UEFI跨網段部署Win10解決方案

環境：

  WDS 跨網段部署，DHCP與WDS服務不在同一個服務器上，客戶端機器使用UEFI+SECURE BOOT啓動方式

  如下包含兩種方案，均可以解決跨網段部署問題，推薦方案2

網絡拓撲圖：

 

Part1：

   WDS+MDT（如下簡稱WDS）服務器本來和客戶端位於同一網段（12網段），客戶端爲UEFI+SECURE BOOT，經過PXE網卡啓動能夠正常部署Windows 10.

   因爲12網段的WDS服務器須要遷移到63網段，可是遷移成功後發現12網段機器沒法經過PXE啓動，遂搜尋解決方案。

  WDS服務和DHCP服務器不在同一服務器,可是在同一網段須要將圖中標黃的選項取消

方案1-不推薦：

到DHCP服務器中，選擇12網段做用域，配置以下：

66:指向WDS服務器的IP

67:指向啓動路徑,如:boot\x86\wdsnbp.com

設置完成後經測試能夠經過BIOS+關閉SECURE BOOT方式網卡啓動並安裝系統

可是使用UEFI+SECURE BOOT啓動方式則會報錯,提示Invalid signature detected.

Part2：

 鑑於UEFI啓動方式爲往後主流，BIOS已逐漸淘汰,且新的芯片組可能直接不支持BIOS，而且開啓SECURE BOOT能夠提升安全性，所以須要解決跨網段開啓UEFI+SECUREBOOT 經過PXE啓動的問題。

方案2-推薦：

  在微軟TechNet搜索一番後，找到兩個帖子：

InvalidBoot File Received Error Message When PXE booting from WDS：

https://support.microsoft.com/en-us/help/2602043/invalid-boot-file-received-error-message-when-pxe-booting-from-wds

ManagingNetwork Boot Programs：

https://technet.microsoft.com/en-us/library/cc732351(ws.10).aspx#Updating

兩個帖子都中微軟給出了具體的解決方法：

   配置 IP Helper-Address。應該將 UDP 端口 67 上客戶端計算機發出的全部 DHCP 廣播直接轉發給 DHCP 服務器和 WDS 服務器。並且，還應該將 UDP 端口 4011 上的全部通訊從客戶端計算機適當地路由到 Windows 部署服務 PXE 服務器（這些請求將通訊而不是將廣播指向服務器）。

----------------------------------------------------------------------------

簡而言之就是須要將WDS服務器添加至路由IP Helper-Address 列表中

interface Vlan12

 description Network

 ip address X.X.15.254 255.255.252.0  //X.X.15.254爲12網段網關

 ip access-group PublicOffice in

 ip helper-address X.X.63.60     //WDS服務器

 ip helper-address X.X.63.42     //DHCP服務器

經測試能夠在UEFI+SECURE BOOT環境下正常部署。

關於方案1，微軟也提到

Microsoft不推薦使用此方法，緣由以下：

  1：使用 DHCP 選項不如配置路由器可靠。在測試中，客戶端錯誤地解析了從 DHCP 服務器返回的 DHCP 選項，結果，客戶端收到了「TFTP 失敗」的錯誤消息。一般，在 PXE ROM 忽略啓動服務器主機名，並嘗試直接從 DHCP 服務器下載 NBP 的狀況下會發生此問題。

 2：若是有多個 Windows 部署服務服務器可用於處理客戶端請求，則指定特定的服務器可能會防止負載平衡。相反，使用路由器轉發表能夠將請求轉發到多個服務器。

 3：客戶端可能被定向到不可用的 Windows 部署服務服務器。因爲客戶端沒必要直接聯繫 Windows 部署服務服務器來肯定要下載的 NBP，所以，DHCP 服務器可能會引導客戶端下載不存在的 NBP，或將客戶端定向到當前不可用的服務器。

 4：客戶端可能會繞過 Windows 部署服務服務器的應答設置。

---END---