Windows 11 802.1X 驗證問題排除：企業 IT 指南

**快速解答：**升級後大部分 Windows 11 802.1X 失敗原因主要有以下四種：RADIUS 伺服器憑證無法再進行驗證（事件 ID 12013）、Credential Guard 阻擋了 PEAP-MSCHAPv2 單一登入、EAP-TLS 遺失或憑證已過期，或是乙太網路上的 Wired AutoConfig 服務 (dot3svc) 未執行。請先閱讀 WLAN-AutoConfig 或 Wired-AutoConfig 的運作記錄，與下方表格中的事件 ID 進行比對，然後透過群組原則或 Intune 集中修復設定檔，而不是逐台筆記型電腦進行處理。

在企業環境中部署與維護 802.1X 網路驗證 需要用戶端作業系統、存取點 (AP)、交換器基礎設施和 RADIUS 驗證伺服器之間具備無縫的互通性。在 Windows 11 進行功能更新後，企業 IT 部門經常遇到無線 WiFi 與有線乙太網路的驗證失敗次數突然暴增的情況。

本技術指南提供按部就班的診斷架構，用來識別根本原因、解決 RADIUS 信任破裂問題、修復 Credential Guard 衝突，並為受管理的 Windows 11 端點建立可靠的 802.1X 網路存取控制。

瞭解 Windows 11 802.1X 架構變更

Windows 11 引入了增強型安全性控制，改變了作業系統處理可延伸驗證協定 (EAP) 協商、憑證驗證與憑證快取的方式。雖然這些安全性強化措施保護了企業裝置免受身分盜用，但它們也暴露了現有群組原則物件 (GPO) 和行動裝置管理 (MDM) 負載中潛在的設定缺陷。

Windows 11 802.1X 驗證失敗的主要原因

當 Windows 11 裝置無法在 802.1X 企業網路上進行驗證時，問題通常源自以下四種主要失敗向量之一：

1. RADIUS 伺服器憑證驗證失敗

在 802.1X EAP-TLS 或 PEAP 握手期間，RADIUS 伺服器會出示其 X.509 數位憑證，向用戶端證明其身分。Windows 11 會在繼續執行前驗證三項基準：

• 信任鏈： 發行的根 CA 憑證必須部位於終端的「本機電腦信任的根憑證授權單位」儲存區中。
• 主體別名 (SAN)： RADIUS 伺服器的主機名稱或 FQDN 必須與用戶端 802.1X 設定檔 XML 組態中指定的伺服器名稱相符。
• 到期與撤銷： 憑證必須未到期，且通過憑證撤銷清單 (CRL) 或 OCSP 檢查。

若有任何一項基準失敗，Windows 11 會立即終止 EAP 工作階段，以防止連線至潛在的偽冒存取點。

2. Credential Guard 與 PEAP-MSCHAPv2 發生衝突

Credential Guard 使用以虛擬化為基礎的安全防護 (VBS) 來隔離儲存在記憶體中的密碼資料。依賴 PEAP-MSCHAPv2 的舊版 802.1X 設定會嘗試擷取使用者登入雜湊，以針對 Active Directory 進行自動驗證。Credential Guard 會封鎖此記憶體存取，導致重複出現憑證提示視窗迴圈，或是遭受 RADIUS 明確拒絕。

3. 用戶端憑證遺失或到期 (EAP-TLS)

在使用 EAP-TLS 的零信任環境中，每台裝置或使用者都會出示由內部憑證授權單位（例如 Microsoft ADCS）發行的個別憑證。當 Intune SCEP 或 PKCS 憑證設定檔無法同步、用戶端憑證到期，或是私鑰增強型金鑰用法 (EKU) 屬性缺少「用戶端驗證 (1.3.6.1.5.5.7.3.2)」時，就會發生連線失敗。

