Resolução de problemas de autenticação 802.1X no Windows 11: guia de IT empresarial

Resposta rápida: a maioria das falhas de 802.1X no Windows 11 após uma atualização deriva de uma de quatro causas - o certificado do servidor RADIUS já não valida (Event ID 12013), o Credential Guard a bloquear o single sign-on PEAP-MSCHAPv2, um certificado de cliente em falta ou expirado para EAP-TLS, ou o serviço Wired AutoConfig (dot3svc) que não está em execução na Ethernet. Leia primeiro o registo operacional do WLAN-AutoConfig ou Wired-AutoConfig, corresponda o ID do evento nas tabelas abaixo e, em seguida, corrija o perfil centralmente através de Política de Grupo ou Intune em vez de o fazer portátil a portátil.

A implementação e manutenção da autenticação de rede 802.1X em ambientes empresariais exige uma interoperabilidade perfeita entre os sistemas operativos dos clientes, pontos de acesso, infraestrutura de switches e servidores de autenticação RADIUS. Após as atualizações de funcionalidades do Windows 11, os departamentos de TI das empresas registam frequentemente picos repentinos de falhas de autenticação, tanto em redes WiFi sem fios como em redes Ethernet com fios.

Este guia técnico fornece uma estrutura de diagnóstico passo a passo para identificar as causas raiz, resolver quebras de confiança no RADIUS, remediar conflitos do Credential Guard e estabelecer um controlo de acesso à rede 802.1X fiável para pontos de extremidade geridos do Windows 11.

Compreender as alterações arquitetónicas do 802.1X no Windows 11

O Windows 11 introduz controlos de segurança melhorados que alteram a forma como o sistema operativo gere a negociação do Extensible Authentication Protocol (EAP), a validação de certificados e a colocação de credenciais em cache. Embora estes reforços de segurança protejam os dispositivos corporativos contra o roubo de identidade, eles expõem fragilidades de configuração latentes em Objetos de Política de Grupo (GPO) e cargas úteis de Gestão de Dispositivos Móveis (MDM) existentes.

Principais causas de falhas de autenticação 802.1X no Windows 11

Quando um dispositivo Windows 11 falha a autenticação numa rede empresarial 802.1X, o problema resulta normalmente de um de quatro vetores de falha principais:

1. Quebra na validação do certificado do servidor RADIUS

Durante o handshake 802.1X EAP-TLS ou PEAP, o servidor RADIUS apresenta o seu certificado digital X.509 para provar a sua identidade ao cliente. O Windows 11 valida três critérios antes de prosseguir:

• Cadeia de confiança: O certificado da AC Raiz emissora deve residir no repositório Autoridades de Certificação Raiz Confiáveis do Computador Local do dispositivo final.
• Subject Alternative Name (SAN): O hostname ou FQDN do servidor RADIUS deve corresponder ao nome do servidor especificado na configuração XML do perfil 802.1X do cliente.
• Validade e revogação: O certificado não deve estar expirado e deve passar nas verificações da Lista de Certificados Revogados (CRL) ou OCSP.

Se algum critério falhar, o Windows 11 termina imediatamente a sessão EAP para evitar a ligação a potenciais pontos de acesso maliciosos.

2. O Credential Guard entra em conflito com o PEAP-MSCHAPv2

O Credential Guard utiliza a Segurança Baseada em Virtualização (VBS) para isolar segredos armazenados na memória. As configurações 802.1X legadas que dependem de PEAP-MSCHAPv2 tentam extrair hashes de início de sessão do utilizador para autenticar automaticamente no Active Directory. O Credential Guard bloqueia este acesso à memória, resultando em ciclos repetidos de solicitação de credenciais ou na rejeição explícita do RADIUS.

3. Certificados de cliente ausentes ou expirados (EAP-TLS)

Em ambientes zero-trust que utilizam EAP-TLS, cada dispositivo ou utilizador apresenta um certificado individual emitido por uma Autoridade de Certificação interna (como o Microsoft ADCS). As falhas de ligação ocorrem quando os perfis de certificado Intune SCEP ou PKCS não sincronizam, os certificados de cliente expiram ou os atributos de Utilização Avançada da Chave (EKU) da Chave Privada não contêm Autenticação do Cliente (1.3.6.1.5.5.7.3.2).

