करा

Windows सर्व 802.1X नेटवर्क इव्हेंट विशेष इव्हेंट व्ह्यूअर ऑपरेशनल लॉग अंतर्गत लॉग करते:

  • वायरलेस 802.1X: Applications and Services Logs > Microsoft > Windows > WLAN-AutoConfig > Operational वर जा
  • वायर्ड 802.1X: Applications and Services Logs > Microsoft > Windows > Wired-AutoConfig > Operational वर जा
इव्हेंट ID लॉग सोर्स त्रुटीचे वर्णन मूळ कारण आणि निवारण
12014 WLAN / Wired-AutoConfig EAPOL टाइमआउटमुळे 802.1X प्रमाणीकरण अयशस्वी झाले क्लायंटला RADIUS सर्व्हरकडून कोणताही प्रतिसाद मिळाला नाही. स्विच RADIUS सिक्रेट आणि IP पोहोच तपासा.
12013 WLAN / Wired-AutoConfig सर्व्हर प्रमाणपत्र पडताळणी अयशस्वी विश्वसनीय स्टोअरमधून Root CA गहाळ आहे किंवा 802.1X प्रोफाईलमध्ये सर्व्हर SAN जुळत नाही. Root CA इंपोर्ट करा.
5632 WLAN / Wired-AutoConfig स्पष्ट 802.1X प्रमाणीकरण नकार RADIUS सर्व्हरने क्रेडेंशियल्स किंवा क्लायंट प्रमाणपत्राला नकार दिला. रीजेक्ट कोड्ससाठी NPS/ISE ऑडिट लॉग्स तपासा.
10001 WLAN / Wired-AutoConfig प्रोफाईल निर्मिती किंवा अपडेट लॉग केले प्रोफाईल यशस्वीरित्या अपडेट केले गेले किंवा स्थानिक Windows नेटवर्क रजिस्ट्रीमध्ये इंपोर्ट केले गेले.

टप्पा 2: netsh कमांड-लाईन डायग्नोस्टिक्स चालवा

सक्रिय नेटवर्क स्थिती तपासण्यासाठी आणि कॉन्फिगरेशन प्रोफाईल्स एक्सपोर्ट करण्यासाठी प्रभावित एंडपॉईंटवर एलिव्हेटेड कमांड प्रॉम्प्ट किंवा PowerShell सेशन उघडा:

# Check active wireless interface state and signal quality
netsh wlan show interfaces

# List all installed wireless 802.1X profiles
netsh wlan show profiles

# Export a wireless profile to XML for inspection
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# Inspect active wired Ethernet 802.1X status
netsh lan show state

# Verify local Root CA certificate store installation
certutil -store Root "Your-Internal-Root-CA"

टप्पा 3: विनंती RADIUS सर्व्हरपर्यंत पोहोचली आहे का ते तपासा

Windows लॉग्स केवळ क्लायंटने काय पाहिले ते सांगतात. कोणतीही प्रोफाईल बदलण्यापूर्वी, कोणत्या बाजूला अडचण आली हे निश्चित करा:

  • RADIUS लॉग्समध्ये कोणतीही विनंती नाही: डिव्हाइस कधीही सर्व्हरपर्यंत पोहोचलेच नाही. ॲक्सेस पॉईंट किंवा स्विच RADIUS कॉन्फिगरेशन, शेअर केलेला सिक्रेट आणि IP पोहोच, आणि क्लायंटवर dot3svc किंवा WLAN AutoConfig सुरू असल्याची खात्री करा.
  • Access-Reject लॉग केले: सर्व्हरला विनंती प्राप्त झाली आणि त्याने ती नाकारली. Microsoft NPS वर, इव्हेंट ID 6273 साठी सुरक्षा लॉग फिल्टर करा आणि कारणाचा कोड वाचा.
  • Access-Accept लॉग केले परंतु डिव्हाइसवर अजूनही नेटवर्क नाही: प्रमाणीकरण यशस्वी झाले. त्याऐवजी VLAN असाइनमेंट, DHCP स्कोप आणि स्विच पोर्ट कॉन्फिगरेशन पहा.
NPS कारण कोड अर्थ नेहमीचे Windows 11 कारण
16 युझर क्रेडेंशियल्स जुळत नसल्यामुळे प्रमाणीकरण अयशस्वी झाले Credential Guard ने PEAP-MSCHAPv2 सेव्ह केलेले क्रेडेंशियल्स ब्लॉक केले आहेत, किंवा पासवर्ड एक्स्पायर झाला आहे
22 EAP प्रकार सर्व्हरद्वारे प्रोसेस केला जाऊ शकला नाही क्लायंट प्रोफाईल EAP-TLS वर सेट आहे तर नेटवर्क पॉलिसी केवळ PEAP ला अनुमती देते, किंवा याच्या उलट
48 कनेक्शन विनंती कोणत्याही नेटवर्क पॉलिसीशी जुळली नाही पॉलिसी जिथे युझर ग्रुपची अपेक्षा करते तिथे मशीन प्रमाणीकरण पाठवले गेले, किंवा याच्या उलट
265 प्रमाणपत्र साखळी अशा प्राधिकरणाद्वारे जारी केली गेली आहे ज्याच्यावर विश्वास नाही क्लायंट प्रमाणपत्र अशा CA द्वारे जारी केले गेले आहे ज्याच्यावर RADIUS सर्व्हर विश्वास ठेवत नाही