4. 有線自動設定 (dot3svc) 服務狀態

對於有線乙太網路 802.1X 環境，Windows 11 桌上型電腦安裝預設不會啟用 dot3svc 服務。因此，網路介面卡 (NIC) 對於受控交換器連接埠所傳送的 EAPOL Start 畫格會保持無回應，導致裝置陷入無法存取網路或被指派 APIPA IP 位址 (169.254.x.x) 的困境。

IT 管理員循序漸進的診斷工作流程

若要系統化地排除受控終端上的驗證失敗問題，請遵循以下診斷順序：

第 1 階段：分析 Windows 事件檢視器記錄

Windows 會將所有 802.1X 網路事件記錄在專門的事件檢視器操作記錄下：

• 無線 802.1X： 前往 應用程式和服務記錄 > Microsoft > Windows > WLAN-AutoConfig > Operational
• 有線 802.1X： 前往 應用程式和服務記錄 > Microsoft > Windows > Wired-AutoConfig > Operational

階段 2：執行 netsh 命令列診斷

在受影響的端點上開啟以系統管理員身分執行的命令提示字元或 PowerShell 工作階段，以檢查作用中的網路狀態並匯出設定檔：

# 檢查作用中的無線介面狀態與訊號品質
netsh wlan show interfaces

# 列出所有已安裝的無線 802.1X 設定檔
netsh wlan show profiles

# 將無線設定檔匯出為 XML 以供檢查
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# 檢查作用中的有線乙太網路 802.1X 狀態
netsh lan show state

# 確認本機根 CA 憑證儲存區安裝狀態
certutil -store Root "Your-Internal-Root-CA"

階段 3：檢查請求是否到達 RADIUS 伺服器

Windows 記錄檔僅會顯示用戶端所看到的狀況。在變更任何設定檔之前，請先確認是哪一方失敗：

• RADIUS 記錄檔中完全沒有請求： 裝置根本沒有到達伺服器。請檢查無線基地台或交換器的 RADIUS 設定、共用金鑰與 IP 連線能力，並確認用戶端上的 dot3svc 或 WLAN AutoConfig 正在執行。
• 記錄 Access-Reject： 伺服器已收到請求但拒絕該請求。在 Microsoft NPS 上，請針對事件 ID 6273 篩選安全性記錄檔並讀取原因代碼。
• 記錄 Access-Accept 但裝置仍無法連網： 驗證已成功。請改為檢查 VLAN 指派、DHCP 範圍與交換器連接埠設定。

還原在升級後消失的有線 802.1X 設定檔

若功能更新後「驗證」索引標籤變為空白，請從運作正常的裝置重新匯入設定檔：

# 在運作正常的裝置上：匯出有線設定檔
netsh lan export profile folder="C:\temp" interface="Ethernet"

# 在受影響的裝置上：確保 Wired AutoConfig 正在執行
Set-Service -Name dot3svc -StartupType Automatic
Start-Service dot3svc

# Import the exported profile
netsh lan add profile filename="C:\temp\Ethernet.xml" interface="Ethernet"

這會讓一台筆記型電腦恢復正常運作。為了防止問題再次發生，請透過 Group Policy 或 Intune 推送相同的設定檔（如下所述），這樣每次升級都會重新套用它。

修復策略：GPO 與 Microsoft Intune

一旦確認故障機制，請部署企業級原則更新，以標準化所有 Windows 11 裝置的端點設定。

Active Directory 群組原則 (GPO) 修復

對於已加入網域的端點，請設定集中化的無線與有線網路原則：

1. 開啟群組原則管理主控台 (gpmc.msc) 並編輯您的基準端點原則。
2. 導覽至 電腦設定 > 原則 > Windows 設定 > 安全性設定 > 系統服務。找到 Wired AutoConfig，將啟動類型設定為 自動，並啟動該服務。
3. 導覽至 公鑰原則 > 信任的根憑證授權單位。匯入您 RADIUS 伺服器的簽發根 CA 憑證。
4. 導覽至 無線網路 (IEEE 802.11) 原則，開啟您的企業設定檔，選取 安全性 頁籤，並將驗證方式設定為 Microsoft: 智慧卡或其他憑證 (適用於 EAP-TLS) 或 PEAP。
5. 按一下 內容，在 信任的根憑證授權單位 列表中明確勾選您的根 CA，同時在 連線至這些伺服器 欄位中指定您的 RADIUS 伺服器 FQDN。

