Giao thức xác thực IEEE 802.1X không được hỗ trợ trong môi Windows cài đặt sẵn (PE) 3.0

Giới thiệu

Windows Môi trường Cài đặt trước (PE) 3.0 không hỗ trợ giao thức xác thực IEEE 802.X. Vì vậy, máy Windows PE 3.0 khách hàng không thể xác thực một chuyển đổi được cấu hình cho truy cập mạng xác thực IEEE 802.X.

Thông tin Bổ sung

Sau khi bạn áp dụng hotfix này, Windows PE 3.0 hỗ trợ giao thức xác thực IEEE 802.X.

Ghi chú xác thực 802.1X không được hỗ trợ khi bạn bắt đầu Windows PE từ các bước sau:

• Triển khai Hệ điều Configuration Manager 2007 của Microsoft System Center

• Bộ công cụ Triển khai của Microsoft

Thêm bản cập nhật vào Windows PE 3.0

Hướng dẫn sau đây cho biết cách thêm bản cập nhật sau vào Windows PE 3.0. Nó không bao gồm bất kỳ tích hợp nào với Trung tâm Hệ Configuration Manager hoặc với các sản phẩm khác.

972831 Giao thức xác thực IEEE 802.1X không được hỗ trợ trong môi trường cài đặt sẵn Windows (PE) 3.0 Bạn phải có sẵn hoặc cài đặt các tệp và điều kiện tiên quyết sau đây:

• Một kỹ thuật viên máy tính có bộ Windows tự động cài đặt (AIK) cho Windows 7 được cài đặt

• 394904_intl_i386_zip.exe hoặc 394905_intl_x64_zip.exe, tùy thuộc vào kiến trúc của hình ảnh Windows PE

• Tập lệnh VBS sau đây và hai tệp XML. Các mẫu này nằm trong mục Đoạn mãlệnh mẫu:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Chứng chỉ gốc của bạn, được lưu dưới dạng RootCert.cer

• Mọi chứng chỉ CA cấp dưới, được lưu dưới dạng SubCACert.cer

• Pfx Chứng chỉ Người dùng của bạn, được lưu dưới dạng Usercert.pfx

• Các phiên bản x86 hoặc x64 của certutil.exe và certutil.exe.mui từ máy tính chạy Windows 7, tùy thuộc vào cấu trúc của Windows pe

Lưu ýCác ví dụ sau đây xây dựng phiên bản x86 Windows PE.

Trên máy tính dựa trên Windows 7, dựa trên Windows Server 2008 hoặc Windows Server 2008 R2, hãy cài đặt máy tính Windows 7 AIK.

1. Trên máy tính kỹ thuật viên của bạn, bấm vào Bắt đầu, trỏ đến Tất cả Chương trình, trỏ đến Windows AIK, bấm chuột phải vào Dấu nhắc Lệnh Công cụ Triển khai, rồi bấm vào Chạy với tư cách người quản trị.
   
   Lối tắt menu mở ra một cửa sổ Dấu nhắc Lệnh và tự động đặt biến môi trường để trỏ tới tất cả các công cụ cần thiết. Theo mặc định, tất cả các công cụ đều được cài đặt trong thư mục C:\Program Files\Windows AIK\Tools.

2. Tại dấu nhắc lệnh, chạy tập lệnh Copype.cmd. Tập lệnh yêu cầu hai tham đối: cấu trúc phần cứng và vị trí đích.
   
   Ví dụ, chạy copype.cmd <cấutrúc> <đích>, trong đó <kiến trúc> có thể là x86, amd64 hoặc ia64 và <đích> là đường dẫn của thư mục cục bộ.
   
   Ví dụ: chạy lệnh này:

   copype.cmd x86 c:\winpe_x86The tạo cấu trúc thư mục sau đây và sao chép tất cả các tệp cần thiết cho cấu trúc đó:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Sao chép hình ảnh cơ sở (Windows PE.wim) vào thư mục \Winpe_x86\ISO\sources và đổi tên tệp thành boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Gắn hình ảnh Windows PE. Trong bước này, bạn gắn hình ảnh cơ sở vào một thư mục cục bộ để bạn có thể thêm hoặc loại bỏ gói.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Thêm các gói sau đây vào hình ảnh. Hãy lưu ý rằng mỗi lệnh phải là một dòng đơn và lệnh không được ngắt dòng.
   
   Thêm gói WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Thêm WINPE-Scripting hàng

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Thêm gói WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Trích xuất nội dung của tệp 394904_intl_i386_zip.exe cập nhật vào thư mục c:\972831 này.
   

7. Thêm bản cập nhật cho hỗ trợ 802.1X vào hình ảnh:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Tạo thư mục để chứa các tệp bổ sung cho hỗ trợ 802.1X. Để thực hiện điều này, hãy chạy lệnh sau đây:

   md C:\winpe_x86\mount\winpe

9. Sao certutil.exe và certutil.exe.mui từ máy tính chạy Windows 7 vào thư mục c:\winpe_x86\mount\winpe. Các tệp này có thể được tìm thấy trong thư mục %windir%\system32.
   
   Lưu ý Bạn phải sao chép phiên bản chính xác của các tệp này, dựa trên kiến trúc của hình ảnh Windows PE.

10. Chỉnh sửa tệp Wired-WinPE-EAP-TLS.xml và thay đổi dòng sau đây để nhập dấu cộng/hàm băm chứng chỉ CA Gốc cho thẩm quyền xác thực chính xác:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Sao chép cấu hình kết nối của bạn Windows mục PE bằng cách sử dụng EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Chỉnh sửa tệp USERDATA-EAP-TLS.xml và thay đổi các dòng sau cho Tên người dùng và UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Sao chép cấu hình kết nối của bạn Windows mục PE bằng cách sử dụng EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Sao chép chứng chỉ gốc của bạn và bất kỳ chứng chỉ CA cấp dưới nào vào thư mục c:\winpe_x86\mount\winpe.

15. Sao chép pfx Chứng chỉ Người dùng của bạn vào thư mục c:\winpe_x86\mount\winpe.

16. Chỉnh StartDot3.vbs tệp và thay đổi dòng sau đây:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Lưu ý Trong dòng này, bạn phải thay đổi mật khẩu mật khẩu đã được gán cho chứng chỉ khi nó đã được xuất khẩu.

17. Sao StartDot3.Vbs vào thư mục c:\winpe_x86\mount\winpe.

18. Chỉnh sửa startnet.cmd để tự StartDot3.vbs chạy:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Thêm .\winpe\StartDot3.vbs sau lệnh wpeinit, rồi lưu tệp startnet.cmd.

20. Bỏ đóng số và cam kết thay đổi cho . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Tạo phương tiện có thể khởi động bằng cách sử dụng các bước được nêu trong tệp Trợ giúp Windows 7 AIK dưới các chủ đề sau:

    • "Để tạo ra một ĐĨA CD-ROM có thể khởi động"

    • "Để tạo UFD có thể khởi động"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Tham khảo

Các sản phẩm của bên thứ ba mà bài viết này thảo luận được sản xuất bởi các công ty độc lập với Microsoft. Microsoft không đảm bảo, dù là ngụ ý hay theo bất kỳ cách nào khác, về hiệu suất hoặc mức độ tin cậy của các sản phẩm này.