> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/pt/outro/troubleshooting.md).
# Resolução de problemas
## Problemas de ligação
### Vista do cliente
#### XML incorreto
{% hint style="warning" %}
Não é possível ligar porque precisa de um certificado para iniciar sessão. Contacte a pessoa de suporte de TI.
{% endhint %}
Verifique se o seu cliente tem um certificado para autenticar e se está a usar o correto [perfil de configuração WiFi](/pt/implementacao-de-perfis/microsoft-intune/wifi-profile.md) ou [XML](/pt/portal-de-administracao/settings/trusted-roots.md#xml).
#### Problemas com a raiz confiável
{% hint style="warning" %}
Não é possível ligar a esta rede.
{% endhint %}
Verifique se fez o seguinte:
* Informou o seu Servidor RADIUS sobre quais certificados têm permissão para se ligar, conforme descrito [aqui](/pt/portal-de-administracao/settings/trusted-roots.md#add)
* Importou o certificado ativo do Servidor RADIUS como raiz confiável no seu cliente, conforme descrito [aqui](/pt/implementacao-de-perfis/microsoft-intune/trusted-root.md#to-add-a-trusted-root-profile-for-your-clients)
* Verifique os seus [Registos](/pt/portal-de-administracao/insights/log.md#logs). Há uma descrição detalhada do erro. Talvez seja [este](/pt/outro/troubleshooting.md#fatal-decrypt-error) problema.
#### Continuar a ligar?
{% hint style="warning" %}
Continuar a ligar? \
Se espera encontrar o WiFi corporativo nesta localização, avance e ligue-se. Caso contrário, poderá ser uma rede diferente com o mesmo nome.
Mostrar detalhes do certificado.
{% endhint %}
Se os seus clientes precisarem de verificar ao ligar pela primeira vez, e estiver a ver esta caixa de diálogo:
Certifique-se de que referenciou o certificado do servidor RADIUS no seu perfil WiFi e forneceu o atributo SAN (FQDN) e o nome comum (CN) do certificado do servidor:
A mostrar o atributo SAN (FQDN) e o nome comum (CN) do certificado do servidor
### Vista do servidor
#### AC desconhecida
Se os seus [Registos](/pt/portal-de-administracao/insights/log.md#logs) contiverem mensagens de erro semelhantes às apresentadas abaixo
```
ERRO: (14872) eap_tls: ERRO: o SSL devolveu o erro 20: não foi possível obter o certificado do emissor local
ERRO: (14872) eap_tls: ERRO: TLS Alert write:fatal:unknown CA
Erro: tls: TLS_accept: Erro no erro
Auth: (14872) início de sessão incorreto (eap_tls: o SSL devolveu o erro 20: não foi possível obter o certificado do emissor local): [host/8dc38402-20fb-41db-a8f3-4e4e95637173/] (do cliente contoso porta 1 cli 18-9K-EA-0H-7F-C5)
```
pode ter as seguintes causas raiz:
* O cliente apresenta erro `TLS Alert read:fatal:unknown CA`
* O seu cliente não conhece o **certificado do servidor** e rejeita a ligação. Verifique se adicionou o seu **certificado do servidor** conforme descrito [aqui](/pt/implementacao-de-perfis/microsoft-intune/trusted-root.md#adding-a-trusted-root-profile-for-your-clients).
* Alterou/adicionou um novo **certificado do servidor** e o seu perfil XML no cliente está a usar o antigo. Nesse caso, verifique novamente se atualizou o seu perfil WiFi/com fios ou se regenerou o seu [XML](/pt/portal-de-administracao/settings/trusted-roots.md#xml) depois de adicionar os certificados e o enviou aos seus clientes.
* O servidor apresenta erro `TLS Alert write:fatal:unknown CA`
* O seu servidor RADIUS não conhece o emissor do certificado que foi usado para autenticação. Adicione a sua AC conforme descrito [aqui](/pt/portal-de-administracao/settings/trusted-roots.md#add).
