> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/es/otro/troubleshooting.md).
# Solución de problemas
## Problemas de conexión
### Vista del cliente
#### XML incorrecto
{% hint style="warning" %}
No se puede conectar porque necesita un certificado para iniciar sesión. Contacte con su persona de soporte de TI.
{% endhint %}
Compruebe que su cliente tiene un certificado para autenticarse y que está usando el correcto [perfil de configuración de WiFi](/es/implementacion-de-perfiles/microsoft-intune/wifi-profile.md) o [XML](/es/portal-de-administracion/settings/trusted-roots.md#xml).
#### Problemas de raíz de confianza
{% hint style="warning" %}
No se puede conectar a esta red.
{% endhint %}
Compruebe que ha hecho lo siguiente:
* Indicado a su servidor RADIUS qué certificados tienen permitido conectarse como se describe [aquí](/es/portal-de-administracion/settings/trusted-roots.md#add)
* Importado el certificado activo del servidor RADIUS como raíz de confianza en su cliente como se describe [aquí](/es/implementacion-de-perfiles/microsoft-intune/trusted-root.md#to-add-a-trusted-root-profile-for-your-clients)
* Compruebe sus [Registros](/es/portal-de-administracion/insights/log.md#logs). Hay una descripción detallada del error. Quizás sea [este](/es/otro/troubleshooting.md#fatal-decrypt-error) problema.
#### ¿Continuar conectando?
{% hint style="warning" %}
¿Continuar conectando? \
Si espera encontrar WiFi corporativa en esta ubicación, continúe y conéctese. Si no, puede que sea otra red con el mismo nombre.
Mostrar detalles del certificado.
{% endhint %}
Si sus clientes necesitan verificar al conectarse por primera vez y ve este cuadro de diálogo:
Asegúrese de haber referenciado el certificado del servidor RADIUS en su perfil de WiFi y de haber proporcionado el atributo SAN del certificado del servidor (FQDN) y el nombre común (CN):
Mostrando el atributo SAN del certificado del servidor (FQDN) y el nombre común (CN)
### Vista del servidor
#### CA desconocida
Si sus [Registros](/es/portal-de-administracion/insights/log.md#logs) contienen mensajes de error similares a los que se muestran a continuación
```
ERROR: (14872) eap_tls: ERROR: SSL dice error 20: no se puede obtener el certificado del emisor local
ERROR: (14872) eap_tls: ERROR: escritura de alerta TLS:fatal:CA desconocida
Error: tls: TLS_accept: Error en error
Auth: (14872) Inicio de sesión incorrecto (eap_tls: SSL dice error 20: no se puede obtener el certificado del emisor local): [host/8dc38402-20fb-41db-a8f3-4e4e95637173/] (from client contoso port 1 cli 18-9K-EA-0H-7F-C5)
```
puede tener las siguientes causas raíz:
* El cliente genera un error `Alerta TLS de lectura:fatal:CA desconocida`
* Su cliente no conoce el **certificado del servidor** y rechaza la conexión. Compruebe que ha añadido su **certificado del servidor** como se describe [aquí](/es/implementacion-de-perfiles/microsoft-intune/trusted-root.md#adding-a-trusted-root-profile-for-your-clients).
* Ha cambiado/añadido un nuevo **certificado del servidor** y su perfil XML en el cliente está usando el antiguo. En ese caso, compruebe de nuevo que ha actualizado su perfil de WiFi/por cable o ha regenerado su [XML](/es/portal-de-administracion/settings/trusted-roots.md#xml) después de añadir los certificados y lo ha distribuido a sus clientes.
* El servidor genera un error `Alerta TLS de escritura:fatal:CA desconocida`
* Su servidor RADIUS no conoce el emisor del certificado que se usó para la autenticación. Añada su CA como se describe [aquí](/es/portal-de-administracion/settings/trusted-roots.md#add).
