PXE Boot Probleme mit Thinkpad Geräten

[IotSec]

Hallo zusammen,

ich hatte hier diverse Probleme mit PXE boot, die ich größtenteils beheben konnte. Da lag es an dem alten windows netboot paket mit kaputtem GPT.

Allerdings habe ich weiterhin ein Gerät, welches sich partout weigert zu booten. Er holt sich noch grub und das war's. Schwarzer Bildschirm.

Ich weiß, dass es bei ThinkPad Geräten in der Vergangenheit einen Firmware bug gab, der sich genau so geäußert hat. Das Problem hatte ich nämlich vor ein paar Monaten. Ich meine sogar mit genau diesem Modell und dort hatte es dann ein BIOS update behoben. Jetzt ist nur mein Problem, dass dieses Gerät bereits auf dem neuesten BIOS ist.

Es handelt sich um ein Lenovo ThinkPad L14 Gen 3 (Ryzen). Link zum installierten BIOS: https://support.lenovo.com/de/de/downloads/ds555119

Ich verwende außerdem folgende host parameter: opsi-linux-bootimage.append mem=2G,noapic,nomodeset,ramdisk_size=2097152
Das war für Ryzen Geräte mal notwenig. Macht in diesem Fall ohne auch keinen Unterschied.

Habe auch bereits probiert secure boot auf dem Gerät komplett zu deaktivieren.

Ich denke meine Frage ist, ob es immer noch bekannte Probleme mit einzelnen Modellen gibt oder ob es ein anderes Problem sein könnte.

Anderes Thinkpad Modell im exakt selben Kontext ist kein Problem und bootet wie gewünscht.

Hier der Auszug aus dem syslog

Code: Alles auswählen

2026-03-05T09:10:35.791891+00:00 opsi-test in.tftpd[44578]: RRQ from 10.10.40.105 filename opsi/loader/opsi-netboot.x64.efi
2026-03-05T09:10:35.792390+00:00 opsi-test in.tftpd[44578]: tftp: client does not accept options
2026-03-05T09:10:35.793396+00:00 opsi-test kernel: [82873.195401] audit: type=1400 audit(1772701835.785:491): apparmor="ALLOWED" operation="open" profile="/usr/sbin/sssd" name="/proc/44578/cmdline" pid=1018 comm="sssd_nss" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
2026-03-05T09:10:35.796574+00:00 opsi-test in.tftpd[44579]: RRQ from 10.10.40.105 filename opsi/loader/opsi-netboot.x64.efi
2026-03-05T09:10:35.797404+00:00 opsi-test kernel: [82873.200291] audit: type=1400 audit(1772701835.789:492): apparmor="ALLOWED" operation="open" profile="/usr/sbin/sssd" name="/proc/44579/cmdline" pid=1018 comm="sssd_nss" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
2026-03-05T09:10:36.170855+00:00 opsi-test in.tftpd[44583]: RRQ from 10.10.40.105 filename opsi/loader/revocations_sku.efi
2026-03-05T09:10:36.170964+00:00 opsi-test in.tftpd[44583]: sending NAK (1, File not found) to 10.10.40.105
2026-03-05T09:10:36.172539+00:00 opsi-test in.tftpd[44584]: RRQ from 10.10.40.105 filename opsi/loader/revocations_sbat.efi
2026-03-05T09:10:36.172634+00:00 opsi-test in.tftpd[44584]: sending NAK (1, File not found) to 10.10.40.105
2026-03-05T09:10:36.173382+00:00 opsi-test kernel: [82873.574517] audit: type=1400 audit(1772701836.165:493): apparmor="ALLOWED" operation="open" profile="/usr/sbin/sssd" name="/proc/44583/cmdline" pid=1018 comm="sssd_nss" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
2026-03-05T09:10:36.173389+00:00 opsi-test kernel: [82873.576383] audit: type=1400 audit(1772701836.165:494): apparmor="ALLOWED" operation="open" profile="/usr/sbin/sssd" name="/proc/44584/cmdline" pid=1018 comm="sssd_nss" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
2026-03-05T09:10:36.174185+00:00 opsi-test in.tftpd[44585]: RRQ from 10.10.40.105 filename opsi/loader/shim_certificate_0.efi
2026-03-05T09:10:36.174262+00:00 opsi-test in.tftpd[44585]: sending NAK (1, File not found) to 10.10.40.105
2026-03-05T09:10:36.177377+00:00 opsi-test kernel: [82873.578054] audit: type=1400 audit(1772701836.169:495): apparmor="ALLOWED" operation="open" profile="/usr/sbin/sssd" name="/proc/44585/cmdline" pid=1018 comm="sssd_nss" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
2026-03-05T09:10:36.209368+00:00 opsi-test kernel: [82873.613347] audit: type=1400 audit(1772701836.201:496): apparmor="ALLOWED" operation="open" profile="/usr/sbin/sssd" name="/proc/44586/cmdline" pid=1018 comm="sssd_nss" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
2026-03-05T09:10:36.209551+00:00 opsi-test in.tftpd[44586]: RRQ from 10.10.40.105 filename opsi/loader/grub.x64.efi

