排除 Windows 11 802.1X 驗證問題：企業 IT 指南

在企業環境中部署和維護 802.1X 網路驗證 需要用戶端作業系統、無線存取點、交換器基礎架構以及 RADIUS 驗證伺服器之間的無縫互通性。隨著 Windows 11 的功能更新，企業 IT 部門經常會遇到無線 WiFi 和有線乙太網路驗證失敗率突然激增的情況。

本技術指南提供了一個逐步診斷架構，用以識別根本原因、解決 RADIUS 信任破裂、修正 Credential Guard 衝突，並為受管理的 Windows 11 端點建立可靠的 802.1X 網路存取控制。

瞭解 Windows 11 的 802.1X 架構變更

Windows 11 引入了增強的安全控制，改變了作業系統處理可延伸驗證協定 (EAP) 協商、憑證驗證和認證快取的方式。雖然這些安全性強化措施可以保護公司裝置免受身分盜用，但它們也會暴露現有群組原則物件 (GPO) 和行動裝置管理 (MDM) 承載資料中潛在的設定弱點。

Windows 11 802.1X 驗證失敗的主要原因

當 Windows 11 裝置在 802.1X 企業網路上驗證失敗時，問題通常源自於以下四個主要失敗向量之一：

1. RADIUS 伺服器憑證驗證中斷

在 802.1X EAP-TLS 或 PEAP 握手期間，RADIUS 伺服器會展示其 X.509 數位憑證，向用戶端證明其身分。Windows 11 在繼續進行之前會驗證三個標準：

• 信任鏈： 簽發的根憑證授權單位 (Root CA) 憑證必須存在於端點的「本機電腦信任的根憑證授權單位」存放區中。
• 主體替代名稱 (SAN)： RADIUS 伺服器的主機名稱或 FQDN 必須與用戶端 802.1X 設定檔 XML 組態中指定的伺服器名稱相符。
• 過期與撤銷： 憑證必須未過期，且必須通過憑證撤銷清單 (CRL) 或 OCSP 檢查。

如果任何一項條件未通過，Windows 11 會立即終止 EAP 工作階段，以防止連線到潛在的惡意存取點。

2. Credential Guard 與 PEAP-MSCHAPv2 發生衝突

Credential Guard 使用虛擬化安全技術 (VBS) 來隔離儲存在記憶體中的秘密。依賴 PEAP-MSCHAPv2 的舊版 802.1X 設定會嘗試提取使用者登入雜湊值，以便自動對 Active Directory 進行驗證。Credential Guard 會封鎖此記憶體存取，進而導致重複出現憑證輸入提示的無窮迴圈，或是遭到 RADIUS 明確拒絕。

3. 用戶端憑證遺失或過期 (EAP-TLS)

在採用 EAP-TLS 的零信任環境中，每台裝置或每位使用者都必須出示由內部憑證授權單位 (例如 Microsoft ADCS) 發行的個人憑證。當 Intune SCEP 或 PKCS 憑證設定檔無法同步、用戶端憑證過期，或是私鑰擴充金鑰用途 (EKU) 屬性缺少 用戶端驗證 (1.3.6.1.5.5.7.3.2) 時，連線就會失敗。

4. 有線自動設定 (dot3svc) 服務狀態

針對有線乙太網路 802.1X 環境，Windows 11 桌上型電腦安裝預設並未啟用 dot3svc 服務。因此，網路介面卡 (NIC) 對於託管交換器連接埠傳送的 EAPOL Start 框架將無法做出回應，進而使裝置陷入無法連線網路或被指派 APIPA IP 位址 (169.254.x.x) 的窘境。

IT 管理員的逐步診斷工作流程

若要系統地排除託管終端裝置上的驗證失敗問題，請遵循此診斷順序：

階段 1：分析 Windows 事件檢視器記錄

Windows 會將所有 802.1X 網路事件記錄在專屬的事件檢視器執行記錄中：

• 無線 802.1X： 瀏覽至 Applications and Services Logs > Microsoft > Windows > WLAN-AutoConfig > Operational
• 有線 802.1X： 瀏覽至 Applications and Services Logs > Microsoft > Windows > Wired-AutoConfig > Operational

