Solucionando Problemas de Autenticação 802.1X no Windows 11

[Introduction & Context] Olá e boas-vindas a este briefing técnico da Purple. Eu sou o seu anfitrião e hoje estamos abordando um problema específico e de alto impacto que tem causado dores de cabeça para as equipes de TI em todo o cenário corporativo: as atualizações do Windows 11 interrompendo a autenticação sem fio 802.1X. Se você gerencia uma rede corporativa — seja um campus hospitalar em expansão, uma operação de varejo com vários locais ou um grande espaço público — você depende do 802.1X para proteger sua infraestrutura sem fio. É o padrão ouro. Mas, recentemente, vimos um aumento nos chamados de suporte onde os dispositivos atualizam para o Windows 11 e, de repente, perdem a conexão com o Wi-Fi seguro. Hoje, vamos detalhar exatamente por que isso acontece, como diagnosticar rapidamente e as etapas que você precisa seguir para resolver isso e evitar que aconteça em futuras fases de implantação. Vamos lá. [Technical Deep-Dive] Então, o que realmente quebra quando uma máquina é atualizada para o Windows 11? Para entender a falha, precisamos olhar para o handshake de autenticação. A maioria das empresas usa PEAP-MSCHAPv2 ou EAP-TLS para suas redes 802.1X. Ambos dependem fortemente da confiança do certificado. Quando um cliente Windows tenta se conectar, o servidor RADIUS — frequentemente um Network Policy Server ou NPS — apresenta seu certificado. O cliente então verifica se confia na Autoridade Certificadora Raiz que emitiu o certificado do NPS. Aqui está o cerne do problema do Windows 11: durante alguns caminhos de atualização, ou devido a padrões de segurança mais rígidos no Windows 11, as vinculações de certificados raiz confiáveis para o perfil sem fio são removidas ou falham ao migrar corretamente. Além disso, o Windows 11 introduziu o Credential Guard ativado por padrão em hardware compatível, o que altera a forma como as credenciais NTLM e MS-CHAPv2 são armazenadas e acessadas, às vezes quebrando as configurações herdadas do PEAP. Quando o cliente não consegue validar o certificado do servidor, a conexão cai imediatamente. O usuário apenas vê "Não é possível conectar-se a esta rede", mas, nos bastidores, ocorre uma falha grave no estabelecimento do túnel TLS. [Implementation Recommendations & Pitfalls] Como corrigimos isso? A remediação imediata envolve o envio de um Group Policy Object, ou GPO, atualizado para seus endpoints. Primeiro, você deve garantir que o certificado da sua CA Raiz seja implantado explicitamente no repositório 'Autoridades de Certificação Raiz Confiáveis' em todas as máquinas clientes. Segundo, e esta é a etapa que muitos esquecem, você precisa atualizar suas Diretivas de Rede Sem Fio (IEEE 802.11) na GPO. Você deve selecionar explicitamente a CA raiz confiável nas propriedades PEAP ou EAP-TLS do perfil sem fio. Se essa caixa estiver desmarcada, o Windows 11 recusará a conexão. Um grande erro que vemos são as equipes de TI tentando contornar o problema desativando totalmente a validação do certificado do servidor. Não faça isso. Desativar a validação de certificados abre sua rede para ataques de Evil Twin e roubo de credenciais. Isso viola os requisitos de conformidade do PCI DSS e da GDPR. Sempre corrija a cadeia de confiança; nunca a ignore. Para uma correção de longo prazo, especialmente se você estiver gerenciando uma implantação em grande escala, como no [Varejo](/industries/retail) ou na [Hotelaria](/industries/hospitality), considere abandonar completamente o PEAP baseado em senha. A transição para o EAP-TLS com certificados de máquina e de usuário é muito mais robusta contra essas alterações de credenciais no nível do SO. Você pode ler mais sobre isso em nosso guia sobre [Como Implantar WPA3-Enterprise para Segurança Sem Fio Avançada](/guides/implementing-wpa3-enterprise-for-enhanced-wireless-security). [Rapid-Fire Q&A] Vamos passar por algumas perguntas rápidas que recebemos de arquitetos de rede. Pergunta 1: "Usamos uma CA pública para nosso servidor RADIUS. Ainda precisamos implantá-la via GPO?" Resposta: Sim. Mesmo que a CA esteja no repositório de raiz confiável do Windows por padrão, o perfil sem fio específico deve ser configurado para confiar nessa CA específica para autenticação de rede. Pergunta 2: "Podemos usar a plataforma da Purple para contornar isso?" Resposta: A Purple se destaca em [WiFi para Convidados](/guest-wifi) e integração via Captive Portals. Para seus SSIDs corporativos internos que usam 802.1X, você deve resolver a confiança do certificado subjacente no endpoint. No entanto, para acesso de BYOD ou prestadores de serviços, direcioná-los através de um Captive Portal da Purple com OpenRoaming pode ser uma alternativa altamente eficaz ao gerenciamento de certificados locais. [Summary & Next Steps] Para resumir: as atualizações do Windows 11 estão quebrando o 802.1X devido a falhas na migração de confiança de certificados e à imposição do Credential Guard. Seu plano de ação: verifique os logs do WLAN-AutoConfig no Visualizador de Eventos para o Erro 11 ou 15. Atualize suas GPOs de rede sem fio para confiar explicitamente na CA Raiz do seu servidor RADIUS. E planeje uma migração para o EAP-TLS para obter estabilidade permanente. Obrigado por participar deste briefing técnico. Para mais análises aprofundadas sobre redes corporativas, confira nossos recursos em Purple.ai.