अपग्रेडनंतर नाहीशी झालेली वायर्ड 802.1X प्रोफाईल रीस्टोअर करा

फिचर अपडेटनंतर ऑथेंटिकेशन टॅब रिकामा असल्यास, चांगल्या स्थितीत असलेल्या डिव्हाइसवरून प्रोफाईल पुन्हा इंपोर्ट करा:

# On a working device: export the wired profile
netsh lan export profile folder="C:\temp" interface="Ethernet"

# On the affected device: make sure Wired AutoConfig is running
Set-Service -Name dot3svc -StartupType Automatic
Start-Service dot3svc

# Import the exported profile
netsh lan add profile filename="C:\temp\Ethernet.xml" interface="Ethernet"

यामुळे एक लॅपटॉप सुरू होईल. हे पुन्हा होण्यापासून रोखण्यासाठी, खाली वर्णन केल्याप्रमाणे ग्रुप पॉलिसी किंवा Intune द्वारे तेच प्रोफाईल पुश करा, जेणेकरून प्रत्येक अपग्रेड ते पुन्हा लागू करेल.

रिमेडिएशन धोरणे: GPO आणि Microsoft Intune

एकदा अपयशाची यंत्रणा ओळखल्यानंतर, सर्व Windows 11 उपकरणांवर एंडपॉईंट कॉन्फिगरेशन मानक करण्यासाठी एंटरप्राइज-व्यापी पॉलिसी अपडेट्स तैनात करा.

ॲक्टिव्ह डायरेक्टरी ग्रुप पॉलिसी (GPO) रिमेडिएशन

डोमेन-जॉईन केलेल्या एंडपॉईंट्ससाठी, केंद्रीकृत वायरलेस आणि वायर्ड नेटवर्क पॉलिसी कॉन्फिगर करा:

  1. ग्रुप पॉलिसी मॅनेजमेंट कन्सोल (gpmc.msc) उघडा आणि तुमची बेसलाइन एंडपॉईंट पॉलिसी एडिट करा.
  2. Computer Configuration > Policies > Windows Settings > Security Settings > System Services वर जा. Wired AutoConfig शोधा, स्टार्टअप मोड Automatic वर सेट करा आणि सर्व्हिस सुरू करा.
  3. Public Key Policies > Trusted Root Certification Authorities वर जा. तुमच्या RADIUS सर्व्हरसाठी इश्यू करणारे Root CA प्रमाणपत्र इंपोर्ट करा.
  4. Wireless Network (IEEE 802.11) Policies वर जा, तुमचे एंटरप्राइज प्रोफाईल उघडा, Security टॅब निवडा आणि ऑथेंटिकेशन Microsoft: Smart Card or other certificate (EAP-TLS साठी) किंवा PEAP वर सेट करा.
  5. Properties वर क्लिक करा आणि Connect to these servers फील्डमध्ये तुमचे RADIUS सर्व्हर FQDN निर्दिष्ट करताना Trusted Root Certification Authorities सूचीमध्ये तुमचे Root CA स्पष्टपणे तपासा.

Microsoft Intune MDM प्रोफाईल डिप्लॉयमेंट

Intune मधील क्लाउड-मॅनेज्ड किंवा हायब्रिड एंडपॉईंट्ससाठी:

  1. तुमचे एंटरप्राइज Root CA प्रमाणपत्र पेलोड असलेले Trusted Certificate profile तयार करा आणि ते All Devices ला असाइन करा.
  2. EAP-TLS साठी डिव्हाइसेस किंवा वापरकर्त्यांना युनिक क्लायंट प्रमाणपत्रे जारी करण्यासाठी दुय्यम PKCS or SCEP Certificate profile तयार करा.
  3. Trusted Certificate आणि SCEP/PKCS दोन्ही प्रोफाईल्सचा संदर्भ देऊन, EAP प्रकार म्हणून EAP-TLS निर्दिष्ट केलेले WiFi Configuration profile तयार करा.
  4. पॉलिसी व्हॅल्युएशन ऑर्डर WiFi प्रोफाईल लागू होण्यापूर्वी Trusted Certificate पेलोड इन्स्टॉल करण्याची अनुमती देते याची खात्री करा.

