Протокол проверки подлинности IEEE 802.1X не поддерживается в среде предустановки Windows (PE) 3.0

Введение

Windows среды предустановки (PE) 3.0 не поддерживает протокол проверки подлинности IEEE 802.X. Таким образом, Windows PE 3.0 не может проверить подлинность коммутатора, настроенного для сетевого доступа, прошедшего проверку подлинности IEEE 802.X.

Дополнительная информация

После применения этого исправления Windows PE 3.0 поддерживает протокол проверки подлинности IEEE 802.X.

Обратите внимание, что проверка подлинности 802.1X не поддерживается при запуске Windows pe из следующего:

• Развертывание System Center Configuration Manager Microsoft 2007

• Microsoft Deployment Toolkit

Добавление обновления в Windows PE 3.0

В следующих инструкциях показано, как добавить следующее обновление в Windows PE 3.0. Он не охватывает интеграцию с System Center Configuration Manager или с другими продуктами.

972831 Протокол проверки подлинности IEEE 802.1X не поддерживается в среде предустановки Windows (PE) 3.0. Должны быть доступны или установлены следующие файлы и необходимые компоненты:

• Компьютер технического специалиста с установленным пакет автоматической установки Windows (AIK) для Windows 7

• 394904_intl_i386_zip.exe или 394905_intl_x64_zip.exe в зависимости от архитектуры образа Windows PE

• Следующий скрипт VBS и два XML-файла. Они находятся в разделе "Примеры скриптов":

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Корневой сертификат, сохраненный как RootCert.cer

• Все подчиненные сертификаты ЦС, сохраненные как SubCACert.cer

• PFX-файл сертификата пользователя, сохраненный как Usercert.pfx

• Версии x86 или x64 certutil.exe и certutil.exe.mui с компьютера Windows 7 в зависимости от архитектуры образа Windows PE

NoteThe following example builds an x86 version of Windows PE.

На Windows 7, Windows Server 2008 или Windows Server 2008 R2 установите AIK Windows 7.

1. На компьютере технического специалиста нажмите кнопку "Пуск", выберите пункт "Все программы", наведите указатель на Windows AIK, щелкните правой кнопкой мыши командную строку "Средства развертывания" и выберите команду "Запуск от имени администратора".
   
   Ярлык меню открывает окно командной строки и автоматически задает переменные среды, указывающие на все необходимые средства. По умолчанию все средства устанавливаются в папку C:\Program Files\Windows AIK\Tools.

2. В командной строке запустите скрипт Copype.cmd. Для скрипта требуются два аргумента: аппаратная архитектура и расположение назначения.
   
   Например, запустите архитектуру copype.cmd <> <>, где <архитектура> может быть x86, amd64 или ia64, а <> — путь к локальному каталогу.
   
   Например, выполните следующую команду:

   Скрипт copype.cmd x86 c:\winpe_x86The создает следующую структуру каталогов и копирует все необходимые файлы для этой архитектуры:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Скопируйте базовый образ (Windows PE.wim) в папку \Winpe_x86\ISO\sources и переименуйте файл в boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Подключите базовый образ Windows PE. На этом шаге вы подключите базовый образ к локальному каталогу, чтобы добавлять или удалять пакеты.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Добавьте в образ следующие пакеты. Имейте в виду, что каждая команда должна быть одной строкой, а команда не должна быть оболочкой.
   
   Добавление пакета WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Добавление WINPE-Scripting пакета

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Добавление пакета WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Извлеките содержимое 394904_intl_i386_zip.exe в папку c:\972831.
   

7. Добавьте в образ обновление для поддержки 802.1X:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Создайте папку с дополнительными файлами для поддержки 802.1X. Для этого выполните следующую команду:

   md C:\winpe_x86\mount\winpe

9. Скопируйте certutil.exe и certutil.exe.mui с компьютера на Windows 7 в папку c:\winpe_x86\mount\winpe. Эти файлы можно найти в папке %windir%\system32.
   
   Обратите внимание, что необходимо скопировать правильную версию этих файлов в зависимости от архитектуры Windows PE.

10. Измените файл Wired-WinPE-EAP-TLS.xml и измените следующую строку, чтобы ввести отпечаток или хэш сертификата корневого ЦС для правильного центра сертификации:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Скопируйте профиль подключения в каталог Windows PE с помощью EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Измените файл USERDATA-EAP-TLS.xml и измените следующие строки для username и UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Скопируйте профиль подключения в каталог Windows PE с помощью EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Скопируйте корневой сертификат и все подчиненные сертификаты ЦС в папку c:\winpe_x86\mount\winpe.

15. Скопируйте PFX-файл сертификата пользователя в папку c:\winpe_x86\mount\winpe.

16. Измените StartDot3.vbs файла и измените следующую строку:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Обратите внимание, что в этой строке необходимо изменить пароль на пароль, назначенный сертификату при его экспорте.

17. Скопируйте StartDot3.Vbs папку c:\winpe_x86\mount\winpe.

18. Измените файл startnet.cmd, чтобы StartDot3.vbs автоматически:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Добавьте .\winpe\StartDot3.vbs после команды wpeinit, а затем сохраните файл startnet.cmd.

20. Отключите и зафиксируйте изменения в . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Создайте загрузочный носитель, выполнив действия, описанные в файле справки AIK Windows 7 в следующих разделах:

    • "Создание загрузочного компакт-диска"

    • "Создание загрузочного UFD"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Ссылки

Продукты сторонних производителей, которые обсуждаются в этой статье, произведены независимыми от корпорации Майкрософт компаниями. Корпорация Майкрософт не дает никаких гарантий, подразумеваемых и прочих, относительно производительности и надежности этих продуктов.