#### Certificado desconhecido
Se usa macOS (e possivelmente outras plataformas Apple) e se os seus [Registos](/pt/portal-de-administracao/insights/log.md#logs) contiverem mensagens de erro semelhantes à apresentada abaixo
```
eap_tls: (TLS) TLS - Alert read:fatal:certificate unknown
```
pode ter as seguintes causas raiz:
* Há um caractere de espaço algures no **nome do servidor do certificado** no seu [WiFi](/pt/implementacao-de-perfis/microsoft-intune/wifi-profile/apple-devices.md) ou [com fios](/pt/implementacao-de-perfis/microsoft-intune/wired-profile/mac.md) perfil de configuração.
#### Erro de desencriptação | Acesso negado
Se os seus [Registos](/pt/portal-de-administracao/insights/log.md#logs) contiverem mensagens de erro semelhantes às apresentadas abaixo
```
Auth: (312) início de sessão incorreto (eap_tls: TLS Alert write:fatal:decrypt error): [host/00128t09-cbna-469c-9768-2783d28eikl9/] (do cliente contoso porta 1 cli 84-FD-D1-8C-0E-33)
ERRO: (320) eap_tls: ERRO: TLS Alert write:fatal:decrypt error
Erro: tls: TLS_accept: Erro no erro
```
... então é provavelmente um bug do software TPM nas suas máquinas Windows. Mais informações sobre isso podem ser encontradas na [documentação do SCEPman](https://docs.scepman.com/certificate-deployment/microsoft-intune/windows-10#key-storage-provider-ksp-enroll-to-trusted-platform-module-tpm-ksp-otherwise-fail).
Se vir algo como isto nos seus [Registos](/pt/portal-de-administracao/insights/log.md#logs)
```
ERRO: (95878) eap_tls: ERRO: (TLS) Alert read:fatal:access denied
Auth: (95878) início de sessão incorreto (eap_tls: (TLS) Alert read:fatal:access denied): [host/kad933-161d-4aa8-aeaa-b5a4d3d53b12]
ERRO: (95717) eap_tls: ERRO: (TLS) Alert read:fatal:access denied
```
... pode haver duas razões. Uma é que o seu perfil WiFi está a referenciar o certificado de raiz errado para a validação do servidor. Certifique-se de que o seu perfil está configurado corretamente. Se estiver e ainda assim estiver a enfrentar este problema, tente definir o seu KSP para [**Software KSP**](https://docs.scepman.com/certificate-deployment/microsoft-intune/windows-10#key-storage-provider-ksp-enroll-to-trusted-platform-module-tpm-ksp-otherwise-fail).
{% hint style="warning" %}
A definição Key Storage Provider (KSP) determina o local de armazenamento da chave privada para os certificados do utilizador final. O armazenamento no TPM é mais seguro do que o armazenamento em software, porque o TPM fornece uma camada adicional de segurança para evitar o roubo da chave. No entanto, existe **um bug em algumas versões antigas do firmware TPM** que invalida algumas assinaturas criadas com uma chave privada suportada por TPM. Nesses casos, o certificado não pode ser usado para autenticação EAP, tal como é comum em ligações Wi-Fi e VPN. As versões de firmware TPM afetadas incluem:
* STMicroelectronics: 71.12, 73.4.17568.4452, 71.12.17568.4100
* Intel: 11.8.50.3399, 2.0.0.2060
* Infineon: 7.63.3353.0
* IFX: Versão 3.19 / Especificação 1.2
Se usar TPM com este firmware, atualize o firmware para uma versão mais recente ou selecione "Software KSP" como fornecedor de armazenamento de chaves.
{% endhint %}
#### Não é possível continuar, pois o par está a comportar-se de forma incorreta
Se os seus Registos contiverem rejeições com o erro *"Não é possível continuar, pois o par está a comportar-se de forma incorreta"* isto indica que o cliente deixou de comunicar com o serviço RADIUS, principalmente porque as definições de confiança estão incorretas. Neste caso, verifique os certificados nos dispositivos afetados.
#### Segredo RADIUS partilhado incorreto
Se o seu (proxy) [Registos](/pt/portal-de-administracao/insights/log.md#logs) contiverem mensagens de erro semelhantes às apresentadas abaixo
```
- autenticador de mensagem, valor incorreto
- buf2radmsg: falha na autenticação da mensagem
- radsrv: a ignorar o pedido de default (8.222.246.231), validação falhada
```
então um dos seus pontos de acesso ou switches que está a tentar ligar à sua instância RADIUSaaS através de um [Proxy RADIUS](/pt/portal-de-administracao/settings/settings-proxy.md) está a usar um [Segredo partilhado](/pt/portal-de-administracao/settings/settings-server.md#properties-1).