दीर्घकालीन सुरक्षा आर्किटेक्चर: EAP-TLS आणि Passpoint कडे मायग्रेट करणे

PEAP-MSCHAPv2 पॅच केले जाऊ शकत असले तरी, पासवर्ड-आधारित 802.1X प्रोटोकॉल मुळात क्रेडेंशियल हार्वेस्टिंग, ऑफलाइन डिक्शनरी अटॅक्स आणि रोग AP इम्पर्सनेशनसाठी संवेदनशील राहतात. NIST आणि Wi-Fi अलायन्सची उद्योग सुरक्षा मार्गदर्शक तत्त्वे एंटरप्राइज नेटवर्कला EAP-TLS certificate authentication किंवा Passpoint (Hotspot 2.0) वर मायग्रेट करणे अनिवार्य करतात.

आमच्या सर्वसमावेशक Enterprise WiFi Security Guide मध्ये एंड-टू-एंड सुरक्षा आर्किटेक्चर लागू करण्याबद्दल अधिक जाणून घ्या. सविस्तर प्रोटोकॉल तुलनेसाठी, EAP Methods Compared (PEAP, EAP-TLS, EAP-TTLS, and EAP-FAST) वरील आमच्या विश्लेषणाचे पुनरावलोकन करा किंवा Deploying WiFi Certificates via Microsoft Intune या आमच्या मार्गदर्शकामध्ये स्वयंचलित प्रमाणपत्र पुश करण्याबद्दल माहिती मिळवा.

प्रमाणपत्र-आधारित 802.1X ला स्वयंचलित क्लाउड RADIUS व्यवस्थापनासह जोडून, एंटरप्राइझ IT टीम्स पासवर्ड प्रॉम्प्ट्स काढून टाकतात, Windows 11 एंडपॉइंट ऑनबोर्डिंग सुलभ करतात आणि सर्व कॉर्पोरेट सुविधांमध्ये झिरो-ट्रस्ट नेटवर्क ॲक्सेस नियंत्रण प्राप्त करतात.

Windows 11 802.1X RADIUS-as-a-Service वर कधी हलवायचे

या मार्गदर्शकातील बहुतेक अपयशांचे मूळ अशा इन्फ्रास्ट्रक्चरमध्ये आढळते जे Windows सह मॅन्युअली अपडेट ठेवावे लागते: एक्स्पायर होणारे NPS किंवा FreeRADIUS सर्व्हर प्रमाणपत्र, नवीन बिल्ड्समधून गायब असलेले रूट CA, किंवा PEAP-MSCHAPv2 पॉलिसी ज्याला Credential Guard आता सपोर्ट करत नाही. ऑथेंटिकेशन क्लाउडवर हलवल्याने त्या सूचीमधून सर्व्हर निघून जातो.

Purple RADIUS-as-a-Service हे EAP-TLS, PEAP, EAP-TTLS किंवा EAP-FAST सह Windows 11 डिव्हाइसेस ऑथेंटिकेट करते, तुमच्या आयडेंटिटी प्रोव्हायडरविरुद्ध प्रत्येक विनंती तपासते आणि तुम्ही आधीपासून वापरत असलेल्या ॲक्सेस पॉइंट्सवर योग्य VLAN असाइन करते - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet. हे Microsoft NPS, FreeRADIUS आणि Cisco ISE ची जागा घेते आणि मल्टी-रीजन चालते, त्यामुळे फीचर अपडेटनंतर पॅच करण्यासाठी कोणताही सर्व्हर राहत नाही.

तुमच्या डिरेक्टरीशी जुळणारे सेटअप निवडा:

  • RADIUS with Microsoft Intune - एकाच पॉलिसी सेटमध्ये SCEP किंवा PKCS प्रमाणपत्रे आणि WiFi प्रोफाइल वितरीत करा.
  • RADIUS with Microsoft Entra ID - डोमेन कंट्रोलर नसलेल्या फक्त क्लाउड-ओन्ली डिव्हाइसेससाठी प्रमाणपत्र-आधारित 802.1X.
  • RADIUS with Okta किंवा Google Workspace - नॉन-Microsoft डिरेक्टरीजसाठी तेच मॉडेल.

