必须在启用 BitLocker 前完成全部准备，因网络解锁是启动时密钥保护器类型，依赖TPM 2.0、UEFI DHCP驱动（禁用CSM）、域内WDS服务器、独立DHCP、正确证书及组策略配置，且仅适用于TPM+网络密钥组合的系统卷。
要在 bitlocker 已启用的前提下正确配置网络解锁（network unlock），关键不是“先开 bitlocker 再加功能”，而是必须在启用 bitlocker 之前，就完成网络解锁所需的全部底层准备。因为网络解锁本质上是 bitlocker 的一种启动时密钥保护器类型（类似 tpm+pin），它依赖特定硬件、固件和域环境协同工作，无法在加密后“热添加”。
一、确认基础条件是否全部满足
网络解锁不是开关式设置，而是一套联动机制。缺一不可：
- 硬件层面：设备必须搭载 TPM 2.0 芯片，且 UEFI 固件需原生支持 DHCP 驱动程序（禁用 CSM 兼容模式）；第一个物理网卡（通常是主板集成网口）必须能正常获取 DHCP 地址；其他网卡（如 iDRAC、管理口）若不支持 DHCP，必须排在该主网卡之后枚举。
- 系统与角色层面：客户端必须是已加入域的 Windows 10/11 专业版或企业版；域内需部署 Windows 部署服务（WDS）服务器，并在其上安装“BitLocker 网络解锁”可选功能；还需独立运行一台 DHCP 服务器（不能由 WDS 承担）。
- 密钥与策略层面：已在 WDS 服务器生成并正确导入公钥/私钥对；域组策略中已启用“启用网络解锁”并指定公钥路径；客户端 UEFI 网络堆栈已启用（BIOS/UEFI 设置中开启 “Network Stack” 或 “UEFI Network Protocol”）。
二、在加密前完成核心配置流程
若 BitLocker 已启用但尚未使用 TPM+PIN 保护器，网络解锁仍无法生效——它只作用于“TPM + 网络密钥”组合保护的系统卷。因此需按顺序操作：
- 在组策略编辑器中定位到：计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密 → 操作系统驱动器，启用“启用网络解锁”，并填写 WDS 服务器上的公钥 URL（如
\wdsserverREMINSTBootdNetworkUnlock.key）。 - 使用 PowerShell 在客户端预配网络解锁保护器：
Manage-bde -protectors -add C: -TPMAndPin（先加 PIN）→ 再执行Manage-bde -protectors -add C: -NetworkKey（此步会向 WDS 请求并缓存网络密钥）。 - 确保重启时进入 UEFI 网络协议阶段能成功获取 IP 并联系 WDS 服务器；失败时可在开机自检画面观察是否有“Network Unlock initializing…”提示。
三、验证与常见失效点
配置完成后，真正验证方式是冷重启（非热重启或休眠唤醒）：
- 断电再开机，若看到锁屏前短暂出现网络活动指示（如网卡灯快闪），且未弹出 PIN 输入框，即表示网络解锁成功。
- 若仍要求输入 PIN，检查事件查看器中“Applications and Services Logs → Microsoft → Windows → BitLocker-DrivePreparationTool”和“BitLocker-Management”日志，重点关注错误代码 0x80290401（DHCP 失败）、0x80290402（WDS 连接超时）或 0x80290405（密钥不匹配）。
- 特别注意：USB-C/雷电扩展坞中的网卡、某些 Realtek PCIe GbE 控制器在 UEFI 下可能无 DHCP 支持，此时需更换主板网口或更新固件。
