Het IEEE 802.1X-verificatieprotocol wordt niet ondersteund in Windows Preinstall Environment (PE) 3.0

Inleiding

Windows Preinstall Environment (PE) 3.0 biedt geen ondersteuning voor het IEEE 802.X-verificatieprotocol. Daarom kan de Windows PE 3.0-client geen switch verifiëren die is geconfigureerd voor geverifieerde IEEE 802.X-netwerktoegang.

Meer informatie

Nadat u deze hotfix hebt toegepast, ondersteunt Windows PE 3.0 het IEEE 802.X-verificatieprotocol.

Opmerking: 802.1X-verificatie wordt niet ondersteund wanneer u Windows PE vanaf het volgende start:

• Microsoft System Center Configuration Manager 2007-besturingssysteemimplementatie

• Microsoft Deployment Toolkit

De update toevoegen aan Windows PE 3.0

De volgende instructies laten zien hoe u de volgende update toevoegt aan Windows PE 3.0. Het omvat geen integratie met System Center Configuration Manager of met andere producten.

972831 Het IEEE 802.1X-verificatieprotocol wordt niet ondersteund in Windows Preinstall Environment (PE) 3.0 U moet de volgende bestanden en vereisten beschikbaar of geïnstalleerd hebben:

• Een technicuscomputer waarop de Windows Automated Installation Kit (AIK) voor Windows 7 is geïnstalleerd

• 394904_intl_i386_zip.exe of 394905_intl_x64_zip.exe, afhankelijk van de architectuur van uw Windows PE-installatiekopieën

• Het volgende VBS-script en twee XML-bestanden. Ze bevinden zich in de sectie Scriptvoorbeelden:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Uw basiscertificaat, opgeslagen als RootCert.cer

• Alle onderliggende CA-certificaten, opgeslagen als SubCACert.cer

• Uw gebruikerscertificaat pfx, opgeslagen als Usercert.pfx

• De x86- of x64-versies van certutil.exe en certutil.exe.mui vanaf een Windows 7-computer, afhankelijk van de architectuur van uw Windows PE-afbeelding

OpmerkingHet volgende voorbeeld bouwt een x86-versie van Windows PE.

Installeer de Windows 7 AIK op een computer met Windows 7 Windows Server 2008 of Windows Server 2008 R2.

1. Klik op de computer van de technicus op Startmenu, wijs Alle programma's aan, wijs Windows AIK aan, klik met de rechtermuisknop op de opdrachtprompt voor implementatiehulpprogramma's en klik vervolgens op Uitvoeren als beheerder.
   
   Met de sneltoets wordt een opdrachtpromptvenster geopend en worden omgevingsvariabelen automatisch ingesteld om te verwijzen naar alle benodigde hulpprogramma's. Standaard worden alle hulpprogramma's geïnstalleerd in de map C:\Program Files\Windows AIK\Tools.

2. Voer bij de opdrachtprompt het script Copype.cmd uit. Voor het script zijn twee argumenten vereist: hardwarearchitectuur en doellocatie.
   
   Voer bijvoorbeeld copype.cmd <-architectuur uit> <doel> , waarbij <architectuur> x86, amd64 of ia64 kan zijn en <doel> het pad van de lokale map is.
   
   Voer bijvoorbeeld deze opdracht uit:

   copype.cmd x86 c:\winpe_x86The script maakt de volgende mapstructuur en kopieert alle benodigde bestanden voor die architectuur:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Kopieer de basisinstallatiekopie (Windows PE.wim) naar de map \Winpe_x86\ISO\sources en wijzig de naam van het bestand in boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Koppel de basis Windows PE-afbeelding. In deze stap koppelt u de basisinstallatiekopie aan een lokale map, zodat u pakketten kunt toevoegen of verwijderen.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Voeg de volgende pakketten toe aan de installatiekopie. Houd er rekening mee dat elke opdracht één regel moet zijn en dat de opdracht niet mag teruglopen.
   
   WINPE-WMI-pakket toevoegen

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   WINPE-Scripting-pakket toevoegen

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   WINPE-HTA-pakket toevoegen

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Pak de inhoud van de 394904_intl_i386_zip.exe update uit naar de map c:\972831.
   

7. Voeg de update voor 802.1X-ondersteuning toe aan de afbeelding:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Maak een map die extra bestanden bevat voor 802.1X-ondersteuning. Voer hiervoor de volgende opdracht uit:

   md C:\winpe_x86\mount\winpe

9. Kopieer certutil.exe en certutil.exe.mui van een Windows 7-computer naar de map c:\winpe_x86\mount\winpe. Deze bestanden vindt u in de map %windir%\system32.
   
   Opmerking U moet de juiste versie van deze bestanden kopiëren, op basis van de architectuur van uw Windows PE-installatiekopie.

10. Bewerk het Wired-WinPE-EAP-TLS.xml-bestand en wijzig de volgende regel om de vingerafdruk/hash van het basis-CA-certificaat in te voeren voor de juiste certificeringsinstantie:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Kopieer uw verbindingsprofiel naar de Windows PE-map met behulp van EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Bewerk het USERDATA-EAP-TLS.xml-bestand en wijzig de volgende regels voor Gebruikersnaam en UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Kopieer uw verbindingsprofiel naar de Windows PE-map met behulp van EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Kopieer uw basiscertificaat en eventuele onderliggende CA-certificaten naar de map c:\winpe_x86\mount\winpe.

15. Kopieer het pfx-gebruikerscertificaat naar de map c:\winpe_x86\mount\winpe.

16. Bewerk StartDot3.vbs bestand en wijzig de volgende regel:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Opmerking In deze regel moet u WACHTWOORD wijzigen in het wachtwoord dat aan het certificaat is toegewezen toen het werd geëxporteerd.

17. Kopieer StartDot3.Vbs naar de map c:\winpe_x86\mount\winpe.

18. Bewerk startnet.cmd om StartDot3.vbs automatisch uit te voeren:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Voeg .\winpe\StartDot3.vbs toe na de wpeinit-opdracht en sla het bestand startnet.cmd op.

20. Ontkoppelen en wijzigingen doorvoeren in de . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Maak uw opstartbare media met behulp van de stappen die worden beschreven in het Windows 7 AIK Help-bestand onder de volgende onderwerpen:

    • "Een opstartbare cd-rom maken"

    • "Een opstartbare UFD maken"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Verwijzingen

De niet-Microsoft-producten die in dit artikel worden vermeld, worden vervaardigd door fabrikanten die geheel onafhankelijk zijn van Microsoft. Microsoft verleent dan ook geen enkele garantie, impliciet noch anderszins, omtrent de prestaties of de betrouwbaarheid van deze producten.