प्रथम पर्यायांची तुलना करत आहात? आमची cloud RADIUS providers comparison आणि EAP-TLS vs PEAP पहा.

प्रत्येक Windows अपडेटनंतर तीच 802.1X समस्या सोडवत आहात? Book a demo आणि आम्ही तुमच्या सध्याच्या ॲक्सेस पॉइंट्सचा वापर करून, तुमच्या Windows 11 ताफ्याला क्लाउड RADIUS वरील प्रमाणपत्र-आधारित WiFi वर हलवण्याच्या प्रक्रियेचे मार्गदर्शन करू.

महत्वाच्या व्याख्या

802.1X

पोर्ट आधारित नेटवर्क ॲक्सेस कंट्रोल (PNAC) साठीचे एक IEEE मानक जे 802.11 Enterprise WiFi आणि 802.3 Ethernet नेटवर्कसाठी प्रमाणीकृत प्रवेश प्रदान करते.

स्विच पोर्ट्स किंवा वायरलेस ॲक्सेस पॉइंट्स नेटवर्क ॲक्सेस देण्यापूर्वी RADIUS सर्व्हरविरुद्ध ऑथेंटिकेशन करणे एंडपॉइंट्ससाठी अनिवार्य करून एंटरप्राइज नेटवर्क सुरक्षेचा पाया तयार करतो.

Credential Guard

Windows 11 मधील एक व्हर्च्युअलायझेशन आधारित सुरक्षा वैशिष्ट्य जे सीक्रेट्स वेगळे ठेवते जेणेकरून केवळ विशेषाधिकारप्राप्त सिस्टम सॉफ्टवेअर त्यांना ॲक्सेस करू शकेल.

मेमरीमधून MSCHAPv2 पासवर्ड हॅश काढण्यास प्रतिबंध करते, ज्यामुळे enterprise नेटवर्कवरील जुने PEAP-MSCHAPv2 ऑथेंटिकेशन सेटअप बंद पडतात.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. एक 802.1X ऑथेंटिकेशन पद्धत जी क्लायंट आणि सर्व्हर व्हॅलिडेशनसाठी परस्पर X.509 डिजिटल प्रमाणपत्रांचा वापर करते.

Enterprise WiFi सुरक्षेसाठी शिफारस केलेले ऑथेंटिकेशन प्रोटोकॉल कारण ते पासवर्डची गरज पूर्णपणे काढून टाकते आणि मशिन-इन-द-मिडल हल्ल्यांना प्रतिकार करते.

PEAP-MSCHAPv2

Microsoft Challenge Handshake Authentication Protocol व्हर्जन 2 सह Protected Extensible Authentication Protocol.

एक जुना पासवर्ड आधारित 802.1X प्रोटोकॉल जो सर्व्हर व्हॅलिडेशन चुकीचे कॉन्फिगर केलेले असताना क्रेडिटेंशियल हार्वेस्टिंग आणि सर्टिफिकेट स्फूफिंगसाठी असुरक्षित असतो.

WLAN AutoConfig (wlansvc)

इन-बिल्ट Windows सर्व्हिस जी वायरलेस नेटवर्क अडॅप्टर्स मोजते, उपलब्ध WiFi नेटवर्क्स शोधते आणि 802.1X ऑथेंटिकेशन प्रोफाईल्स व्यवस्थापित करते.

वायरलेस 802.1X कनेक्शन्स अयशस्वी झाल्यास Microsoft-Windows-WLAN-AutoConfig/Operational अंतर्गत Event Viewer मध्ये तपशीलवार निदानात्मक इव्हेंट्स लॉग करते.

Wired AutoConfig (dot3svc)

वायर्ड स्विच पोर्ट्सवर IEEE 802.3 Ethernet 802.1X ऑथेंटिकेशनसाठी जबाबदार असणारी Windows सर्व्हिस.

Windows डेस्कटॉप आवृत्त्यांवर डीफॉल्टनुसार अक्षम केलेले असते; वायरयुक्त 802.1X वातावरणासाठी GPO किंवा PowerShell द्वारे सुरू करून स्वयंचलित (Automatic) वर सेट केले पाहिजे.