4. Estado do serviço Wired AutoConfig (dot3svc)

Para ambientes Ethernet 802.1X com fios, as instalações do Windows 11 para desktop não ativam o serviço dot3svc de base. Como resultado, as placas de rede (NICs) permanecem sem resposta às tramas EAPOL Start transmitidas pelas portas do switch gerido, deixando o dispositivo sem acesso à rede ou com um endereço IP APIPA atribuído (169.254.x.x).

Fluxo de trabalho de diagnóstico passo a passo para administradores de TI

Para resolver metodicamente as falhas de autenticação em dispositivos geridos, siga esta sequência de diagnóstico:

Fase 1: Analisar os registos do Visualizador de Eventos do Windows

O Windows regista todos os eventos de rede 802.1X em registos operacionais especializados do Visualizador de Eventos:

• 802.1X sem fios: Navegue para Registos de Aplicações e Serviços > Microsoft > Windows > WLAN-AutoConfig > Operacional
• 802.1X com fios: Navegue para Registos de Aplicações e Serviços > Microsoft > Windows > Wired-AutoConfig > Operacional

Fase 2: Executar diagnósticos na linha de comandos com netsh

Abra uma sessão da Linha de Comandos ou do PowerShell com privilégios elevados no ponto de extremidade afetado para inspecionar os estados de rede ativos e exportar perfis de configuração:

# Verificar o estado da interface sem fios ativa e a qualidade do sinal
netsh wlan show interfaces

# Listar todos os perfis sem fios 802.1X instalados
netsh wlan show profiles

# Exportar um perfil sem fios para XML para inspeção
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# Inspecionar o estado ativo de Ethernet com fios 802.1X
netsh lan show state

# Verificar a instalação do repositório de certificados Root CA local
certutil -store Root "Your-Internal-Root-CA"

Fase 3: Verificar se o pedido chegou ao servidor RADIUS

Os registos do Windows apenas mostram o que o cliente detetou. Antes de alterar qualquer perfil, confirme qual dos lados falhou:

• Nenhum pedido nos registos do RADIUS: o dispositivo nem sequer chegou ao servidor. Verifique a configuração do RADIUS no access point ou switch, o segredo partilhado e a acessibilidade do IP, e se o dot3svc ou o WLAN AutoConfig está em execução no cliente.
• Access-Reject registado: o servidor recebeu o pedido e recusou-o. No Microsoft NPS, filtre o registo de Segurança pelo Event ID 6273 e leia o código do motivo.
• Access-Accept registado mas o dispositivo continua sem rede: a autenticação funcionou. Em alternativa, analise a atribuição de VLAN, o escopo DHCP e a configuração da porta do switch.

Restaurar um perfil 802.1X com fios que desapareceu após uma atualização

Se o separador Autenticação estiver vazio após uma atualização de funcionalidades, importe novamente o perfil a partir de um dispositivo a funcionar corretamente:

# Num dispositivo a funcionar: exportar o perfil com fios
netsh lan export profile folder="C:\temp" interface="Ethernet"

# No dispositivo afetado: certifique-se de que o Wired AutoConfig está em execução
Set-Service -Name dot3svc -StartupType Automatic
Start-Service dot3svc

# Import the exported profile
netsh lan add profile filename="C:\temp\Ethernet.xml" interface="Ethernet"

Isto faz com que um portátil funcione. Para evitar que volte a acontecer, envie o mesmo perfil através de Group Policy ou Intune conforme descrito abaixo, para que cada atualização o volte a aplicar.

Estratégias de resolução: GPO e Microsoft Intune

Assim que o mecanismo de falha for identificado, implemente atualizações de políticas a nível empresarial para padronizar a configuração dos pontos finais em todos os dispositivos Windows 11.

Resolução por Group Policy do Active Directory (GPO)

Para pontos finais associados ao domínio, configure Políticas de Rede Com Fios e Sem Fios centralizadas:

1. Abra a Consola de Gestão de Group Policy (gpmc.msc) e edite a sua política de ponto final de base.
2. Navegue para Configuração do Computador > Políticas > Configurações do Windows > Configurações de Segurança > Serviços do Sistema. Localize Wired AutoConfig, defina o Modo de Arranque para Automático e inicie o serviço.
3. Navegue para Políticas de Chave Pública > Autoridades de Certificação de Raiz Confiáveis. Importe o certificado da CA de Raiz emissora para o seu servidor RADIUS.
4. Navegue para Políticas de Rede Sem Fios (IEEE 802.11), abra o seu perfil empresarial, selecione o separador Segurança e defina a Autenticação para Microsoft: Cartão inteligente ou outro certificado (para EAP-TLS) ou PEAP.
5. Clique em Propriedades e selecione explicitamente a sua CA de Raiz na lista Autoridades de Certificação de Raiz Confiáveis, especificando os FQDNs do seu servidor RADIUS no campo Ligar a estes servidores.

