UEFI跨网段部署Win10解决方案

环境：

  WDS 跨网段部署，DHCP与WDS服务不在同一个服务器上，客户端机器使用UEFI+SECURE BOOT启动方式

  如下包含两种方案，均可以解决跨网段部署问题，推荐方案2

网络拓扑图：

 

Part1：

   WDS+MDT（如下简称WDS）服务器本来和客户端位于同一网段（12网段），客户端为UEFI+SECURE BOOT，经过PXE网卡启动能够正常部署Windows 10.

   因为12网段的WDS服务器须要迁移到63网段，可是迁移成功后发现12网段机器没法经过PXE启动，遂搜寻解决方案。

  WDS服务和DHCP服务器不在同一服务器,可是在同一网段须要将图中标黄的选项取消

方案1-不推荐：

到DHCP服务器中，选择12网段做用域，配置以下：

66:指向WDS服务器的IP

67:指向启动路径,如:boot\x86\wdsnbp.com

设置完成后经测试能够经过BIOS+关闭SECURE BOOT方式网卡启动并安装系统

可是使用UEFI+SECURE BOOT启动方式则会报错,提示Invalid signature detected.

Part2：

 鉴于UEFI启动方式为往后主流，BIOS已逐渐淘汰,且新的芯片组可能直接不支持BIOS，而且开启SECURE BOOT能够提升安全性，所以须要解决跨网段开启UEFI+SECUREBOOT 经过PXE启动的问题。

方案2-推荐：

  在微软TechNet搜索一番后，找到两个帖子：

InvalidBoot File Received Error Message When PXE booting from WDS：

https://support.microsoft.com/en-us/help/2602043/invalid-boot-file-received-error-message-when-pxe-booting-from-wds

ManagingNetwork Boot Programs：

https://technet.microsoft.com/en-us/library/cc732351(ws.10).aspx#Updating

两个帖子都中微软给出了具体的解决方法：

   配置 IP Helper-Address。应该将 UDP 端口 67 上客户端计算机发出的全部 DHCP 广播直接转发给 DHCP 服务器和 WDS 服务器。并且，还应该将 UDP 端口 4011 上的全部通讯从客户端计算机适当地路由到 Windows 部署服务 PXE 服务器（这些请求将通讯而不是将广播指向服务器）。

----------------------------------------------------------------------------

简而言之就是须要将WDS服务器添加至路由IP Helper-Address 列表中

interface Vlan12

 description Network

 ip address X.X.15.254 255.255.252.0  //X.X.15.254为12网段网关

 ip access-group PublicOffice in

 ip helper-address X.X.63.60     //WDS服务器

 ip helper-address X.X.63.42     //DHCP服务器

经测试能够在UEFI+SECURE BOOT环境下正常部署。

关于方案1，微软也提到

Microsoft不推荐使用此方法，缘由以下：

  1：使用 DHCP 选项不如配置路由器可靠。在测试中，客户端错误地解析了从 DHCP 服务器返回的 DHCP 选项，结果，客户端收到了“TFTP 失败”的错误消息。一般，在 PXE ROM 忽略启动服务器主机名，并尝试直接从 DHCP 服务器下载 NBP 的状况下会发生此问题。

 2：若是有多个 Windows 部署服务服务器可用于处理客户端请求，则指定特定的服务器可能会防止负载平衡。相反，使用路由器转发表能够将请求转发到多个服务器。

 3：客户端可能被定向到不可用的 Windows 部署服务服务器。因为客户端没必要直接联系 Windows 部署服务服务器来肯定要下载的 NBP，所以，DHCP 服务器可能会引导客户端下载不存在的 NBP，或将客户端定向到当前不可用的服务器。

 4：客户端可能会绕过 Windows 部署服务服务器的应答设置。

---END---