Falha de Autenticação 802.1X (EAP-TLS) após atualização - Erro 0x80070285 / Motivo EAP 0x285 em Wi-Fi Enterprise

Bem-vindo ao Microsoft Q&A!

Obrigado por fornecer as informações detalhadas do evento.

A mensagem “Falha de EAP explícito recebida” com o erro 0x80070285 / motivo EAP 0x285 confirma que o processo de autenticação EAP-TLS está falhando, mas, infelizmente, esse erro por si só não identifica a causa raiz exata. Isso pode ocorrer devido a problemas na seleção ou validação do certificado, uma incompatibilidade no perfil EAP ou uma falha de autenticação relatada pelo servidor RADIUS/NPS.

Como todos os dispositivos afetados começaram a apresentar o problema após a mesma atualização, recomendo verificar todo o caminho de autenticação EAP-TLS, em vez de focar apenas no adaptador de rede sem fio Intel.

1. Verifique o motivo da rejeição no RADIUS ou NPS

Primeiro, analise os logs do RADIUS em busca de uma tentativa de autenticação que tenha ocorrido no mesmo horário da falha do WLAN-AutoConfig.

Se você estiver usando o Microsoft NPS, verifique o log de Segurança para:

• ID do Evento 6273: Autenticação rejeitada
• ID do Evento 6272: Autenticação aceita

O código e a descrição do motivo no ID do Evento 6273 geralmente podem fornecer informações mais úteis do que o erro 0x285 exibido no cliente Windows.

Se a solicitação de autenticação nunca chegar ao servidor RADIUS, isso também pode ajudar a restringir o problema ao cliente, à infraestrutura sem fio ou ao perfil WLAN.

2. Valide o certificado do computador

A identidade host/EB204002544.ebas.local sugere que o Windows está tentando realizar a autenticação do computador.

Em um dos dispositivos afetados, verifique se o certificado do computador:

• Existe em Computador Local > Pessoal > Certificados
• Tem uma chave privada associada
• Não expirou e ainda é válido
• Contém o uso avançado de chave Autenticação de Cliente
• Encadeia com êxito até uma autoridade de certificação raiz confiável
• Tem um Assunto ou SAN que atende à sua política do RADIUS
• Consegue concluir com êxito a verificação de revogação do certificado

Também vale a pena verificar se a atualização, a renovação do certificado ou a implantação da política resultou na disponibilidade de vários certificados qualificados. Nessa situação, o Windows pode estar selecionando um certificado diferente daquele que selecionava anteriormente.

3. Analise o log do CAPI2

Você pode habilitar:

Logs de Aplicativos e Serviços > Microsoft > Windows > CAPI2 > Operacional

Em seguida, reproduza a falha de autenticação Wi-Fi e analise os eventos gerados no mesmo horário.

O log do CAPI2 pode ajudar a identificar problemas de cadeia de certificados, confiança, assinatura e revogação que podem não estar visíveis no WLAN-AutoConfig.

4. Verifique o perfil WLAN EAP-TLS

Se possível, compare o perfil WLAN em um dispositivo afetado com um perfil que esteja funcionando ou com um perfil exportado antes da atualização.

Em particular, verifique:

• O método de autenticação EAP
• Autenticação do computador versus autenticação do usuário
• Seleção da autoridade de certificação raiz confiável
• Validação do nome do servidor RADIUS
• Filtros de seleção de certificado
• Se o perfil é implantado por meio de Política de Grupo, MDM ou outra solução de gerenciamento

Se o perfil for gerenciado centralmente, eu também confirmaria se ele foi aplicado corretamente após a atualização e se não há nenhum perfil WLAN antigo ou duplicado restante no cliente.

5. Verifique o certificado do RADIUS e a compatibilidade com TLS

Confirme também se o certificado do servidor RADIUS é válido, se é confiável para os clientes Windows e se inclui a finalidade obrigatória de Autenticação de Servidor. O nome do servidor RADIUS configurado no perfil WLAN deve corresponder ao certificado apresentado pelo servidor.

Como o comportamento começou após uma atualização, também vale a pena verificar se a plataforma RADIUS e sua configuração TLS são compatíveis com as versões de TLS e os conjuntos de criptografia usados pelos clientes Windows atualizados.

Eu evitaria alterar ou fazer downgrade do TLS por meio do Registro como uma etapa inicial de solução de problemas. Isso pode reduzir a segurança e causar problemas adicionais de autenticação se o cliente e o servidor deixarem de ter uma configuração TLS em comum. Se um problema de compatibilidade do RADIUS for confirmado, atualizar a plataforma RADIUS ou aplicar a correção recomendada pelo fornecedor seria a abordagem preferida.

6. Confirme se a atualização do Windows é o gatilho

Antes de tratar isso como uma regressão do Windows, eu testaria um dispositivo afetado:

• Conectando-o a outro SSID de teste EAP-TLS ou política RADIUS, se disponível
• Testando com outra versão compatível do driver sem fio
• Comparando o comportamento antes e depois da remoção da atualização específica do Windows, se a política de controle de alterações da sua organização permitir
• Registrando a edição/build exata do Windows, o número da KB e a versão do driver Intel AX211

Se o mesmo comportamento também puder ser reproduzido em uma instalação limpa do Windows, sem nenhuma Política de Grupo, MDM ou outras políticas WLAN relevantes aplicadas, usando um certificado e uma configuração EAP-TLS reconhecidamente válidos, isso ajudaria a descartar políticas e configurações específicas do dispositivo como fatores contribuintes.

Nesse caso, recomendo enviar o problema por meio do Hub de Comentários, na categoria mais apropriada de Rede/Wi-Fi, incluindo as etapas de reprodução, a build e a KB do Windows afetadas, a versão do driver e os logs relevantes. Para um ambiente crítico para os negócios ou se for necessária uma análise adicional da causa raiz, considere abrir um caso de suporte com o Suporte da Microsoft para que os rastreamentos coletados possam ser analisados com mais detalhes.

Com base nas informações disponíveis no momento, eu me concentraria primeiro na seleção/validação do certificado, no perfil WLAN EAP-TLS e no motivo da rejeição no lado do RADIUS. O erro 0x285 por si só não é suficiente para confirmar que o adaptador Intel AX211 ou uma atualização específica do Windows seja a causa raiz.

Referências:

Solução de problemas de autenticação 802.1X - Windows Client | Microsoft Learn

Requisitos de certificado ao usar EAP-TLS - Windows Server | Microsoft Learn

Orientação para solucionar problemas de tecnologia sem fio - Windows Server | Microsoft Learn

Coleta de dados para solucionar problemas de autenticação 802.1X - Windows Client | Microsoft Learn

Espero que isso ajude a esclarecer o comportamento e forneça um caminho claro para seguir em frente.

Se você achar esta resposta útil, clique em Aceitar Resposta.

Obrigado por escolher o Microsoft Q&A.

Observação: Esta resposta foi traduzida usando uma ferramenta de tradução. Observe que pode haver erros gramaticais ou semânticos. Obrigado pela compreensão.