Ergänzungen:

Eine Datei für die mac des Geräts wird angelegt.

Code: Alles auswählen

~$ ls -lah /tftpboot/opsi/cfg
total 16K
drwxrwxr-x 2 opsiconfd opsifileadmins 4.0K Mar  5 11:15 .
drwxrwxr-x 6 opsiconfd opsifileadmins 4.0K Oct 13 14:31 ..
-rw-r--r-- 1 root      opsiadmin      2.0K Mar  5 11:15 f4-a8-0d-ff-ff-ff.cfg
-rw-rw-r-- 1 opsiconfd opsifileadmins 3.8K Mar  5 10:29 grub.cfg

Code: Alles auswählen

[5] [2026-03-05 11:15:33.857] [               ] PXE boot configuration for host 'pc85.clients.org.de' is now set at /tftpboot/opsi/cfg/f4-a8-0d-ff-ff-ff.cfg   (opsipxeconfd.py:459)

[IotSec]

Das Problem besteht nach wie vor und mittlerweile musste ich feststellen, dass es auch mehr als das eine L14G3 betrifft.

Mein aktueller workaround ist das opsi image vom USB Stick zu booten, allerdings habe ich hier dann immer das Problem, dass der opsi agent nicht mitinstalliert wird und ich am Ende effektiv ein fast blankes Windows habe.

Mein Ablauf ist dabei:
* opsi image vom stick booten -> Start OPSI (mit DHCP)
* clientname und server IP eintragen
* auth mit zuvor gesetztem OTP
* netboot produkt bestätigen
* Installation starten

Im configed ist sowohl das netboot produkt als auch die gewünschten localboot produkte auf setup gestellt.

Ist das normal oder mache ich hier was falsch?

[ThomasT]

Hallo,

leider haben wir hier kein L14G3 und können daher dein initiales Problem nicht nachstellen.
Zu deinem Workaround und dem daraufhin unvollständig installierten Windows:
Gibt es nach der Installation den C:\opsi.org\log Ordner und findest du in den dort vorhandenen Dateien vielleicht einen Hinweis? Gibt es die WinPE Partition noch?
In dieser Phase der Betriebssysteminstallation gibt es einige Fallstricke die für Probleme sorgen können, z.B.:
- Netzwerktreiber-Reinstallation von Windows
- Windows Defender

[IotSec]

Vorweg: ich habe seitdem 2-3 weitere Geräte dieses Modells installiert. Zwar klappt PXE boot nie, aber über das lokale Image booten hat dort einwandfrei geklappt. Sprich agent und locaboot Produkte wurden installiert.

Das problematische Gerät habe ich noch hier. Der log Ordner existiert, allerdings weiß ich nicht, wonach ich hier suche. Da ich im Anschluss noch den agent manuell installiert hatte, ist hier einiges drin.

Tatsächlich sehe ich bei dem Gerät die WinPE Partition noch. Windows weist hier auch einen Laufwerksbuchstaben zu.

Darüber hinaus hat das System noch andere Probleme. Bspw. funktionieren Windows Updates nicht, weil der DeliveryOptimization Service deaktiviert ist.