Solução de problemas de autenticação 802.1X no Windows 11: guia de TI empresarial

Resposta rápida: a maioria das falhas de 802.1X no Windows 11 após uma atualização decorre de uma de quatro causas - o certificado do servidor RADIUS não é mais validado (Event ID 12013), o Credential Guard bloqueando o single sign-on PEAP-MSCHAPv2, um certificado de cliente ausente ou expirado para EAP-TLS, ou o serviço Configuração Zero de Rede Sem Fio/Wired AutoConfig (dot3svc) não sendo executado na Ethernet. Leia o log operacional do WLAN-AutoConfig ou Wired-AutoConfig primeiro, corresponda o ID do evento nas tabelas abaixo e, em seguida, corrija o perfil centralmente por meio da Política de Grupo ou Intune, em vez de fazer isso laptop por laptop.

A implantação e a manutenção da autenticação de rede 802.1X em ambientes corporativos exigem uma interoperabilidade perfeita entre os sistemas operacionais dos clientes, pontos de acesso, infraestrutura de switches e servidores de autenticação RADIUS. Após as atualizações de recursos do Windows 11, os departamentos de TI corporativos frequentemente enfrentam picos repentinos de falhas de autenticação em redes WiFi e Ethernet cabeadas.

Este guia técnico fornece uma estrutura de diagnóstico passo a passo para identificar as causas raiz, resolver quebras de confiança de RADIUS, remediar conflitos do Credential Guard e estabelecer um controle de acesso à rede 802.1X confiável para endpoints Windows 11 gerenciados.

Compreendendo as alterações arquitetônicas do 802.1X no Windows 11

O Windows 11 introduz controles de segurança aprimorados que alteram a forma como o sistema operacional lida com a negociação do Extensible Authentication Protocol (EAP), validação de certificado e cache de credenciais. Embora esses reforços de segurança protejam os dispositivos corporativos contra roubo de identidade, eles expõem fraquezas ocultas de configuração em Group Policy Objects (GPO) e cargas úteis de Mobile Device Management (MDM) existentes.

Principais causas de falhas de autenticação 802.1X no Windows 11

Quando um dispositivo Windows 11 falha ao se autenticar em uma rede corporativa 802.1X, o problema geralmente decorre de um dos quatro vetores primários de falha:

1. Falha na validação do certificado do servidor RADIUS

Durante o handshake 802.1X EAP-TLS ou PEAP, o servidor RADIUS apresenta seu certificado digital X.509 para provar sua identidade ao cliente. O Windows 11 valida três critérios antes de prosseguir:

• Cadeia de confiança: O certificado da AC Raiz emissora deve residir no repositório Autoridades de Certificação Raiz Confiáveis do Computador Local do dispositivo.
• Nome Alternativo do Sujeito (SAN): O hostname ou FQDN do servidor RADIUS deve corresponder ao nome do servidor especificado na configuração XML do perfil 802.1X do cliente.
• Expiração e revogação: O certificado deve estar dentro do prazo de validade e passar pelas verificações da Lista de Revogação de Certificados (CRL) ou OCSP.

Se qualquer critério falhar, o Windows 11 encerra imediatamente a sessão EAP para evitar a conexão a possíveis pontos de acesso não autorizados.

2. O Credential Guard entra em conflito com o PEAP-MSCHAPv2

O Credential Guard usa a Segurança Baseada em Virtualização (VBS) para isolar segredos armazenados na memória. Configurações legadas de 802.1X que dependem do PEAP-MSCHAPv2 tentam extrair hashes de logon de usuário para se autenticar automaticamente no Active Directory. O Credential Guard bloqueia esse acesso à memória, resultando em loops repetidos de solicitação de credenciais ou na rejeição explícita do RADIUS.

3. Certificados de cliente ausentes ou expirados (EAP-TLS)

Em ambientes zero-trust que usam EAP-TLS, cada dispositivo ou usuário apresenta um certificado individual emitido por uma Autoridade de Certificação interna (como o Microsoft ADCS). Falhas de conexão ocorrem quando perfis de certificado SCEP ou PKCS do Intune falham ao sincronizar, certificados de cliente expiram ou atributos de Uso Expandido da Chave (EKU) da Chave Privada não possuem a Autenticação do Cliente (1.3.6.1.5.5.7.3.2).

