Resolução de Problemas de Autenticação 802.1X no Windows 11

[Introduction & Context] Olá e bem-vindos a este briefing técnico da Purple. Sou o vosso anfitrião e hoje vamos abordar um problema específico e de grande impacto que tem causado dores de cabeça às equipas de TI em todo o panorama empresarial: as atualizações do Windows 11 que perturbam a autenticação sem fios 802.1X. Se gere uma rede corporativa—seja um campus hospitalar em expansão, uma operação de retalho multilocalização ou um grande espaço público—depende do 802.1X para proteger a sua infraestrutura sem fios. É o padrão de excelência. Mas, recentemente, registámos um pico de pedidos de suporte onde os dispositivos atualizam para o Windows 11 e, de repente, perdem a ligação ao Wi-Fi seguro. Hoje, vamos detalhar exatamente por que razão isto acontece, como diagnosticar o problema rapidamente e os passos que precisa de dar para o resolver e evitar que aconteça em futuras fases de implementação. Vamos a isso. [Technical Deep-Dive] Então, o que é que realmente falha quando uma máquina atualiza para o Windows 11? Para compreender a falha, temos de olhar para o handshake de autenticação. A maioria das empresas utiliza PEAP-MSCHAPv2 ou EAP-TLS nas suas redes 802.1X. Ambos dependem fortemente da confiança de certificados. Quando um cliente Windows tenta ligar-se, o servidor RADIUS—frequentemente um Network Policy Server ou NPS—apresenta o seu certificado. O cliente verifica então se confia na Autoridade de Certificação Raiz (Root CA) que emitiu o certificado do NPS. Aqui está o cerne do problema do Windows 11: durante alguns caminhos de atualização, ou devido a predefinições de segurança mais rigorosas no Windows 11, as associações de certificados raiz fidedignos para o perfil sem fios são removidas ou não são migradas corretamente. Além disso, o Windows 11 introduziu o Credential Guard ativado por padrão em hardware compatível, o que altera a forma como as credenciais NTLM e MS-CHAPv2 são armazenadas e acedidas, quebrando por vezes as configurações PEAP legadas. Quando o cliente não consegue validar o certificado do servidor, a ligação cai imediatamente. O utilizador apenas vê "Não é possível ligar a esta rede", mas, nos bastidores, trata-se de uma falha grave no estabelecimento do túnel TLS. [Implementation Recommendations & Pitfalls] Como corrigimos isto? A resolução imediata envolve a implementação de um Group Policy Object, ou GPO, atualizado nos seus endpoints. Primeiro, deve garantir que o certificado da sua Root CA é explicitamente implementado no arquivo de 'Autoridades de Certificação Raiz Fidedignas' em todas as máquinas clientes. Segundo, e este é o passo que muitos esquecem, precisa de atualizar as suas Políticas de Rede Sem Fios (IEEE 802.11) no GPO. Deve selecionar explicitamente a Root CA fidedigna nas propriedades PEAP ou EAP-TLS do perfil sem fios. Se essa caixa estiver desmarcada, o Windows 11 recusará a ligação. Um grande erro que vemos é as equipas de TI tentarem contornar o problema desativando totalmente a validação de certificados do servidor. Não faça isso. Desativar a validação de certificados expõe a sua rede a ataques Evil Twin e à recolha de credenciais. Viola os requisitos de conformidade do PCI DSS e do GDPR. Corrija sempre a cadeia de confiança; nunca a contorne. Para uma correção a longo prazo, especialmente se estiver a gerir uma implementação em grande escala como no [Retalho](/industries/retail) ou na [Hotelaria](/industries/hospitality), considere abandonar completamente o PEAP baseado em palavras-passe. A transição para o EAP-TLS com certificados de máquina e de utilizador é muito mais robusta contra estas alterações de credenciais ao nível do SO. Pode ler mais sobre isto no nosso guia sobre [Implementar WPA3-Enterprise para Segurança Sem Fios Avançada](/guides/implementing-wpa3-enterprise-for-enhanced-wireless-security). [Rapid-Fire Q&A] Vamos passar por um par de perguntas rápidas que recebemos de arquitetos de rede. Pergunta 1: "Utilizamos uma CA pública para o nosso servidor RADIUS. Ainda precisamos de a enviar via GPO?" Resposta: Sim. Mesmo que a CA esteja no arquivo de raiz fidedigna do Windows por predefinição, o perfil sem fios específico deve ser configurado para confiar nessa CA específica para autenticação de rede. Pergunta 2: "Podemos utilizar a plataforma da Purple para contornar isto?" Resposta: A Purple destaca-se em [Guest WiFi](/guest-wifi) e na integração através de Captive Portals. Para os seus SSIDs corporativos internos que utilizam 802.1X, deve resolver a confiança do certificado subjacente no endpoint. No entanto, para acesso de BYOD ou prestadores de serviços, encaminhá-los através de um Captive Portal da Purple com OpenRoaming pode ser uma alternativa altamente eficaz à gestão de certificados locais. [Summary & Next Steps] Para resumir: as atualizações do Windows 11 estão a quebrar o 802.1X devido a falhas na migração da confiança de certificados e à aplicação do Credential Guard. O seu plano de ação: verifique os registos do WLAN-AutoConfig no Visualizador de Eventos para o Erro 11 ou 15. Atualize os seus GPOs de rede sem fios para confiar explicitamente na Root CA do seu servidor RADIUS. E planeie uma migração para EAP-TLS para uma estabilidade permanente. Obrigado por se juntarem a este briefing técnico. Para mais análises aprofundadas sobre redes empresariais, consulte os nossos recursos em Purple.ai.