Démarrage PXE et WDS : déployer par le réseau

Le démarrage PXE (Preboot eXecution Environment) permet à un ordinateur de démarrer sur sa carte réseau au lieu de son disque : il reçoit une adresse IP et l'emplacement d'un petit programme de démarrage par DHCP, le télécharge par TFTP, puis charge l'environnement de déploiement. C'est la porte d'entrée de tous les outils de déploiement par le réseau, de WDS à FOG. Ce chapitre décrit le déroulé d'un démarrage PXE, sa configuration sur le DHCP de l'annuaire à travers les VLAN, et l'état de WDS et de MDT en 2026.

Pourquoi démarrer sur le réseau

Sans PXE, il faut une clé USB par poste ou presque, la bonne image sur chaque clé, et un technicien qui passe de bureau en bureau. Avec PXE, le poste démarre sur le réseau, le serveur de déploiement lui envoie l'environnement et l'image, et le technicien pilote tout depuis une console. On peut déployer dix postes à la fois, et même réinstaller un poste à distance s'il est configuré pour démarrer sur le réseau en premier.

PXE est une norme d'Intel (1999), intégrée au micrologiciel de presque toutes les cartes réseau. Sur un PC UEFI, elle s'active dans les réglages du micrologiciel (souvent Network Stack ou PXE Boot), et le démarrage réseau se choisit dans le menu de démarrage ponctuel (touche F12 sur beaucoup de modèles) ou dans l'ordre de démarrage.

Le déroulé d'un démarrage PXE

Quand le poste démarre sur sa carte réseau, six étapes s'enchaînent :

1. DHCPDISCOVER. Le micrologiciel diffuse une demande DHCP ordinaire, avec deux renseignements en plus : l'option 60 (vendor class) contient PXEClient suivi de l'architecture, et l'option 93 précise l'architecture du client (BIOS, UEFI 64 bits, ARM…).
2. DHCPOFFER. Le serveur DHCP propose une adresse IP et, si on l'a configuré, l'adresse du serveur de démarrage (option 66, ou le champ next-server de l'en-tête DHCP) et le nom du fichier de démarrage (option 67, bootfile name).
3. DHCPREQUEST et DHCPACK. Le poste accepte l'offre et obtient son adresse, comme n'importe quel client DHCP.
4. TFTP. Le poste télécharge le fichier de démarrage réseau (NBP, Network Bootstrap Program) depuis le serveur de l'option 66, par TFTP (UDP 69). TFTP est un protocole minimal, sans authentification ni chiffrement, que le micrologiciel sait parler.
5. Le chargeur. Le NBP s'exécute. Pour FOG, c'est iPXE, un chargeur libre plus capable, qui affiche un menu et télécharge la suite en HTTP, bien plus rapide que TFTP. Pour WDS, c'est le gestionnaire de démarrage de Windows, qui charge Windows PE.
6. L'environnement de déploiement démarre en mémoire (le noyau Linux de FOG, Windows PE pour WDS ou Configuration Manager) et applique l'image ou lance l'installation.

L'architecture annoncée par le poste compte, car le fichier de démarrage n'est pas le même pour un BIOS hérité et pour un UEFI :

En 2026, le parc est presque entièrement en UEFI 64 bits : un seul fichier suffit le plus souvent. Les noms ci-dessus sont ceux de FOG 1.6 ; un autre outil a ses propres fichiers.

Configurer le DHCP de l'annuaire pour le PXE

Chez Sorbier, le DHCP des postes est celui de l'annuaire, sur srv-ad : on ne monte pas un second serveur DHCP pour le déploiement, deux serveurs qui répondent dans le même VLAN se gêneraient. On ajoute les options 66 et 67 à l'étendue du VLAN 10, dans la console DHCP (dhcpmgmt.msc) : IPv4 > Étendue [192.168.10.64] VLAN10-POSTES > Options d'étendue > Configurer les options, cocher 066 Nom d'hôte du serveur de démarrage et 067 Nom du fichier de démarrage. Ou en PowerShell, sur srv-ad :

# Options de démarrage réseau sur l'étendue des postes (VLAN 10)
Set-DhcpServerv4OptionValue -ScopeId 192.168.10.64 -OptionId 66 -Value "192.168.10.186"
Set-DhcpServerv4OptionValue -ScopeId 192.168.10.64 -OptionId 67 -Value "secureboot/snponly-shimx64.efi"

# Vérifier
Get-DhcpServerv4OptionValue -ScopeId 192.168.10.64 | Where-Object OptionId -in 66, 67

Chez Sorbier, l'étendue du VLAN 10 est en basculement entre srv-ad et srv-ad2 (cours Windows Server). Les options et les stratégies ne se recopient pas toutes seules sur le partenaire : en mode équilibrage de charge, environ la moitié des postes reçoit son bail de srv-ad2, et sans réplication ces postes-là n'auraient pas les options de démarrage. Réplique l'étendue après chaque modification :

# Recopier la configuration de l'étendue sur le partenaire de basculement (srv-ad2)
Invoke-DhcpServerv4FailoverReplication -ScopeId 192.168.10.64 -Force

Dans la console, c'est le clic droit sur l'étendue, Répliquer l'étendue.

Pourquoi au niveau de l'étendue et pas du serveur ? Parce que seuls les postes du VLAN 10 doivent démarrer sur le serveur de déploiement : ni les téléphones IP du VLAN 50, ni les terminaux de l'entrepôt.