सोडवलेली उदाहरणे

सिनेरिओ 1: Windows 11 24H2 वर एंटरप्राइज अपग्रेड केल्यानंतर, 350 कॉर्पोरेट लॅपटॉप WPA3-Enterprise WiFi नेटवर्कशी कनेक्ट होण्यात अपयशी ठरतात. Event Viewer सर्व्हर प्रमाणपत्र व्हॅलिडेशन अयशस्वी झाल्याचा मजकूर असलेला Event ID 12013 प्रदर्शित करतो. RADIUS सर्व्हर व्यावसायिक TLS प्रमाणपत्र वापरतो. नेटवर्क टीमने हे ऑथेंटिकेशन अपयश कसे सोडवले पाहिजे?

नेटवर्क इंजिनिअरिंग टीमने Windows 11 24H2 च्या कठोर व्हॅलिडेशन अंमलबजावणीमुळे उद्भवलेली रूट प्रमाणपत्र ट्रस्ट साखळीतील तफावत दूर केली पाहिजे.

  1. प्रभावित एंडपॉइंटवर स्थानिक संगणक प्रमाणपत्र व्यवस्थापक (certlm.msc) उघडा आणि RADIUS सर्व्हरसाठी इश्यू करणारे इंटरमीडिएट आणि Root CA प्रमाणपत्रे इंस्टॉल आहेत की नाही हे सत्यापित करण्यासाठी Trusted Root Certification Authorities ची पाहणी करा.
  2. गहाळ असल्यास, Certificate Authority कडून Root CA आणि Intermediate CA सार्वजनिक प्रमाणपत्रे (.cer) एक्सपोर्ट करा.
  3. Active Directory Group Policy मध्ये, Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies वर जा आणि Root CA ला Trusted Root Certification Authorities मध्ये इंपोर्ट करा.
  4. Microsoft Intune मध्ये, सर्व कॉर्पोरेट डिव्हाइस ग्रुप्सवर Root CA पेलोड समाविष्ट असलेले Trusted Certificate profile उपयोगात आणा.
  5. Validate server certificate फील्डमध्ये RADIUS सर्व्हरचे Fully Qualified Domain Name (FQDN) स्पष्टपणे सूचीबद्ध करण्यासाठी एंटरप्राइज WiFi 802.1X प्रोफाईल XML कॉन्फिगरेशन अपडेट करा.
परीक्षकाचे भाष्य: Windows 11 24H2 सर्व्हर प्रमाणपत्र व्हॅलिडेशनचे काटेकोरपणे पालन करते. जर एंडपॉइंटच्या स्थानिक ट्रस्टेड स्टोअरमध्ये रूट प्रमाणपत्र नसेल किंवा 802.1X प्रोफाईलमधील सर्व्हरचे नाव RADIUS प्रमाणपत्राच्या SAN शी जुळत नसेल, तर क्रिडेंशियल पाठवण्यापूर्वी Windows द्वारे EAP हँडशेक्स रद्द केले जातात. GPO किंवा Intune द्वारे Root CA उपयोगात आणल्याने सुरक्षा तपासण्या बंद न करता ट्रस्ट पुन्हा स्थापित होतो.

सिनेरिओ 2: एक आर्थिक सेवा फर्म कॉर्पोरेट लॅपटॉप WiFi ॲक्सेससाठी PEAP-MSCHAPv2 वापरते. सर्व एंडपॉइंट्सवर Windows 11 Credential Guard सक्षम केल्यानंतर, वापरकर्त्यांना सतत प्रॉम्प्ट अपयश आणि Event ID 5632 RADIUS रिजेक्ट्स प्राप्त होतात. सुरक्षेचे पालन राखून IT विभाग विश्वासार्ह नेटवर्क ऑथेंटिकेशन कसे पुनर्संचयित करू शकतो?

Credential Guard व्हर्च्युअलाइज्ड कंटेनरमध्ये सिंगल साइन-ऑन क्रिडेंशियल वेगळे करते, ज्यामुळे MSCHAPv2 ला EAP ऑथेंटिकेशनसाठी पासवर्ड हॅश काढण्यापासून रोखले जाते.

