Windows服务器启用BitLocker网络解锁功能，核心就是让服务器在无人值守重启时，通过网络中的WDS（Windows部署服务）服务器自动完成磁盘解密，而不需要管理员手动输入密码或插入U盘。具体做法是：在服务器上启用BitLocker并选择"网络解锁"作为保护器，同时在局域网内部署一台WDS服务器并配置好网络解锁证书，最后通过组策略或PowerShell将客户端指向这台WDS服务器即可。整个流程涉及三个关键环节——BitLocker策略配置、WDS角色部署、网络解锁证书分发，缺一不可。

很多运维人员觉得服务器重启后要远程去输密码很麻烦，尤其是机房在异地、半夜自动重启的场景。BitLocker网络解锁（Network Unlock）就是微软专门为这种"无人值守重启"场景设计的功能。它的原理是：服务器启动时，BIOS/UEFI阶段会通过网络发送一个请求，局域网内的WDS服务器验证身份后返回解密密钥，BitLocker拿到密钥就自动解锁系统盘继续启动。整个过程不需要人工干预，安全性也有保障，因为解密通信走的是TLS加密通道。

一、BitLocker网络解锁的适用场景和前提条件

在动手配置之前，你需要确认几个硬性条件。第一，服务器必须支持UEFI启动，传统BIOS启动不支持网络解锁。第二，服务器的网卡必须支持PXE（预启动执行环境），现在绝大多数服务器网卡都支持。第三，你的局域网内必须有一台运行Windows Server的机器来充当WDS服务器，它负责存储和分发网络解锁密钥。第四，服务器和WDS服务器之间的网络必须在启动阶段就能通，也就是说不能依赖操作系统加载后才建立的网络连接。

适用场景非常明确：远程机房的无人值守服务器、需要定期自动重启的业务服务器、使用远程管理卡（如iDRAC、iLO）但不想每次重启都手动解锁的环境。如果你的服务器就在身边、有人能随时操作，那其实用TPM+PIN或者TPM+启动密钥就够了，没必要上网络解锁。

二、部署WDS服务器并安装网络解锁角色

第一步是在局域网内找一台Windows Server（2012 R2及以上版本均可），安装WDS角色。打开服务器管理器，点击"添加角色和功能"，在角色列表中勾选"Windows部署服务"。安装过程中需要同时勾选"部署服务器"和"传输服务器"两个角色服务。安装完成后，在WDS控制台中右键点击服务器名称，选择"配置服务器"。

在配置向导中，选择"网络解锁"相关选项。具体路径是：在WDS控制台中展开你的服务器节点，右键点击"网络解锁"，选择"安装网络解锁"。系统会提示你创建一个网络解锁证书和密钥文件。这个证书是整个网络解锁体系的信任根基，务必妥善保管。安装完成后，WDS服务器就具备了为客户端分发解锁密钥的能力。

# 在WDS服务器上通过PowerShell确认网络解锁状态
Get-WdsServerConfiguration | Select-Object NetworkUnlockEnabled, NetworkUnlockCertificateThumbprint

执行上面的命令，如果NetworkUnlockEnabled显示True，说明WDS端的网络解锁已经就绪。如果显示False，需要回到WDS控制台重新配置。

三、在目标服务器上启用BitLocker并配置网络解锁

接下来在需要保护的Windows服务器上操作。首先确认TPM已启用且正常工作，可以通过运行tpm.msc查看。然后打开"控制面板 → BitLocker驱动器加密"，找到系统盘（通常是C盘），点击"启用BitLocker"。

在加密方式选择界面，勾选"使用网络解锁"这个选项。系统会提示你选择一个保护器，这里你可以同时勾选TPM和网络解锁，形成双重保护——平时用TPM自动解锁，TPM出问题时网络解锁作为备用。如果你只想用网络解锁，那就只勾网络解锁，但强烈建议保留TPM作为第一道防线。

加密过程需要一些时间，取决于磁盘大小和性能。加密完成后，系统会提示你保存恢复密钥，这个步骤不能跳过，把恢复密钥存到安全的地方（比如AD域、U盘、打印出来锁保险柜）。

# 在目标服务器上通过PowerShell查看BitLocker状态
Get-BitLockerVolume -MountPoint "C:" | Select-Object MountPoint, ProtectionStatus, KeyProtector

通过上面的命令可以看到KeyProtector列表中是否包含"Network Unlock Certificate"类型的保护器。如果有，说明配置成功。

四、通过组策略将客户端指向WDS服务器

光在客户端启用网络解锁还不够，你还需要告诉它"去哪里找WDS服务器拿密钥"。这一步通过组策略完成。打开组策略编辑器（gpedit.msc或通过域控的GPO），导航到：