#### Certificado desconocido
Si usa macOS (y posiblemente otras plataformas Apple) y si sus [Registros](/es/portal-de-administracion/insights/log.md#logs) contienen mensajes de error similares al que se muestra a continuación
```
eap_tls: (TLS) TLS - Alerta de lectura:fatal:certificado desconocido
```
puede tener las siguientes causas raíz:
* Hay un carácter de espacio en algún lugar del **nombre del servidor del certificado** en su [WiFi](/es/implementacion-de-perfiles/microsoft-intune/wifi-profile/apple-devices.md) o [Por cable](/es/implementacion-de-perfiles/microsoft-intune/wired-profile/mac.md) perfil de configuración.
#### Error de descifrado | Acceso denegado
Si sus [Registros](/es/portal-de-administracion/insights/log.md#logs) contienen mensajes de error similares a los que se muestran a continuación
```
Auth: (312) Inicio de sesión incorrecto (eap_tls: Alerta TLS de escritura:fatal:error de descifrado): [host/00128t09-cbna-469c-9768-2783d28eikl9/] (from client contoso port 1 cli 84-FD-D1-8C-0E-33)
ERROR: (320) eap_tls: ERROR: Alerta TLS de escritura:fatal:error de descifrado
Error: tls: TLS_accept: Error en error
```
... entonces probablemente se trate de un error en el software TPM de sus equipos Windows. Puede encontrar más información en la [documentación de SCEPman](https://docs.scepman.com/certificate-deployment/microsoft-intune/windows-10#key-storage-provider-ksp-enroll-to-trusted-platform-module-tpm-ksp-otherwise-fail).
Si ve algo así en su [Registros](/es/portal-de-administracion/insights/log.md#logs)
```
ERROR: (95878) eap_tls: ERROR: (TLS) Alerta de lectura:fatal:acceso denegado
Auth: (95878) Inicio de sesión incorrecto (eap_tls: (TLS) Alerta de lectura:fatal:acceso denegado): [host/kad933-161d-4aa8-aeaa-b5a4d3d53b12]
ERROR: (95717) eap_tls: ERROR: (TLS) Alerta de lectura:fatal:acceso denegado
```
... puede haber dos razones. Una es que su perfil de WiFi hace referencia al certificado raíz incorrecto para la validación del servidor. Asegúrese de que su perfil esté configurado correctamente. Si lo está y sigue teniendo este problema, pruebe a establecer su KSP en [**KSP de software**](https://docs.scepman.com/certificate-deployment/microsoft-intune/windows-10#key-storage-provider-ksp-enroll-to-trusted-platform-module-tpm-ksp-otherwise-fail).
{% hint style="warning" %}
La configuración Key Storage Provider (KSP) determina la ubicación de almacenamiento de la clave privada de los certificados del usuario final. El almacenamiento en el TPM es más seguro que el almacenamiento por software, porque el TPM proporciona una capa adicional de seguridad para evitar el robo de claves. Sin embargo, hay **un error en algunas versiones antiguas del firmware de TPM** que invalida algunas firmas creadas con una clave privada respaldada por TPM. En tales casos, el certificado no puede usarse para la autenticación EAP, como es habitual en conexiones de Wi‑Fi y VPN. Las versiones de firmware de TPM afectadas incluyen:
* STMicroelectronics: 71.12, 73.4.17568.4452, 71.12.17568.4100
* Intel: 11.8.50.3399, 2.0.0.2060
* Infineon: 7.63.3353.0
* IFX: Versión 3.19 / Especificación 1.2
Si usa TPM con este firmware, actualice el firmware a una versión más reciente o seleccione "Software KSP" como proveedor de almacenamiento de claves.
{% endhint %}
#### No se puede continuar, ya que el par se está comportando incorrectamente
Si sus Registros contienen rechazos con el error *"No se puede continuar, ya que el par se está comportando incorrectamente"* esto indica que el cliente dejó de comunicarse con el servicio RADIUS, en su mayoría porque la configuración de confianza es incorrecta. En este caso, verifique los certificados en los dispositivos afectados.
#### Secreto compartido de RADIUS incorrecto
Si su (proxy) [Registros](/es/portal-de-administracion/insights/log.md#logs) contienen mensajes de error similares a los que se muestran a continuación
```
- autenticador de mensaje, valor incorrecto
- buf2radmsg: la autenticación del mensaje ha fallado
- radsrv: ignorando solicitud de default (8.222.246.231), la validación falló
```
entonces uno de sus puntos de acceso o conmutadores que intenta conectarse a su instancia de RADIUSaaS a través de un [Proxy RADIUS](/es/portal-de-administracion/settings/settings-proxy.md) está usando un [secreto compartido](/es/portal-de-administracion/settings/settings-server.md#properties-1).