  1. GPO मध्ये एक समर्पित 802.1X युजर प्रोफाईल कॉन्फिगर करून त्वरित तोडगा लागू करा जो Windows Single Sign-On (SSO) हॅश पास-थ्रूवर अवलंबून राहण्याऐवजी स्पष्ट युजर क्रिडेंशियलसाठी विचारतो.
  2. कायमस्वरूपी निराकरणासाठी, PEAP-MSCHAPv2 वरून EAP-TLS प्रमाणपत्र आधारित ऑथेंटिकेशन कडे मायग्रेशनचे नियोजन करा.
  3. सर्व व्यवस्थापित एंडपॉइंट्सना अनन्य X.509 डिव्हाइस प्रमाणपत्रे जारी करण्यासाठी Microsoft Intune द्वारे Microsoft SCEP किंवा PKCS प्रमाणपत्र प्रोफाईल उपयोगात आणा.
  4. EAP-TLS द्वारे एंडपॉइंट डिव्हाइस प्रमाणपत्रांचे ऑथेंटिकेशन करण्यासाठी RADIUS सर्व्हर (Cisco ISE, Aruba ClearPass, किंवा Microsoft NPS) कॉन्फिगर करा.
  5. संपूर्ण एंटरप्राइजमध्ये पासवर्ड उघड होण्याचा धोका नाहीसा करण्यासाठी वायरलेस कंट्रोलर्सवर PEAP-MSCHAPv2 वापरणे बंद करा.
परीक्षकाचे भाष्य: Credential Guard अक्षम केल्याने Windows 11 एंडपॉइंट सुरक्षा कमकुवत होते आणि CIS मानकांचे उल्लंघन होते. योग्य संरचनात्मक मार्ग म्हणजे नेटवर्कला पासवर्ड आधारित PEAP वरून EAP-TLS वर अपग्रेड करणे. प्रमाणपत्रे बनावट ॲक्सेस पॉइंट हल्ल्यांविरुद्ध उत्कृष्ट संरक्षण प्रदान करताना Credential Guard च्या मर्यादा पूर्णपणे बायपास करतात.

सराव प्रश्न

Q1. कोणती Windows Command Prompt उपयुक्तता क्लायंट मशीनवर सक्रिय 802.1X वायरलेस प्रोफाईल सेटिंग्ज, ऑथेंटिकेशन स्थिती आणि सायफर सूटची रिअल-टाइम पडताळणी प्रदान करते?

टीप: Windows मध्ये तयार केलेल्या मूळ वायरलेस कमांड-लाईन हेल्प टूलचा वापर करा.

नमुना उत्तर पहा

netsh wlan show interfaces ही कमांड सध्याची कनेक्शन स्थिती, SSID, BSSID, रेडिओ प्रकार आणि ऑथेंटिकेशन मोड प्रदर्शित करते. प्रोफाईल तपशील आणि EAP कॉन्फिगरेशन्सची तपासणी करण्यासाठी, netsh wlan show profile name="ProfileName" key=clear चालवा. वायर्ड Ethernet 802.1X कनेक्शन्ससाठी, netsh lan show state वापरा.

Q2. Windows 11 डेस्कटॉप क्लायंटसाठी कॉर्पोरेट Ethernet स्विच पोर्टवर 802.1X नेटवर्क ॲक्सेस कंट्रोल तैनात करताना Wired AutoConfig सर्व्हिस (dot3svc) सुरू करणे का अनिवार्य आहे?

टीप: डेस्कटॉप इन्स्टॉलेशन्ससाठी डीफॉल्ट ऑपरेटिंग सिस्टम सर्व्हिस स्थितीचा विचार करा.

नमुना उत्तर पहा

वायरलेस क्षमतेच्या उपकरणांवर आपोआप चालणाऱ्या WLAN AutoConfig सर्व्हिस (wlansvc) च्या उलट, Wired AutoConfig सर्व्हिस (dot3svc) ही Windows 11 डेस्कटॉप इन्स्टॉलेशन्सवर डीफॉल्टनुसार मॅन्युअल (Manual) स्टार्टअपवर सेट केलेली असते. dot3svc सक्रिय नसल्यास, ऑपरेटिंग सिस्टम स्विच पोर्ट्सवरून येणाऱ्या 802.1X EAPOL विनंत्यांकडे दुर्लक्ष करते, ज्यामुळे स्विच एंडपॉइंटला अनधिकृत स्थितीत किंवा APIPA नेटवर्क (169.254.x.x) मध्ये ठेवतो.

Q3. एक IT प्रशासक वायरलेस नेटवर्क गुणधर्मांमध्ये "Validate server certificate" अनचेक करून 802.1X कनेक्शन त्रुटीचे निराकरण करण्याचा प्रयत्न करतो. हा तात्पुरता उपाय कोणता सुरक्षा धोका निर्माण करतो?

टीप: मशिन-इन-द-मिडल हल्ले आणि बनावट ॲक्सेस पॉईंट्सबद्दल विचार करा.

