疑難排解 Windows 11 802.1X 驗證問題

執行摘要

對於管理大規模部署的企業 IT 團隊，跨足 飯店業 、 零售業 和企業園區，Windows 11 的推出對 802.1X 無線驗證造成了顯著的中斷。核心問題源自 Windows 11 如何處理舊版認證儲存（透過認證防護）以及無線設定檔中受信任根憑證的移轉。當裝置升級時，預先存在的 PEAP-MSCHAPv2 或 EAP-TLS 組態通常無法驗證網路原則伺服器 (NPS) 憑證，導致 TLS 通道立即靜默中斷。

技術深入探討

802.1X 驗證架構依賴於請求者（Windows 11 端點）、驗證者（無線存取點）和驗證伺服器（通常是 RADIUS/NPS 伺服器）之間複雜的信任鏈。Windows 11 中的失敗機制主要涉及請求者無法驗證驗證者的身分。

憑證信任分解

在標準的 PEAP（受保護的可擴展驗證協定）部署中，伺服器向用戶端出示憑證以建立加密的 TLS 通道。用戶端必須驗證此憑證是否由受信任的根憑證授權單位 (CA) 發行。

在 Windows 11 升級期間，通常會出現兩個關鍵變更：

1. 設定檔移轉失敗： 無線設定檔中明確信任 RADIUS 伺服器根 CA 的特定設定經常被剝離或損壞。
2. 認證防護強制執行： Windows 11 在相容的硬體上預設啟用 Windows Defender 認證防護。此基於虛擬化的安全性會隔離 NTLM 密碼雜湊和 Kerberos Ticket Granting Tickets。雖然在緩解傳遞雜湊攻擊方面非常出色，但它可能會干擾舊版 MS-CHAPv2 認證傳遞到 802.1X 請求者的方式，即使在信任憑證時也會導致靜默驗證失敗。

記錄分析與錯誤碼

診斷問題需要檢查 Windows 事件檢視器中的 WLAN-AutoConfig 操作記錄。最常見的憑證信任失敗指標是：

• 錯誤 11： 網路停止回應。
• 錯誤 15： 憑證鏈由不受信任的授權單位發行。

這些錯誤確認在實際使用者或機器認證可以驗證之前，TLS 交握已失敗。

實作指南

解決 Windows 11 802.1X 問題需要對您的端點管理基準進行協調更新。以下步驟概述了透過 Active Directory 群組原則進行的必要補救措施。

步驟 1：驗證根 CA 部署

確保簽發您的 NPS 伺服器憑證的根 CA 憑證已部署到所有用戶端電腦的 受信任的根憑證授權單位 存放區。這通常透過 電腦設定 > 原則 > Windows 設定 > 安全性設定 > 公開金鑰原則 處理。

步驟 2：重新設定無線網路 (IEEE 802.11) 原則

關鍵的修復在於在無線設定檔中明確定義信任關係。

1. 開啟相關的 GPO，並前往 電腦設定 > 原則 > Windows 設定 > 安全性設定 > 無線網路 (IEEE 802.11) 原則。
2. 編輯您的企業 SSID 設定檔的內容。
3. 前往 安全性 索引標籤，然後為您選擇的網路驗證方法（例如 Microsoft: Protected EAP (PEAP)）選取 內容。
4. 在 PEAP 內容視窗中，勾選 透過驗證憑證來驗證伺服器的身分識別 方塊。
5. 至關重要的是，在 受信任的根憑證授權單位 清單中，您必須明確勾選簽發您 NPS 憑證的 CA 旁邊的方塊。
6. 確保勾選 啟用快速重新連線 以最佳化漫遊效能。

步驟 3：解決認證防護衝突

如果憑證信任已驗證，但 PEAP-MSCHAPv2 驗證仍失敗，則可能是認證防護干擾。長期的架構解決方案是完全脫離密碼型驗證。轉換到 EAP-TLS（針對機器和使用者的憑證型驗證）可完全繞過 MS-CHAPv2 認證儲存問題。如需現代化安全態勢的詳細指導，請參閱我們的指南 實作 WPA3-Enterprise 以增強無線安全性 。

最佳實務

在管理企業無線基礎架構時，尤其是在高密度環境中，例如 醫療保健 或大規模 運輸 中心，遵守廠商中立標準對於降低風險至關重要。

• 絕不停用憑證驗證： IT 團隊最常見且危險的因應措施是取消勾選「驗證伺服器的身分識別」方塊。這會使網路暴露於 Evil Twin 攻擊和認證收割，直接違反 PCI DSS 合規性。務必修復底層的信任鏈。
• 實作機器驗證： 僅依賴使用者認證表示裝置無法在使用者登入之前連接到網路，導致 GPO 更新和遠端管理中斷。實作機器驗證（使用 EAP-TLS）以確保裝置始終保持連線並可管理。
• 標準化 EAP-TLS： 密碼型 802.1X (PEAP) 對作業系統層級的安全性變更越來越脆弱。EAP-TLS 提供更強的安全性、無縫的使用者體驗（無需密碼提示），以及對認證防護衝突的免疫力。

疑難排解與風險降低

除了主要的憑證信任問題之外，網路架構師必須為 Windows 11 推出期間的次要失敗模式做好準備。

RADIUS 伺服器超載

當大量機器升級並且隨後驗證失敗時，它們將持續重試連線。這可能導致 RADIUS 風暴，壓垮 NPS 伺服器，並導致整個無線網路發生阻斷服務狀況。

緩解措施： 在無線區域網路控制器 (WLC) 上實作積極的 RADIUS 逾時和重試限制。錯開作業系統升級推出，以監控 NPS 伺服器的 CPU 和記憶體使用率。

Captive Portal 回退

對於絕對無法透過 GPO 補救的裝置（例如未受管理的 BYOD 或承包商裝置），請提供安全的回退機制。利用強大的 Guest WiFi 解決方案搭配 Captive Portal，可讓這些使用者獲得網際網路存取權，同時保持與內部公司網路的隔離。這可確保在 IT 團隊調查 802.1X 失敗時，生產力不會停擺。

ROI 與商業影響

解決 802.1X 驗證問題不僅是技術上的必要性，它也有直接的商業影響。

• 降低服務台成本： 主動的 GPO 修復可防止數百張第一線支援工單，顯著降低 IT 營運支出。
• 營運持續性： 在像是 零售業 的產業中，行動銷售點 (mPOS) 裝置依賴安全的 Wi-Fi，驗證失敗直接影響收益產生。
• 合規態勢： 維持嚴格的憑證驗證可確保持續符合法規架構，避免潛在的罰款和與資料外洩相關的聲譽損害。

透過解決 Windows 11 驗證失敗的根本原因並轉向穩健的 EAP-TLS 架構，IT 領導者可以確保其無線基礎架構仍然是一項安全、高效能的資產。