Microsoft Intune MDM 設定檔部署

對於 Intune 中的雲端管理或混合端點：

1. 建立包含您企業根 CA 憑證內容的 信任的憑證設定檔，並將其指派給 所有裝置。
2. 建立次要 PKCS 或 SCEP 憑證設定檔，以針對 EAP-TLS 向裝置或使用者核發唯一的用戶端憑證。
3. 建立 WiFi 設定檔，將 EAP-TLS 指定為 EAP 類型，並同時參照信任的憑證與 SCEP/PKCS 設定檔。
4. 確保原則評估順序允許信任的憑證內容在套用 WiFi 設定檔之前完成安裝。

長期安全性架構：轉移至 EAP-TLS 與 Passpoint

雖然 PEAP-MSCHAPv2 可以修補，但基於密碼的 802.1X 協定本質上仍然容易受到憑證收集、離線字典攻擊和流氓 AP 偽造的威脅。來自 NIST 和 Wi-Fi 聯盟的產業安全性指南強制要求將企業網路轉移至 EAP-TLS 憑證驗證 或 Passpoint (Hotspot 2.0)。

若要深入瞭解如何實作端對端安全性架構，請參閱我們完整的 企業 WiFi 安全性指南。如需詳細的協定比較，請檢視我們針對 EAP 方法比較 (PEAP, EAP-TLS, EAP-TTLS 與 EAP-FAST) 的分析，或在我們的指南中探索自動化憑證推播：透過 Microsoft Intune 部署 WiFi 憑證至裝置。

透過將基於憑證的 802.1X 與自動化雲端 RADIUS 管理相結合，企業 IT 團隊可以消除密碼提示、簡化 Windows 11 端點上線流程，並在所有企業設施中實現零信任網路存取控制。

何時該將 Windows 11 802.1X 轉移至 RADIUS-as-a-Service

本指南中的大多數失敗案例，都可以追溯至必須手動與 Windows 保持同步的基礎架構：過期的 NPS 或 FreeRADIUS 伺服器憑證、新建置中遺失的根 CA，或是 Credential Guard 不再支援的 PEAP-MSCHAPv2 策略。將驗證移至雲端，可從該清單中移除伺服器維護的需求。

Purple RADIUS-as-a-Service 使用 EAP-TLS、PEAP、EAP-TTLS 或 EAP-FAST 驗證 Windows 11 裝置，根據您的身分提供者檢查每個請求，並在您現有的無線存取點上指派正確的 VLAN - 包含 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。它可取代 Microsoft NPS、FreeRADIUS 和 Cisco ISE，並跨多個區域運作，因此功能更新後無需修補任何伺服器。

選擇符合您目錄的設定：

• RADIUS 搭配 Microsoft Intune - 在單一策略集中交付 SCEP 或 PKCS 憑證與 WiFi 設定檔。
• RADIUS 搭配 Microsoft Entra ID - 為沒有網域控制站的純雲端裝置提供基於憑證的 802.1X。
• RADIUS 搭配 Okta 或 Google Workspace - 為非 Microsoft 目錄提供相同的架構模式。

要先比較不同選項嗎？請參閱我們的 雲端 RADIUS 提供者比較 與 EAP-TLS vs PEAP。

每次 Windows 更新後都在修復相同的 802.1X 問題嗎？ 預約演示，我們將協助您利用現有的無線存取點，將 Windows 11 裝置群轉移至雲端 RADIUS 上的憑證式 WiFi。