नमुना उत्तर पहा

सर्व्हर प्रमाणपत्र व्हॅलिडेशन अक्षम केल्याने क्लायंट मशीन कॉर्पोरेट SSID ब्रॉडकास्ट करणाऱ्या कोणत्याही बनावट ॲक्सेस पॉईंटशी कनेक्ट होऊ शकते. एक हल्लेखोर बनावट RADIUS सर्व्हर सेट करू शकतो, युजर PEAP-MSCHAPv2 क्रेडिटेंशियल हॅश कॅप्चर करू शकतो आणि कॉर्पोरेट ट्रॅफिकचे मशिन-इन-द-मिडल डिक्रिप्शन करू शकतो. Enterprise सुरक्षा मानके सर्व्हर व्हॅलिडेशन अक्षम करण्यास सक्त मनाई करतात.

वारंवार विचारले जाणारे प्रश्न

Windows 11 अपग्रेडनंतर 802.1X का काम करणे थांबवते?

फीचर अपडेट एकाच वेळी तीन गोष्टी बदलू शकते: ते स्थानिक पातळीवर इम्पोर्ट केलेले 802.1X प्रोफाईल रिसेट किंवा काढून टाकू शकते, ते 22H2 मधील पात्र Enterprise आणि Education उपकरणांवर बाय डीफॉल्ट Credential Guard सक्षम करते, आणि ते अधिक कडक RADIUS सर्व्हर प्रमाणपत्र पडताळणी लागू करते. यापैकी कोणतीही एक गोष्ट कार्यरत कनेक्शनला "Authenticating..." लूप किंवा Access-Reject मध्ये बदलू शकते. Group Policy किंवा Intune द्वारे पुश केलेले प्रोफाईल आणि विश्वासू रूट प्रमाणपत्रे आपोआप पुन्हा लागू होतात, म्हणूनच मध्यवर्तीरित्या व्यवस्थापित केलेले ताफे पूर्ववत होतात आणि मॅन्युअली कॉन्फिगर केलेले लॅपटॉप पूर्ववत होत नाहीत.

मी Windows 11 वर Event ID 12013 कसा दुरुस्त करू?

Event ID 12013 चा अर्थ असा आहे की डिव्हाइस RADIUS सर्व्हर प्रमाणपत्र सत्यापित करू शकले नाही. Group Policy किंवा Intune Trusted Certificate प्रोफाईलद्वारे इश्यू करणारे रूट CA (आणि कोणतेही इंटरमीडिएट CA) Local Computer Trusted Root Certification Authorities स्टोअरमध्ये तैनात करा, त्यानंतर 802.1X प्रोफाईलमधील सर्व्हर नाव सूची RADIUS प्रमाणपत्रावरील Subject Alternative Name शी जुळत असल्याची खात्री करा. उपाय म्हणून "Validate server certificate" अनटिक करू नका - यामुळे नेटवर्कवर बनावट ॲक्सेस पॉइंट्सचा धोका निर्माण होतो.

Credential Guard मुळे Windows 11 वर PEAP-MSCHAPv2 मधे अडथळा येतो का?

होय, सिंगल साइन-ऑनसाठी. Credential Guard चालू असताना, Windows आता MSCHAPv2-आधारित सिंगल साइन-ऑनला सपोर्ट करत नाही, त्यामुळे सेव्ह केलेल्या किंवा Windows लॉगिन क्रेडेन्शियल्सवर अवलंबून असलेले PEAP-MSCHAPv2 प्रोफाईल अयशस्वी होतात. अल्पकालीन उपाय म्हणजे असे प्रोफाईल जे वापरकर्त्याला क्रेडेन्शियल्ससाठी विचारते. कायमस्वरूपी उपाय म्हणजे Intune (SCEP किंवा PKCS) द्वारे जारी केलेल्या प्रमाणपत्रांसह EAP-TLS कडे जाणे, ज्यावर Credential Guard चा परिणाम होत नाही.

मी Windows 11 Ethernet अडॅप्टरवर 802.1X कसे सक्षम करू?

Wired AutoConfig सेवा (dot3svc) सुरू करा आणि ती services.msc मध्ये, PowerShell द्वारे (Set-Service -Name dot3svc -StartupType Automatic, नंतर Start-Service dot3svc) किंवा संपूर्ण ताफ्यामध्ये Group Policy System Services द्वारे Automatic वर सेट करा. सेवा सुरू झाल्यावरच Ethernet अडॅप्टर प्रॉपर्टीजमध्ये Authentication टॅब दिसतो.

RADIUS सर्व्हरने Windows 11 डिव्हाइस नाकारले आहे की नाही हे मी कसे ओळखू शकेन?