S'il reste des PC en BIOS hérité, une stratégie DHCP donne à chaque architecture son fichier. On déclare une classe de fournisseur qui reconnaît le début de l'option 60, puis une stratégie qui l'utilise :

# Classe de fournisseur : les clients PXE en BIOS hérité annoncent « PXEClient:Arch:00000 »
Add-DhcpServerv4Class -Name "PXE-BIOS" -Type Vendor -Data "PXEClient:Arch:00000"

# Stratégie sur l'étendue : à ces clients, un autre fichier de démarrage
Add-DhcpServerv4Policy -Name "PXE-BIOS" -ScopeId 192.168.10.64 -Condition OR -VendorClass EQ, "PXE-BIOS*"
Set-DhcpServerv4OptionValue -ScopeId 192.168.10.64 -PolicyName "PXE-BIOS" -OptionId 67 -Value "undionly.kkpxe"

L'étoile après le nom de la classe veut dire « commence par » : l'option 60 complète contient d'autres informations après l'architecture. Pense ensuite à répliquer l'étendue vers srv-ad2, comme plus haut.

Traverser les VLAN

Les postes sont dans le VLAN 10, le DHCP et le serveur de déploiement dans le VLAN 20. Deux mécanismes rendent le PXE possible entre VLAN :

• Le relais DHCP. La diffusion DHCPDISCOVER ne traverse pas un routeur. Le switch de cœur, qui route les VLAN, la relaie en unicast vers les deux serveurs DHCP grâce à ip helper-address 192.168.10.177 et ip helper-address 192.168.10.181 sur l'interface du VLAN 10 : c'est déjà en place pour le DHCP ordinaire (cours Routage et commutation). Le serveur répond au relais (l'adresse 192.168.10.126, que le relais a placée dans le champ giaddr de la demande), et le relais transmet la réponse au poste. Les options 66 et 67 voyagent dans cette réponse.
• Le routage du TFTP et du HTTP. Une fois son adresse obtenue, le poste contacte 192.168.10.186 en unicast, par sa passerelle 192.168.10.126 : rien de spécial à faire si le switch de cœur route sans filtrer.

Si le routage entre VLAN passe par le pare-feu (l'architecture du cours Cybersécurité de l'infrastructure), il faut autoriser du VLAN 10 vers srv-deploiement : TFTP (UDP 69), HTTP et HTTPS (TCP 80 et 443), et le partage des images (NFS pour FOG). TFTP pose un piège : les données repartent du serveur depuis un port aléatoire, qu'un pare-feu ne relie pas tout seul à la demande. Sur pfSense, l'option TFTP Proxy (System > Advanced > Firewall & NAT) suit ces échanges (les règles elles-mêmes s'écrivent comme au chapitre Règles de pare-feu pfSense). Dans cette architecture, c'est aussi pfSense qui relaie le DHCP (Services > DHCP Relay, interface des postes, serveurs de destination 192.168.10.177 et 192.168.10.181 ; voir DHCP et DNS : pfSense ou Active Directory ?) : les options 66 et 67 traversent le relais sans réglage particulier.

WDS : ce qu'il sait encore faire en 2026

WDS (Windows Deployment Services, services de déploiement Windows) est le rôle de Windows Server qui sert de serveur PXE et distribue des images Windows. Pendant quinze ans, le couple WDS et MDT a été la solution gratuite de Microsoft pour déployer des postes. Sa situation a beaucoup changé :

Ce qui reste possible : sur Windows Server 2025 et les versions précédentes, WDS continue de fonctionner pendant leur cycle de support, et il sait toujours démarrer des postes en PXE avec une image de démarrage personnalisée (un Windows PE construit avec l'ADK, ou celui d'un outil tiers). Ce qui ne l'est plus : installer Windows 11 avec WDS seul.

Pour comprendre une infrastructure existante, voici l'installation de base :

# Sur un serveur membre du domaine, avec un volume D: dédié aux images
Install-WindowsFeature WDS -IncludeManagementTools
wdsutil /Initialize-Server /RemInst:"D:\RemoteInstall"

# Répondre à tous les clients PXE (par défaut, WDS ne répond à personne)
wdsutil /Set-Server /AnswerClients:All

# Ajouter une image de démarrage personnalisée (Windows PE construit avec l'ADK)
Import-WdsBootImage -Path "C:\WinPE_amd64\media\sources\boot.wim" -NewImageName "WinPE Sorbier 2026-11"

Si WDS et le DHCP sont sur le même serveur, WDS ne doit pas écouter sur le port 67 et le DHCP doit annoncer l'option 60 : wdsutil /Set-Server /UseDHCPPorts:No /DHCPOption60:Yes.

MDT : retiré

MDT (Microsoft Deployment Toolkit) ajoutait à WDS des séquences de tâches : partitionner, appliquer l'image, injecter les pilotes du modèle, joindre le domaine, installer les applications, le tout piloté par une base de règles. Microsoft l'a retiré : les téléchargements ont disparu début 2026, il ne reçoit plus aucun correctif, y compris de sécurité, et son intégration à Configuration Manager n'est plus prise en charge. Les installations existantes fonctionnent encore, sans support.

Tu croiseras encore WDS et MDT en stage, dans des entreprises qui ne les ont pas remplacés, et dans des sujets ou des rapports d'anciens étudiants. Sache les reconnaître et expliquer pourquoi on ne les choisit plus pour un nouveau projet.

Les solutions en 2026

Microsoft cite aussi le démarrage HTTP(S) des micrologiciels UEFI récents : le poste télécharge son chargeur en HTTP ou HTTPS, sans TFTP. C'est une évolution de la couche réseau, pas un outil de déploiement complet.

Dépanner un démarrage PXE

Exercices