计算机配置 → 管理模板 → Windows组件 → BitLocker驱动器加密 → 操作系统驱动器

找到"配置网络解锁的WDS服务器"这一项，启用它，然后填入你的WDS服务器的IP地址或完整域名。如果你的环境是域环境，建议通过域组策略统一下发；如果是工作组，就在每台服务器上本地配置。

# 通过PowerShell批量配置组策略（域环境）
$GPO = New-GPO -Name "BitLocker Network Unlock" -Domain "yourdomain.com"
Set-GPRegistryValue -Name "BitLocker Network Unlock" -Key "HKLM\SOFTWARE\Policies\Microsoft\FVE" -ValueName "NetworkUnlockAllowSecureDHCP" -Value 1 -Type DWord
Set-GPRegistryValue -Name "BitLocker Network Unlock" -Key "HKLM\SOFTWARE\Policies\Microsoft\FVE" -ValueName "NetworkUnlockPin" -Value "" -Type String

上面的脚本创建了一个域GPO并设置了网络解锁允许通过安全DHCP获取WDS地址。如果你的WDS服务器地址是固定的，还可以直接设置WDS服务器IP：

# 设置指定的WDS服务器地址
Set-GPRegistryValue -Name "BitLocker Network Unlock" -Key "HKLM\SOFTWARE\Policies\Microsoft\FVE" -ValueName "NetworkUnlockWdsServer" -Value "192.168.1.100" -Type String
五、验证网络解锁是否正常工作

配置完成后，必须做一次完整的重启测试。重启服务器，在BitLocker解锁界面观察是否自动跳过、直接进入系统。如果看到系统正常启动到登录界面，说明网络解锁生效了。如果还是停在BitLocker界面要求输入密码，说明配置有问题，需要排查。

常见的排查方向有以下几个：第一，检查WDS服务器是否正常运行，用另一台机器ping一下WDS服务器IP看网络是否通。第二，检查防火墙，WDS服务器需要开放UDP 67/68（DHCP）和UDP 4011（网络解锁专用端口），客户端也需要能访问这些端口。第三，检查证书是否过期，网络解锁证书默认有效期是10年，但如果你手动重新生成过，需要确认新证书已同步到客户端。第四，确认UEFI启动顺序正确，有些服务器默认从Legacy BIOS启动，需要在BIOS设置中改为UEFI模式。

# 检查WDS服务器防火墙规则是否开放
Get-NetFirewallRule -DisplayName "*WDS*" | Select-Object DisplayName, Enabled, Direction
六、安全注意事项和最佳实践

网络解锁虽然方便，但安全性比纯TPM解锁要低一个层级，因为它依赖网络通信。以下几点必须注意：

第一，网络解锁证书是核心资产，泄露等于全盘暴露。WDS服务器本身要做好安全加固，限制访问权限，最好放在独立的管理VLAN中。第二，不要在生产环境中只用网络解锁而不配合TPM，建议始终以TPM为主、网络解锁为辅的双保护策略。第三，定期轮换网络解锁证书，虽然默认10年有效期，但安全合规要求可能更短。第四，如果服务器不再需要无人值守重启能力，及时移除网络解锁保护器，减少攻击面。

第五，在域环境中，可以通过AD DS备份BitLocker恢复密码，这样即使网络解锁出问题、TPM也失效，你还能通过AD恢复。这是很多人忽略的兜底方案。第六，对于物理安全要求极高的场景，网络解锁可能不适合，因为只要有人能接入同一网络段，理论上就有机会尝试获取解锁密钥。这种情况下，用启动密钥+U盘物理隔离的方式更稳妥。

七、常见问题快速解答

问：网络解锁和TPM自动解锁有什么区别？答：TPM解锁完全本地化，不依赖网络，安全性更高；网络解锁依赖局域网内的WDS服务器，适合远程无人场景。两者可以并存。

问：可以用Linux做WDS服务器吗？答：不行。网络解锁是微软专有协议，WDS服务器必须是Windows Server。但你可以用Linux做PXE引导服务器来部署操作系统，那是另一回事。

问：服务器重启后网络还没连上怎么办？答：网络解锁发生在操作系统加载之前的UEFI阶段，此时网卡通过PXE获取IP和通信，不依赖操作系统的网络栈。只要网卡支持PXE、物理链路通、DHCP能分配地址，就能工作。

问：Hyper-V虚拟机支持网络解锁吗？答：支持，但需要虚拟机配置为Generation 2（UEFI），并且虚拟交换机支持PXE。具体配置和物理机类似，只是WDS服务器可能需要针对虚拟机网段单独配置。

总的来说，BitLocker网络解锁是Windows Server远程运维的一个实用功能，配置不复杂但环节较多，关键在于WDS服务器的正确部署和组策略的精准下发。只要按照上面的步骤一步步来，绝大多数场景都能顺利跑通。建议先在测试环境验证完整流程，再推广到生产服务器。