4. Estado do serviço Configuração Automática com Fio (dot3svc)

Para ambientes Ethernet 802.1X com fio, as instalações desktop do Windows 11 não habilitam o serviço dot3svc por padrão. Como resultado, as placas de interface de rede (NICs) permanecem sem resposta aos quadros EAPOL Start transmitidos por portas de switches gerenciados, deixando o dispositivo sem acesso à rede ou com um endereço IP APIPA atribuído (169.254.x.x).

Fluxo de trabalho de diagnóstico passo a passo para administradores de TI

Para solucionar falhas de autenticação em dispositivos gerenciados de forma sistemática, siga esta sequência de diagnóstico:

Fase 1: Analisar os logs do Visualizador de Eventos do Windows

O Windows registra todos os eventos de rede 802.1X em logs operacionais especializados do Visualizador de Eventos:

• 802.1X sem fio: Navegue até Aplicações e Logs de Serviços > Microsoft > Windows > WLAN-AutoConfig > Operacional
• 802.1X com fio: Navegue até Aplicações e Logs de Serviços > Microsoft > Windows > Wired-AutoConfig > Operacional

Fase 2: Executar diagnósticos de linha de comando netsh

Abra uma sessão do Prompt de Comando ou PowerShell com privilégios elevados no dispositivo afetado para inspecionar os estados ativos de rede e exportar perfis de configuração:

# Verificar o estado ativo da interface sem fio e a qualidade do sinal
netsh wlan show interfaces

# Listar todos os perfis sem fio 802.1X instalados
netsh wlan show profiles

# Exportar um perfil sem fio para XML para inspeção
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# Inspecionar o status ativo do Ethernet com fio 802.1X
netsh lan show state

# Verificar a instalação no repositório de certificados CA Raiz local
certutil -store Root "Your-Internal-Root-CA"

Fase 3: Verificar se a solicitação chegou ao servidor RADIUS

Os logs do Windows informam apenas o que o cliente visualizou. Antes de alterar qualquer perfil, confirme qual lado falhou:

• Nenhuma solicitação nos logs do RADIUS: o dispositivo nem sequer chegou ao servidor. Verifique a configuração do RADIUS no access point ou switch, o segredo compartilhado e a acessibilidade de IP, e se o dot3svc ou WLAN AutoConfig está em execução no cliente.
• Access-Reject registrado: o servidor recebeu a solicitação e a recusou. No Microsoft NPS, filtre o log de Segurança pelo Event ID 6273 e leia o código do motivo.
• Access-Accept registrado, mas o dispositivo continua sem rede: a autenticação funcionou. Verifique o direcionamento de VLAN, o escopo DHCP e a configuração da porta do switch.

Restaurar um perfil 802.1X com fio que desapareceu após uma atualização

Se a guia Autenticação estiver vazia após uma atualização de recursos, reimporte o perfil de um dispositivo que esteja funcionando corretamente:

# Em um dispositivo em funcionamento: exporte o perfil com fio
netsh lan export profile folder="C:\temp" interface="Ethernet"

# No dispositivo afetado: certifique-se de que o Wired AutoConfig está em execução
Set-Service -Name dot3svc -StartupType Automatic
Start-Service dot3svc

# Import the exported profile
netsh lan add profile filename="C:\temp\Ethernet.xml" interface="Ethernet"

Isso faz um notebook funcionar. Para evitar que aconteça novamente, envie o mesmo perfil por meio de Diretiva de Grupo ou Intune conforme descrito abaixo, para que cada atualização o reaplique.

Estratégias de remediação: GPO e Microsoft Intune

Assim que o mecanismo de falha for identificado, implante atualizações de diretivas em toda a empresa para padronizar a configuração dos pontos de extremidade em todos os dispositivos Windows 11.

Remediação por Diretiva de Grupo do Active Directory (GPO)

Para pontos de extremidade integrados ao domínio, configure Diretivas de Rede Sem Fio e Com Fio centralizadas:

1. Abra o Console de Gerenciamento de Diretiva de Grupo (gpmc.msc) e edite sua diretiva de linha de base do ponto de extremidade.
2. Navegue até Configuração do Computador > Diretivas > Configurações do Windows > Configurações de Segurança > Serviços do Sistema. Localize Configuração Automática Com Fio, defina o Modo de Inicialização para Automático e inicie o serviço.
3. Navegue até Diretivas de Chave Pública > Autoridades de Certificação Raiz Confiáveis. Importe o certificado da CA Raiz emissora para o seu servidor RADIUS.
4. Navegue até Diretivas de Rede Sem Fio (IEEE 802.11), abra seu perfil corporativo, selecione a guia Segurança e defina a Autenticação para Microsoft: Cartão inteligente ou outro certificado (para EAP-TLS) ou PEAP.
5. Clique em Propriedades e marque explicitamente sua CA Raiz na lista Autoridades de Certificação Raiz Confiáveis, enquanto especifica os FQDNs do seu servidor RADIUS no campo Conectar a estes servidores.