Microsoft NPS वर, Security लॉग उघडा आणि Event ID 6273 (ॲक्सेस नाकारला) किंवा 6272 (ॲक्सेस मंजूर) साठी फिल्टर करा. 6273 मधील कारण कोड मूळ कारण सांगतो: 16 हे क्रेडेन्शियल जुळत नसल्याचे दर्शवते, 22 चा अर्थ EAP प्रकार प्रक्रियेत आणता आला नाही, 48 चा अर्थ कोणतीही नेटवर्क पॉलिसी जुळली नाही आणि 265 चा अर्थ प्रमाणपत्र साखळी अविश्वासू प्राधिकरणाद्वारे जारी केली गेली होती. सर्व्हरपर्यंत कोणतीही विनंती पोहोचलीच नाही, तर समस्या Windows ऐवजी ॲक्सेस पॉइंट, स्विच किंवा शेअर केलेल्या सिक्रेटमध्ये आहे.

मला Windows 11 802.1X साठी ऑन-प्रीमिस RADIUS सर्व्हरची आवश्यकता आहे का?

नाही. Purple RADIUS-as-a-Service सारखी क्लाउड RADIUS सेवा Intune द्वारे वितरीत केलेल्या प्रमाणपत्रांसह, Microsoft Entra ID, Okta किंवा Google Workspace विरुद्ध EAP-TLS सह Windows 11 उपकरणांचे प्रमाणीकरण करते. तुमचे ॲक्सेस पॉईंट्स आणि स्विचेस NPS, FreeRADIUS किंवा Cisco ISE सर्व्हरऐवजी होस्टनेमकडे निर्देश करतात, त्यामुळे पॅच करण्यासाठी कोणताही सर्व्हर नाही आणि प्रत्येक Windows वैशिष्ट्य अद्यतनानंतर पुनर्रचना करण्यासाठी कोणतीही प्रमाणपत्र विश्वासार्हता नाही.

या मालिकेमध्ये पुढे वाचा

Cyber Essentials आणि Staff WiFi: तुमच्या वायरलेस नेटवर्कवरील पाच नियंत्रणे यशस्वीपणे पार पाडणे

तुम्ही Cyber Essentials च्या पाच नियंत्रणांपैकी प्रत्येक नियंत्रण तुमच्या staff WiFi शी जुळवू शकाल आणि मूल्यांकनकर्त्यांना आढळणाऱ्या त्रुटी दूर करू शकाल. त्यानंतर तुम्ही प्रत्येक डिव्हाइस क्लाससाठी 802.1X, iPSK आणि वेगळे केलेले WPA2-PSK नेटवर्क यापैकी योग्य पर्याय निवडू शकता. शेवटी, तुम्हाला Cyber Essentials Plus ऑडिटसाठी ॲक्सेस पॉइंट्स, कंट्रोलर्स आणि BYOD कसे तयार करायचे हे समजेल.

मार्गदर्शिका वाचा →

HPE Aruba Central प्रेझेन्स ॲनालिटिक्स: सेटअप, एक्स्पोर्ट्स आणि मर्यादा

तुम्ही प्रति साइट Aruba Central presence analytics सक्षम करू शकाल, ग्राउंड-ट्रुथ काउंटच्या तुलनेत RSSI थ्रेशोल्ड आणि ड्वेल बाउंड्रीज कॅलिब्रेट करू शकाल, आणि Central REST API द्वारे साइट-स्तरीय एकत्रित डेटा एक्सपोर्ट करू शकाल. तसेच, मूळ presence analytics कुठे मर्यादित पडते आणि तुमच्या अस्तित्वात असलेल्या Aruba ॲक्सेस पॉइंट्सवर Purple सारखा हार्डवेअर-अग्नॉस्टिक प्लॅटफॉर्म लेयर कधी आवश्यक ठरतो, हे देखील तुम्हाला समजेल.

मार्गदर्शिका वाचा →

CIPA compliance: venue operators साठी compliance checklist

तुमचे WiFi CIPA च्या बंधनात येते की नाही हे तुम्ही ठरवू शकाल, त्यानंतर नेटवर्कचे वर्गीकरण करू शकाल, Purple Shield द्वारे DNS रूट करू शकाल आणि बायपास मार्ग बंद करू शकाल. Form 486 किंवा Form 479 प्रमाणपत्रासाठी कोणते पुरावे ठेवावे हे देखील तुम्हाला समजेल. ही checklist प्रत्येक आवश्यकतेला एक मालक नियुक्त करते, जेणेकरून तुमच्या पुढील फंडिंग वर्षाच्या प्रमाणपत्रात काहीही सुटणार नाही.

मार्गदर्शिका वाचा →

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.