Protocolul de autentificare IEEE 802.1X nu este acceptat în mediul de preinstalare Windows (PE) 3.0

Introducere (articolul poate să fie în limba engleză)

Windows Mediu preinstalat (PE) 3.0 nu acceptă protocolul de autentificare IEEE 802.X. Prin urmare, clientul WINDOWS PE 3.0 nu poate autentifica un comutator configurat pentru accesul la rețea autentificat IEEE 802.X.

Mai multe informații

După ce aplicați această remediere rapidă, Windows PE 3.0 acceptă protocolul de autentificare IEEE 802.X.

Autentificarea Note 802.1X nu este acceptată atunci când porniți Windows PE din următoarele:

• Microsoft System Center Configuration Manager 2007 Operating System Deployment

• Kit de instrumente de implementare Microsoft

Adăugarea actualizării la Windows PE 3.0

Instrucțiunile următoare vă arată cum să adăugați următoarea actualizare la Windows PE 3.0. Nu acoperă nicio integrare cu System Center Configuration Manager sau cu alte produse.

972831 Protocolul de autentificare IEEE 802.1X nu este acceptat în mediul de preinstalare Windows (PE) 3.0 Trebuie să aveți următoarele fișiere și cerințe preliminare disponibile sau instalate:

• Un computer tehnician care are instalat Windows Automated Installation Kit (AIK) pentru Windows 7

• 394904_intl_i386_zip.exe sau 394905_intl_x64_zip.exe, în funcție de arhitectura imaginii pe Windows PE

• Următorul script VBS și două fișiere XML. Acestea se află în secțiunea Exemple de script:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Certificatul rădăcină, salvat ca RootCert.cer

• Orice certificate CA subordonate, salvate ca SubCACert.cer

• Pfx certificat utilizator, salvat ca Usercert.pfx

• Versiunile x86 sau x64 de certutil.exe și certutil.exe.mui de pe un computer Windows bazat pe 7, în funcție de arhitectura imaginii pe Windows PE

Notă Următorul exemplu construiește o versiune x86 de Windows PE.

Pe un computer Windows bazat pe 7 Windows Server 2008 sau Windows Server 2008 R2, instalați Windows 7 AIK.

1. Pe computerul tehnicianului, faceți clic pe Start, indicați spre Toate programele, indicați spre Windows AIK, faceți clic dreapta pe Linie de comandă Instrumente de implementare, apoi faceți clic pe Executare ca administrator.
   
   Comanda rapidă de meniu deschide o fereastră linie de comandă și setează automat variabilele de mediu să indice spre toate instrumentele necesare. În mod implicit, toate instrumentele sunt instalate în folderul C:\Program Files\Windows AIK\Tools.

2. În linia de comandă, rulați scriptul Copype.cmd. Scriptul necesită două argumente: arhitectura hardware și locația de destinație.
   
   De exemplu, rulați copype.cmd <arhitectură> <destinație>, unde arhitectura <> poate fi x86, amd64 sau ia64 și <destinație> este calea directorului local.
   
   De exemplu, rulați această comandă:

   copype.cmd x86 c:\winpe_x86The script creează următoarea structură de director și copiază toate fișierele necesare pentru acea arhitectură:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Copiați imaginea de bază (Windows PE.wim) în folderul \Winpe_x86\ISO\sources și redenumiți fișierul pentru boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Montați baza Windows imaginea PE. În acest pas, montați imaginea de bază într-un director local, astfel încât să puteți adăuga sau elimina pachete.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Adăugați următoarele pachete la imagine. Rețineți că fiecare comandă trebuie să fie o singură linie, iar comanda nu trebuie să se încadreze.
   
   Adăugare pachet WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Adăugare pachet WINPE-Scripting

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Adăugați pachetul WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Extrageți conținutul actualizării 394904_intl_i386_zip.exe în folderul c:\972831.
   

7. Adăugați actualizarea pentru suportul 802.1X la imagine:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Creați un folder care să conțină fișiere suplimentare pentru suportul 802.1X. Pentru a face acest lucru, rulați următoarea comandă:

   md C:\winpe_x86\mount\winpe

9. Copiați certutil.exe și certutil.exe.mui de pe un computer Windows bazat pe 7 în folderul c:\winpe_x86\mount\winpe. Aceste fișiere pot fi găsite în folderul %windir%\system32.
   
   Notă Trebuie să copiați versiunea corectă a acestor fișiere, pe baza arhitecturii imaginii Windows PE.

10. Editați fișierul Wired-WinPE-EAP-TLS.xml și modificați următoarea linie pentru a introduce amprenta/hash-ul certificatului CA rădăcină pentru autoritatea de certificare corectă:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Copiați profilul de conexiune în directorul Windows PE utilizând EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Editați fișierul USERDATA-EAP-TLS.xml și modificați următoarele linii pentru Nume utilizator și UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Copiați profilul de conexiune în directorul Windows PE utilizând EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Copiați certificatul rădăcină și orice certificate CA subordonate în folderul c:\winpe_x86\mount\winpe.

15. Copiați pfx-ul certificatului de utilizator în folderul c:\winpe_x86\mount\winpe.

16. Editați StartDot3.vbs fișier și modificați următoarea linie:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Notă În această linie, trebuie să modificați PASSWORD la parola care a fost atribuită certificatului atunci când a fost exportat.

17. Copiați StartDot3.Vbs în folderul c:\winpe_x86\mount\winpe.

18. Editați startnet.cmd pentru a rula StartDot3.vbs automat:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Adăugați .\winpe\StartDot3.vbs după comanda wpeinit, apoi salvați fișierul startnet.cmd.

20. Anulați comanda și comiteți modificările din . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Creați suportul bootabil utilizând pașii subliniați în fișierul ajutor Windows 7 AIK, sub următoarele subiecte:

    • "Pentru a crea un CD-ROM bootabil"

    • "Pentru a crea un UFD bootabil"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Referințe

Produsele producătorilor terţi prezentate în acest articol sunt fabricate de companii independente de Microsoft. Microsoft nu garantează în niciun fel, implicit sau în alt mod, funcționarea sau fiabilitatea acestor produse.