El protocolo de autenticación IEEE 802.1X no es compatible con Windows Entorno de preinstalación (PE) 3.0

Introducción

Windows Entorno preinstalado (PE) 3.0 no admite el protocolo de autenticación IEEE 802.X. Por lo tanto, el cliente de Windows PE 3.0 no puede autenticar un switch configurado para el acceso a la red autenticada de IEEE 802.X.

Más información

Después de aplicar esta revisión, Windows PE 3.0 admite el protocolo de autenticación IEEE 802.X.

Note 802.1X authentication is not supported when you start Windows PE from the following:

• Implementación del sistema operativo Microsoft System Center Configuration Manager 2007

• Toolkit de implementación de Microsoft

Agregar la actualización a Windows PE 3.0

Las instrucciones siguientes muestran cómo agregar la siguiente actualización a Windows PE 3.0. No abarca ninguna integración con System Center Configuration Manager ni con otros productos.

972831 El protocolo de autenticación IEEE 802.1X no es compatible con Windows Entorno de preinstalación (PE) 3.0 Debe tener los siguientes archivos y requisitos previos disponibles o instalados:

• Un equipo técnico que tiene instalado el kit de instalación automatizada Windows (AIK) para Windows 7

• 394904_intl_i386_zip.exe o 394905_intl_x64_zip.exe, según la arquitectura de la imagen de Windows PE

• El siguiente script VBS y dos archivos XML. Se encuentran en la sección Script samples:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• El certificado raíz, guardado como RootCert.cer

• Cualquier certificado de CA subordinado, guardado como SubCACert.cer

• Su pfx de certificado de usuario, guardado como Usercert.pfx

• Las versiones x86 o x64 de certutil.exe y certutil.exe.mui de un equipo basado en Windows 7, según la arquitectura de la imagen de Windows PE

NotaEl ejemplo siguiente crea una versión x86 de Windows PE.

En un equipo basado en Windows 7, basado en Windows Server 2008 o en Windows Server 2008 R2, instale el Windows 7 AIK.

1. En el equipo del técnico, haga clic en Inicio, elija Todos los programas, elija AIK de Windows , haga clic con el botón derecho en Símbolo del sistema de herramientas de implementación y, a continuación, haga clic en Ejecutar como administrador.
   
   El método abreviado de menú abre una ventana del símbolo del sistema y establece automáticamente las variables de entorno para que apunten a todas las herramientas necesarias. De forma predeterminada, todas las herramientas se instalan en la carpeta C:\Archivos de programa\AIK de Windows \Herramientas.

2. En el símbolo del sistema, ejecute el script Copype.cmd. El script requiere dos argumentos: arquitectura de hardware y ubicación de destino.
   
   Por ejemplo, ejecuta copype.cmd <arquitectura> <> de destino , donde> de arquitectura <puede ser x86, amd64 o ia64, y <> de destino es la ruta de acceso del directorio local.
   
   Por ejemplo, ejecute este comando:

   copype.cmd x86 c:\winpe_x86The script crea la estructura de directorios siguiente y copia todos los archivos necesarios para esa arquitectura:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Copia la imagen base (Windows PE.wim) en la carpeta \Winpe_x86\ISO\sources y cambia el nombre del archivo a boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Montar la imagen base Windows PE. En este paso, montarás la imagen base en un directorio local para que puedas agregar o quitar paquetes.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Agrega los siguientes paquetes a la imagen. Tenga en cuenta que cada comando debe ser una sola línea y el comando no debe ajustarse.
   
   Agregar paquete WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Agregar paquete de WINPE-Scripting

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Agregar paquete WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Extrae el contenido de la 394904_intl_i386_zip.exe actualizar a la carpeta c:\972831.
   

7. Agrega la actualización para la compatibilidad con 802.1X a la imagen:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Cree una carpeta que contenga archivos adicionales para la compatibilidad con 802.1X. Para ello, ejecute el siguiente comando:

   md C:\winpe_x86\mount\winpe

9. Copia certutil.exe y certutil.exe.mui de un equipo basado en Windows 7 en la carpeta c:\winpe_x86\mount\winpe. Estos archivos se pueden encontrar en la carpeta %windir%\system32.
   
   Nota Debe copiar la versión correcta de estos archivos, en función de la arquitectura de la imagen de Windows PE.

10. Edite el archivo de Wired-WinPE-EAP-TLS.xml y cambie la línea siguiente para introducir la huella digital o hash del certificado de CA raíz para la entidad de certificación correcta:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Copie su perfil de conexión en el directorio Windows PE mediante EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Edite el archivo de USERDATA-EAP-TLS.xml y cambie las siguientes líneas para Nombre de usuario y UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Copie su perfil de conexión en el directorio Windows PE mediante EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Copia el certificado raíz y los certificados de CA subordinados a la carpeta c:\winpe_x86\mount\winpe.

15. Copia los pfx de certificado de usuario en la carpeta c:\winpe_x86\mount\winpe.

16. Edite StartDot3.vbs archivo y cambie la línea siguiente:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Nota En esta línea, debe cambiar contraseña a la contraseña que se asignó al certificado cuando se exportó.

17. Copia StartDot3.Vbs en la carpeta c:\winpe_x86\mount\winpe.

18. Edita startnet.cmd para ejecutar StartDot3.vbs automáticamente:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Agrega .\winpe\StartDot3.vbs después del comando wpeinit y, a continuación, guarda el archivo startnet.cmd.

20. Desmonta y confirma los cambios en . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Cree el medio de arranque mediante los pasos que se describen en el archivo de ayuda AIK de Windows 7 en los temas siguientes:

    • "Para crear un CD-ROM de arranque"

    • "Para crear un UFD de arranque"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Referencias

Los productos de empresas externas que se discuten en este artículo los fabrican compañías independientes de Microsoft. Microsoft no ofrece ninguna garantía, ya sea implícita o de otro tipo, sobre la confiabilidad o el rendimiento de dichos productos.