Para identificar o ponto de acesso ou switch afetado, primeiro determine o proxy RADIUS expandindo a mensagem de erro e procurando o `proxyip` propriedade. Agora que sabe qual é o proxy, use o seu inventário e conhecimento de localizações específicas ou grupos de dispositivos que não conseguem ligar-se à sua rede para identificar o dispositivo de rede mal configurado. Por fim, atualize o segredo partilhado para corresponder ao valor configurado na sua instância RADIUSaaS para esse proxy.
### Resolução de problemas de ligação com registos CAPI2
Os clientes Windows usam o **subsistema Cryptographic API (CAPI2)** para tratar das operações de certificados durante a autenticação EAP-TLS. Quando uma ligação falha e nem a interface de utilizador do cliente nem os registos do servidor RADIUSaaS fornecem uma indicação clara da causa raiz, ativar o registo CAPI2 no dispositivo afetado pode revelar falhas de validação de certificados, erros de construção de cadeias ou problemas de acesso à chave privada que de outra forma seriam invisíveis.
***
#### **Passo 1: Ativar o registo CAPI2**
O registo CAPI2 está desativado por predefinição. Para o ativar:
1. Abra **o Visualizador de Eventos**: prima **Win + R**, escreva `eventvwr.exe`, e prima **Enter**.
2. Na árvore do lado esquerdo, expanda **Registos de Aplicações e Serviços**.
3. Expanda **Microsoft → Windows → CAPI2**.
4. Clique com o botão direito em **Operacional** e selecione **Ativar registo**.
Depois de ativado, o Windows começará a registar todos os eventos CAPI2. Reproduza a falha de ligação. Agora tente ligar-se à rede Wi-Fi ou com fios e, em seguida, avance para o passo seguinte.
> **Dica:** Desative novamente o registo depois de recolher os dados (**clique com o botão direito em Operacional → Desativar registo**) para evitar utilização desnecessária do disco.
***
#### **Passo 2: Localizar os eventos relevantes**
Após reproduzir o problema, procure eventos nas seguintes origens de registo:
| Origem do registo | Caminho no Visualizador de Eventos |
| ------------------- | --------------------------------------------------------------------------------------- |
| **CAPI2** | Registos de Aplicações e Serviços → Microsoft → Windows → CAPI2 → Operacional |
| **WLAN AutoConfig** | Registos de Aplicações e Serviços → Microsoft → Windows → WLAN-AutoConfig → Operacional |
Concentre-se nos eventos que foram registados **no momento da tentativa de ligação falhada**. Indicadores úteis incluem:
* **CAPI2** — erros relacionados com a construção da cadeia de certificados, verificações de revogação ou acesso à chave privada (por ex., IDs de evento 11, 70, 90).
* **WLAN-AutoConfig** — eventos que descrevem o resultado da negociação 802.1X (por ex., IDs de evento 8001, 8002, 12013).
***
#### **Passo 3: Exportar e enviar os registos**
Para nos enviar os registos para revisão:
1. No Visualizador de Eventos, clique com o botão direito no **Operacional** registo em **CAPI2** e selecione **Guardar todos os eventos como…**
2. Guarde o ficheiro como um **ficheiro de Registo de Eventos (\*.evtx)** e dê-lhe um nome descritivo, por exemplo `CAPI2__.evtx`.
3. Repita os mesmos passos para o registo **WLAN-AutoConfig → Operacional** .
4. Envie ambos os `.evtx` ficheiros à nossa equipa de suporte em juntamente com uma breve descrição do dispositivo afetado, da versão do SO e de quando ocorre o problema.
## Problemas de certificados
### Não foi possível verificar a cadeia de certificados
Quando pretende usar o seu próprio certificado de servidor, o seu servidor RADIUS requer a cadeia completa de certificados para permitir que outros participantes (Proxy, clientes RadSec, endpoints que tentam ligar-se) verifiquem a identidade do servidor. \
Se vir esta mensagem, copie e cole o certificado da AC abaixo do certificado do servidor no campo de texto ou crie um pacote de certificados PCKS8 que inclua todos os certificados desde a folha até à raiz.