Para identificar el punto de acceso o conmutador afectado, primero determine el proxy RADIUS expandiendo el mensaje de error y buscando la propiedad `proxyip` . Ahora que conoce el proxy, utilice su inventario y conocimiento de ubicaciones específicas o grupos de dispositivos que no pueden conectarse a su red para identificar el dispositivo de red mal configurado. Por último, actualice el secreto compartido para que coincida con el valor configurado en su instancia de RADIUSaaS para ese proxy.
### Solución de problemas de conexión con registros CAPI2
Los clientes Windows usan el **API criptográfica (CAPI2)** subsistema para gestionar operaciones de certificados durante la autenticación EAP-TLS. Cuando una conexión falla y ni la interfaz de usuario del cliente ni los registros del servidor RADIUSaaS ofrecen una indicación clara de la causa raíz, habilitar el registro CAPI2 en el dispositivo afectado puede revelar fallos de validación de certificados, errores de construcción de la cadena o problemas de acceso a la clave privada que, de otro modo, serían invisibles.
***
#### **Paso 1: habilitar el registro CAPI2**
El registro CAPI2 está deshabilitado de forma predeterminada. Para activarlo:
1. Abra **Visor de eventos**: pulse **Win + R**, escriba `eventvwr.exe`, y pulse **Enter**.
2. En el árbol de la izquierda, expanda **Registros de aplicaciones y servicios**.
3. Expanda **Microsoft → Windows → CAPI2**.
4. Haga clic con el botón derecho en **Operativo** y seleccione **Habilitar registro**.
Una vez habilitado, Windows empezará a registrar todos los eventos de CAPI2. Reproduzca el fallo de conexión. Ahora intente conectarse a la red Wi‑Fi o por cable y, a continuación, pase al siguiente paso.
> **Consejo:** Deshabilite de nuevo el registro después de recopilar los datos (**haga clic con el botón derecho en Operativo → Deshabilitar registro**) para evitar un uso innecesario del disco.
***
#### **Paso 2: localizar los eventos relevantes**
Después de reproducir el problema, busque eventos en las siguientes fuentes de registro:
| Origen del registro | Ruta en el Visor de eventos |
| ------------------------------------ | ----------------------------------------------------------------------------------------- |
| **CAPI2** | Registros de aplicaciones y servicios → Microsoft → Windows → CAPI2 → Operativo |
| **Configuración automática de WLAN** | Registros de aplicaciones y servicios → Microsoft → Windows → WLAN-AutoConfig → Operativo |
Céntrese en los eventos que se registraron **en el momento del intento de conexión fallido**. Los indicadores útiles incluyen:
* **CAPI2** — errores relacionados con la construcción de la cadena de certificados, comprobaciones de revocación o acceso a la clave privada (por ejemplo, IDs de evento 11, 70, 90).
* **Configuración automática de WLAN** — eventos que describen el resultado de la negociación 802.1X (por ejemplo, IDs de evento 8001, 8002, 12013).
***
#### **Paso 3: exportar y enviar los registros**
Para enviarnos los registros para su revisión:
1. En el Visor de eventos, haga clic con el botón derecho en el **Operativo** registro bajo **CAPI2** y seleccione **Guardar todos los eventos como…**
2. Guarde el archivo como un **Archivo de registro de eventos (\*.evtx)** y asígnele un nombre descriptivo, por ejemplo `CAPI2__.evtx`.
3. Repita los mismos pasos para el **WLAN-AutoConfig → Operativo** registro.
4. Envíe ambos `.evtx` archivos a nuestro equipo de soporte en junto con una breve descripción del dispositivo afectado, la versión del sistema operativo y cuándo se produce el problema.