階段 2：執行 netsh 命令列診斷

在受影響的端點上開啟權限提升的命令提示字元或 PowerShell 工作階段，以檢查作用中的網路狀態並匯出設定設定檔：

# 檢查作用中的無線介面狀態與訊號品質
netsh wlan show interfaces

# 列出所有已安裝的無線 802.1X 設定檔
netsh wlan show profiles

# 匯出無線設定檔至 XML 以進行檢查
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# 檢查作用中的有線乙太網路 802.1X 狀態
netsh lan show state

# 驗證本地端根憑證授權單位 (Root CA) 憑證儲存庫安裝
certutil -store Root "Your-Internal-Root-CA"

補救策略：GPO 與 Microsoft Intune

確認失敗機制後，部署企業級的原則更新，以標準化所有 Windows 11 裝置上的端點設定。

Active Directory 幼群組原則 (GPO) 補救

對於已加入網域的端點，設定集中化的無線與有線網路原則：

1. 開啟群組原則管理主控台 (gpmc.msc) 並編輯您的基準端點原則。
2. 導覽至 電腦設定 > 原則 > Windows 設定 > 安全性設定 > 系統服務。找到 Wired AutoConfig，將啟動類型設為 自動，並啟動該服務。
3. 導覽至 公開金鑰原則 > 信任的根憑證授權單位。匯入您 RADIUS 伺服器的發行根憑證授權單位憑證。
4. 導覽至 無線網路 (IEEE 802.11) 原則，開啟您的企業設定檔，選取 安全性 索引標籤，並將驗證設定為 Microsoft: 智慧卡或其他憑證 (適用於 EAP-TLS) 或 PEAP。
5. 按一下 內容，在信任的根憑證授權單位清單中明確勾選您的根憑證授權單位，同時在連線到這些伺服器欄位中指定您的 RADIUS 伺服器 FQDN。

Microsoft Intune MDM 設定檔部署

對於 Intune 中的雲端管理或混合式端點：

1. 建立包含您企業根憑證授權單位憑證承載資料的信任的憑證設定檔，並將其指派給 所有裝置。
2. 建立次要的 PKCS 或 SCEP 憑證設定檔，以向裝置或使用者核發用於 EAP-TLS 的專屬用戶端憑證。
3. 建立 WiFi 設定設定檔，並將 EAP 類型指定為 EAP-TLS，同時參照信任的憑證與 SCEP/PKCS 設定檔。
4. 確保原則評估順序允許在套用 WiFi 設定檔之前先安裝信任的憑證承載資料。

長期安全架構：移轉至 EAP-TLS 與 Passpoint

雖然 PEAP-MSCHAPv2 可以透過修補程式修復，但基於密碼的 802.1X 協定在本質上仍容易受到憑證收割、離線字典攻擊和惡意 AP 冒充的威脅。來自 NIST 與 Wi-Fi 聯盟的業界安全性指引要求將企業網路移轉至 EAP-TLS 憑證驗證 或 Passpoint (Hotspot 2.0)。在我們的綜合 Enterprise WiFi Security Guide 中深入了解如何實作端到端安全架構。如需詳細的協定比較，請參閱我們針對 EAP Methods Compared (PEAP, EAP-TLS, EAP-TTLS, and EAP-FAST) 的分析，或在我們的 Deploying WiFi Certificates via Microsoft Intune 指南中探索自動化憑證推播。

透過將基於憑證的 802.1X 與自動化雲端 RADIUS 管理相結合，企業 IT 團隊可以免除密碼輸入提示、簡化 Windows 11 端點上線流程，並在所有企業設施中實現零信任網路存取控制。