Inkonsistente 802.1x-Authentifizierungsfehler und Probleme mit Credential Guard-Gruppenrichtlinienobjekten unter Windows 11 Enterprise

Question

Inkonsistente 802.1x-Authentifizierungsfehler und Probleme mit Credential Guard-Gruppenrichtlinienobjekten unter Windows 11 Enterprise

Glets Alpen 0

Hallo zusammen, ich habe Probleme mit einigen Windows 11 Enterprise-Rechnern, die ständig die Verbindung zu unserem 802.1x-WLAN verlieren. Ich habe bereits versucht, die Authentifizierungsfehler mithilfe der Credential Guard-Einstellungen per Gruppenrichtlinie zu beheben, aber das Verhalten ist völlig inkonsistent – die LSA-Flags in der Registrierung werden erst nach etwa drei Neustarts angezeigt. Selbst auf vollständig gepatchten Rechnern der Version 23h2 bricht die WLAN-Verbindung einfach ab und es werden ständig Anmeldeinformationen abgefragt, selbst nachdem ich die virtualisierungsbasierte Sicherheitsrichtlinie deaktiviert habe. Ich kann mir nicht erklären, ob die Gruppenrichtlinie auf bestimmten Hardwaremodellen einfach nicht richtig funktioniert. Hat jemand schon einmal dieses seltsame Verhalten beobachtet, dass die Registrierungsschlüssel nach einem Versionsupdate nur in der Hälfte der Fälle angezeigt werden?

0 Kommentare

1 Antwort

Ihre Antwort

Answer 1

Ja, dieses Verhalten tritt in bestimmten Windows 11 Enterprise Builds nach 23H2-Updates auf, wenn 802.1x-Authentifizierung inkonsistent mit LSA-Schutz und Credential Guard arbeitet. Die Registry-Flags unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa erscheinen oft erst nach mehreren Neustarts, da VBS erst nach Kernel-Initialisierung greift. WLAN-Abbrüche und wiederholte Anmeldeaufforderungen hängen meist mit dem Dienst WLAN AutoConfig zusammen, der zwischengespeicherte Anmeldeinformationen nicht korrekt wiederverwendet. Ein stabiler Ansatz ist die Aktualisierung der NIC-Treiber und die Verteilung des 802.1x-Profils per Gruppenrichtlinie mit aktivierter Cache-Option. Wenn Credential Guard genutzt wird, müssen Secure Boot und Virtualisierung im BIOS konsistent aktiviert sein. Best Practice ist die Verwendung von WPA2-Enterprise mit zertifikatsbasierter Authentifizierung statt PEAP. Bleibt das Problem trotz Zertifikaten und Treiber-Updates bestehen, handelt es sich um eine bekannte Regression, die nur durch ein Microsoft-Servicing-Fix behoben wird.

Harry.