## Problemas de certificado
### No se pudo verificar la cadena de certificados
Cuando quiera usar su propio certificado de servidor, su servidor RADIUS requiere la cadena completa de certificados para permitir que otros participantes (Proxy, clientes RadSec, puntos finales que intentan conectarse) verifiquen la identidad del servidor. \
Si ve este mensaje, copie y pegue el certificado de la CA debajo del certificado del servidor en el campo de texto o cree un paquete de certificados PCKS8 que incluya todos los certificados desde el intermedio hasta la raíz.
## Problemas del portal de administración
### Inicio de sesión
Para iniciar sesión en el portal web de RADIUSaaS ("RADIUSaas Admin Portal"), deben cumplirse los siguientes requisitos:
* La dirección UPN/correo electrónico que proporcionó como administrador técnico debe poder autenticarse contra **alguna** Microsoft Entra ID (Azure AD) (no tiene que ser una identidad del Tenant cuyos usuarios usarán RADIUSaaS para la autenticación de red).
* La dirección UPN/correo electrónico que proporcionó como administrador técnico debe haber sido registrada en su instancia de RADIUSaaS como se describe [aquí](/es/portal-de-administracion/acceso-y-reglas/permissions.md). En caso de que sea el administrador inicial, por favor [contáctenos](https://www.radius-as-a-service.com/help/) si cree que registramos al usuario incorrecto.
* El objeto de usuario de Microsoft Entra ID (Azure AD) asociado a la dirección UPN/correo electrónico debe tener autorización para conceder a la Aplicación empresarial de RADIUSaaS los siguientes permisos (vea la captura de pantalla abajo):
* **Leer** el perfil básico de usuario
* **Mantener** acceso a los datos a los que le ha concedido acceso (permitir solicitud de token de actualización)\
* En caso de que su usuario de Microsoft Entra ID (Azure AD) no tenga derechos para conceder los permisos requeridos, no se creará automáticamente ninguna **Aplicación empresarial** en su Microsoft Entra ID (Azure AD). Para evitar esto, pida a su departamento de TI que conceda a su usuario los permisos necesarios.
## Problemas de configuración de Intune
### Asignación de perfil
La configuración de Wi‑Fi no se implementa si los perfiles de Wi‑Fi, SCEP y certificado de confianza se asignan a grupos diferentes. Pueden aparecer como "Pending" o no mostrar ningún estado. Utilice el **mismo grupo o "Todos los dispositivos" o, respectivamente, "Todos los usuarios"** para **todos los perfiles vinculados**.
Puede asignar el perfil de certificado raíz SCEP tanto a "Todos los usuarios" como a "Todos los dispositivos" si utiliza un certificado de dispositivo (asignado a "Todos los dispositivos") y un certificado de usuario (asignado a "Todos los usuarios").
### Certificado SCEP
#### Android
Android parece requerir un UPN en el nombre alternativo del sujeto en las versiones más recientes (incluso para certificados de dispositivo). Añádalo en su perfil SCEP (por ejemplo, {{DeviceId}}@contoso.com):
### perfil de Wi‑Fi
#### Android
Códigos de error comunes: 0xc7d24fc5 o -942518331
Los puntos clave son:
* seleccione el **certificado de CA raíz** para **validación del servidor** (importante: no cargue el certificado del servidor de RADIUSaaS)\
**- y -**
* defina un **nombre del servidor radius**
* Nota: parece que hay un límite de caracteres para este campo. Para resolver posibles problemas, puede usar solo la parte del dominio sin subdominio, como "radius-as-a-service.com" (en lugar de "contoso.radius-as-a-service.com").
* [Los desarrolladores de Android](https://developer.android.com/guide/topics/connectivity/wifi-enterprise) indica: "\[...] debe configurar **tanto un certificado de CA raíz**, y además una **coincidencia del sufijo de dominio** o una coincidencia alternativa del sujeto". Por tanto, el MDM puede usar "setAltSubjectMatch" o "setDomainSuffixMatch" después de añadir un certificado raíz a la configuración de Wi‑Fi. Parece que Intune usa "setDomainSuffixMatch", ya que basta con "radius-as-a-service.com".
* a veces **privacidad de identidad** es necesaria (por ejemplo, se ve en dispositivos quiosco Android / Android Enterprise dedicado)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.radiusaas.com/es/otro/troubleshooting.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