Implantação de perfil MDM no Microsoft Intune

Para pontos finais geridos na nuvem ou híbridos no Intune:

1. Crie um Perfil de Certificado Confiavel contendo a carga útil do certificado da CA de Raiz empresarial e atribua-o a Todos os Dispositivos.
2. Crie um Perfil de Certificado PKCS ou SCEP secundário para emitir certificados de cliente exclusivos para dispositivos ou utilizadores para EAP-TLS.
3. Crie um Perfil de Configuração WiFi com EAP-TLS especificado como o tipo de EAP, referenciando tanto o perfil de Certificado Confiavel como os perfis SCEP/PKCS.
4. Garanta que a ordem de avaliação da política permite que a carga útil do Certificado Confiavel seja instalada antes da aplicação do perfil WiFi.

Arquitetura de segurança a longo prazo: Migração para EAP-TLS e Passpoint

Embora o PEAP-MSCHAPv2 possa ser corrigido, os protocolos 802.1X baseados em palavra-passe permanecem inerentemente vulneráveis à recolha de credenciais, ataques de dicionário offline e falsificação de APs não autorizados. As diretrizes de segurança do setor do NIST e da Wi-Fi Alliance exigem a migração das redes empresariais para autenticação por certificado EAP-TLS ou Passpoint (Hotspot 2.0).

Saiba mais sobre a implementação de arquiteturas de segurança topo a topo no nosso Guia de Segurança WiFi Empresarial completo. Para comparações detalhadas de protocolos, analise a nossa análise sobre Comparação de Métodos EAP (PEAP, EAP-TLS, EAP-TTLS e EAP-FAST) ou explore o envio automatizado de certificados no nosso guia sobre Implantação de Certificados WiFi via Microsoft Intune.

Ao combinar 802.1X baseado em certificados com a gestão automatizada de RADIUS na nuvem, as equipas de TI empresariais eliminam as solicitações de palavra-passe, simplificam a integração de pontos finais com Windows 11 e alcançam um controlo de acesso à rede zero-trust em todas as instalações corporativas.

Quando migrar o 802.1X do Windows 11 para o RADIUS-as-a-Service

A maioria das falhas neste guia tem origem em infraestruturas que precisam de ser mantidas em sintonia com o Windows de forma manual: um certificado de servidor NPS ou FreeRADIUS que expira, uma AC raiz que falta nas novas versões ou uma política PEAP-MSCHAPv2 que o Credential Guard já não suporta. Mover a autenticação para a nuvem remove o servidor dessa lista.

O Purple RADIUS-as-a-Service autentica dispositivos Windows 11 com EAP-TLS, PEAP, EAP-TTLS ou EAP-FAST, verifica cada pedido com o seu fornecedor de identidade e atribui a VLAN correta nos pontos de acesso que já utiliza - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Substitui o Microsoft NPS, o FreeRADIUS e o Cisco ISE, e funciona em várias regiões, pelo que não há servidores para atualizar após uma atualização de funcionalidades.

Escolha a configuração que corresponde ao seu diretório:

• RADIUS com Microsoft Intune - forneça certificados SCEP ou PKCS e o perfil de WiFi num único conjunto de políticas.
• RADIUS com Microsoft Entra ID - 802.1X baseado em certificados para dispositivos exclusivamente na nuvem, sem controlador de domínio.
• RADIUS com Okta ou Google Workspace - o mesmo modelo para diretórios que não sejam da Microsoft.

Esta a comparar opções primeiro? Veja a nossa comparação de fornecedores de RADIUS na nuvem e EAP-TLS vs PEAP.

A corrigir o mesmo problema de 802.1X após cada atualização do Windows? Agende uma demonstração e iremos guiá-lo na migração da sua frota de Windows 11 para WiFi baseado em certificados em RADIUS na nuvem, utilizando os seus pontos de acesso existentes.