## Problemas do Portal de Administração
### Iniciar sessão
Para iniciar sessão no portal Web do RADIUSaaS ("RADIUSaas Admin Portal"), têm de ser cumpridos os seguintes requisitos:
* A UPN/endereço de email que forneceu como administrador técnico tem de poder ser autenticada contra **algum** Microsoft Entra ID (Azure AD) (não tem de ser uma identidade do tenant cujos utilizadores irão utilizar o RADIUSaaS para autenticação de rede).
* A UPN/endereço de email que forneceu como administrador técnico tem de estar registada na sua instância RADIUSaaS, conforme descrito [aqui](/pt/portal-de-administracao/acesso-e-regras/permissions.md). No caso de ser o administrador inicial, por favor [contacte-nos](https://www.radius-as-a-service.com/help/) se acredita que registámos o utilizador errado.
* O objeto de utilizador do Microsoft Entra ID (Azure AD) por detrás da UPN/endereço de email tem de ter autorização para conceder à Aplicação Empresarial do RADIUSaaS as seguintes permissões (ver captura de ecrã abaixo):
* **Ler** o Perfil Básico do Utilizador
* **Manter** acesso aos dados aos quais lhe concedeu acesso (permitir pedido de token de atualização)\
* Caso o utilizador do seu Microsoft Entra ID (Azure AD) não tenha permissões para conceder as permissões necessárias, não será criada automaticamente nenhuma Aplicação Empresarial correspondente no seu Microsoft Entra ID (Azure AD). Para contornar isto, peça ao seu departamento de TI para conceder ao seu utilizador as permissões necessárias. **Aplicação Empresarial** correspondente no seu Microsoft Entra ID (Azure AD). Para contornar isto, peça ao seu departamento de TI para conceder ao seu utilizador as permissões necessárias.
## Problemas de configuração do Intune
### Atribuição de perfil
A configuração Wi-Fi não é implementada se os perfis Wi-Fi, SCEP e de certificado confiável forem atribuídos a grupos diferentes. Podem aparecer como "Pending" ou pode não haver qualquer estado. Utilize o **mesmo grupo ou "All devices" resp. "All users"** para **todos os perfis associados**.
Pode atribuir o perfil de certificado raiz SCEP a "All users" e "All devices" se estiver a usar um certificado de dispositivo (atribuído a "All devices") e um certificado de utilizador (atribuído a "All users").
### certificado SCEP
#### Android
O Android parece exigir um UPN em Subject alternative name nas versões mais recentes (mesmo para certificados de dispositivo). Adicione isto no seu perfil SCEP (por exemplo, {{DeviceId}}@contoso.com):
### perfil Wi-Fi
#### Android
Códigos de erro comuns: 0xc7d24fc5 ou -942518331
Os pontos principais são:
* selecione o **certificado da AC Raiz** para **validação do servidor** (importante: não carregue o certificado do servidor do RADIUSaaS)\
**- e -**
* defina um **nome do servidor radius**
* Nota: Parece haver um limite de caracteres para este campo. Para resolver possíveis problemas, talvez queira usar apenas a parte do domínio sem subdomínio, como "radius-as-a-service.com" (em vez de "contoso.radius-as-a-service.com").
* [Os programadores Android](https://developer.android.com/guide/topics/connectivity/wifi-enterprise) afirmam: "\[...] tem de configurar **tanto um certificado de AC Raiz**, e seja um **correspondência de sufixo de domínio** ou uma correspondência alternativa de assunto". Portanto, o MDM pode usar "setAltSubjectMatch" ou "setDomainSuffixMatch" depois de adicionar um certificado raiz à configuração Wi-Fi. O Intune parece usar "setDomainSuffixMatch", uma vez que apenas "radius-as-a-service.com" é suficiente.
* por vezes **privacidade de identidade** é necessária (por exemplo, visto em dispositivos quiosque Android / Android Enterprise dedicado)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.radiusaas.com/pt/outro/troubleshooting.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