Implantação de perfil MDM do Microsoft Intune

Para pontos de extremidade gerenciados na nuvem ou híbridos no Intune:

1. Crie um Perfil de Certificado Confiável contendo a carga útil do certificado CA Raiz corporativo e atribua-o a Todos os Dispositivos.
2. Crie um Perfil de Certificado PKCS ou SCEP secundário para emitir certificados de cliente exclusivos para dispositivos ou usuários para EAP-TLS.
3. Crie um Perfil de Configuração de WiFi com EAP-TLS especificado como o tipo de EAP, referenciando os perfis de Certificado Confiável e SCEP/PKCS.
4. Garanta que a ordem de avaliação da diretiva permita que a carga útil do Certificado Confiável seja instalada antes da aplicação do perfil de WiFi.

Arquitetura de segurança de longo prazo: Migrando para EAP-TLS e Passpoint

Embora o PEAP-MSCHAPv2 possa receber patches, os protocolos 802.1X baseados em senha permanecem inerentemente vulneráveis à coleta de credenciais, ataques de dicionário offline e falsificação de AP malicioso. As diretrizes de segurança do setor do NIST e da Wi-Fi Alliance exigem a migração de redes corporativas para autenticação por certificado EAP-TLS ou Passpoint (Hotspot 2.0).

Saiba mais sobre a implementação de arquiteturas de segurança ponta a ponta no nosso Guia de Segurança de WiFi Empresarial completo. Para comparações detalhadas de protocolos, analise a nossa avaliação em Métodos EAP Comparados (PEAP, EAP-TLS, EAP-TTLS e EAP-FAST) ou explore a distribuição automatizada de certificados no nosso guia sobre Implantação de Certificados WiFi via Microsoft Intune.

Ao combinar o 802.1X baseado em certificados com o gerenciamento automatizado de RADIUS na nuvem, as equipes de TI empresariais eliminam as solicitações de senha, otimizam o onboarding de dispositivos Windows 11 e alcançam o controle de acesso à rede zero trust em todas as instalações corporativas.

Quando migrar o 802.1X do Windows 11 para o RADIUS-as-a-Service

A maioria das falhas neste guia decorre de infraestruturas que precisam ser mantidas em sintonia com o Windows manualmente: um certificado de servidor NPS ou FreeRADIUS que expira, uma CA raiz ausente em novas compilações ou uma política PEAP-MSCHAPv2 que o Credential Guard não oferece mais suporte. Migrar a autenticação para a nuvem remove o servidor dessa equação.

O Purple RADIUS-as-a-Service autentica dispositivos Windows 11 com EAP-TLS, PEAP, EAP-TTLS ou EAP-FAST, verifica cada solicitação junto ao seu provedor de identidade e atribui a VLAN correta nos pontos de acesso que você já utiliza - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Ele substitui o Microsoft NPS, o FreeRADIUS e o Cisco ISE, e opera em múltiplas regiões, eliminando a necessidade de aplicar patches em servidores após atualizações de recursos.

Escolha a configuração correspondente ao seu diretório:

• RADIUS com Microsoft Intune - entregue certificados SCEP ou PKCS e o perfil de WiFi em um único conjunto de políticas.
• RADIUS com Microsoft Entra ID - 802.1X baseado em certificados para dispositivos exclusivamente na nuvem sem controlador de domínio.
• RADIUS com Okta ou Google Workspace - o mesmo modelo para diretórios não Microsoft.

Quer comparar as opções primeiro? Veja nossa comparação de provedores de RADIUS na nuvem e EAP-TLS vs PEAP.

Corrigindo o mesmo problema de 802.1X após cada atualização do Windows? Agende uma demonstração e mostraremos como migrar sua frota de Windows 11 para WiFi baseado em certificados no RADIUS na nuvem, utilizando seus pontos de acesso atuais.