我最早接触PXE网络装机时印象最深的就是为实现自动化先被配置折磨到想放弃。传统方案要自己搭DHCP、tftp、http、nfs调pxelinux.cfg、grub菜单UEFI和BIOS两套引导文件还要分开配折腾一整天是常有的事。后来在给公司一批电脑重装系统的需求里我试了用Docker部署iVentoy发现整个装机流程被大幅简化——不用手工生成启动菜单不用管tftp目录只要把ISO镜像丢进去客户端从网卡启动就能看到装机列表。这篇文章就围绕Docker部署iVentoy这个主题把从环境准备到客户端装机的关键步骤、原理和个人踩坑记录整理出来给同样想在内网搭建PXE装机平台的朋友做参考。1. 为什么是 iVentoy Docker传统 PXE 的痛与解1.1 传统 PXE 装机方案的复杂度PXEPreboot eXecution Environment是让客户端在无操作系统时通过网络启动并安装系统的机制。理论上只要解决了客户端开机后从哪里拿引导文件、从哪里挂载安装源这两个问题批量装机就不难。但传统做法里每个环节都是单独的软件DHCP负责分配IPtftp提供引导程序http或nfs承载ISO安装源还有pxelinux.0、grubx64.efi这些引导文件要手动配置。更重要的是BIOS引导和UEFI引导是两条路线很多人在配置引导菜单时搞混这两个模式导致有些机器能进菜单、有些机器直接黑屏。我最早用dnsmasq加tftp加nginx搭过一套PXE环境几个ISO镜像还能勉强跑通。等后来系统版本一多菜单维护就变得很难受每增加一个镜像要改菜单文件、确认路径、重新生成initrd偶尔还要处理UEFI的安全启动问题。对个人或小型运维团队来说这套方案的学习成本和维护成本都很高。1.2 iVentoy 做了哪些脏活累活iVentoy本质是一个增强版PXE服务器。它会自动接管网络中的DHCP广播也可以配置为仅响应特定请求再通过内置tftp服务下发引导文件最终用http协议把ISO内容分发给客户端。需要运维人员做的事情只有一件把ISO镜像放进数据目录启动服务完事。它最大的特点在于菜单是自动生成的。传统PXE里客户端启动后会读取grub/pxelinux配置来显示可选择的系统镜像iVentoy则根据数据目录下的文件列表动态生成菜单开机后能看到所有可用的ISO用方向键选择就能进入对应系统的安装界面。对Windows、主流Linux发行版、ESXi这类常见镜像都有现成的适配。对于需要无人值守批量的场景它还可以给特定ISO关联自动应答文件实现全自动安装。1.3 为什么再套一层 Docker有人可能会问iVentoy本身就是解压即用的程序为什么还非要用Docker我在飞牛NAS这类设备上试过直接跑和容器跑两种方式差别还是挺明显的。容器化最大的好处是数据目录与程序分离ISO镜像挂在宿主机某个路径下升级iVentoy版本时不会影响镜像文件另外通过--restart unless-stopped可以让它在宿主机重启后自动拉起不用手动去启动进程。Docker的另一个价值是环境一致性。iVentoy依赖的网络栈、curl、parted等工具在不同Linux发行版上版本差异比较大官方文档也说明它需要特定运行环境。用镜像打包好运行环境后不管底层是Ubuntu、Debian还是NAS系统跑起来行为都是一致的。加上compose文件可以版本化管理整个装机服务平台变成了一段可追溯的配置代码这对多人协作或长期维护都很实用。2. 部署前的准备与目录规划2.1 硬件与系统环境要求iVentoy在官方的定位就是一个轻量服务对硬件要求不高。我在飞牛NAS上用Docker部署时分配的容器内存上限是2GB实际运行占用大概在300MB到600MB之间CPU占用在客户端批量启动时会短暂升高峰值也就十几个百分点。物理机或虚拟机都可以跑重要的是所在网络的稳定性和带宽这也是PXE装机体验的关键。Docker环境是前提。Linux服务器直接安装Docker Engine就可以如果用的是群晖、飞牛这类NAS系统通常已经在系统应用中心里集成了Docker套件。至于Windows环境我不建议用Docker Desktop来跑iVentoy因为iVentoy的DHCP功能依赖宿主机的物理网卡直接接收网络广播而Docker Desktop在Windows上使用的是Hyper-V虚拟交换机网络模式受限经常出现客户端找不到DHCP服务的情况。真要Windows做服务器直接用iVentoy的Windows原生版本更省事。2.2 网络规划一个必须提前想的点iVentoy运行后会占用所在网络的DHCP服务这是它最大的便利也是最大的潜在风险。如果网络里已经存在其他DHCP服务器比如家用路由器、公司网关的DHCP客户端广播DHCP请求时可能出现多个DHCP服务器同时应答导致客户端拿到错误网关或IP地址启动流程变得不稳定甚至卡死。我的习惯是给iVentoy单独划分一个物理网段。最简单的做法是准备一台普通的千兆交换机iVentoy服务器插在上面需要装机的客户端也插在上面保持这个交换机与办公网络隔离。这样iVentoy可以放心接管DHCP不用考虑冲突问题。如果只能与办公网共用那就要在iVentoy配置里关掉内置DHCP的服务并改用手动指定IP的方式但这种用法会丧失一部分便利性适合熟悉网络配置的人自行调整。2.3 镜像与数据目录规划iVentoy的数据目录里面主要包括两个部分一个是存放ISO镜像的目录另一个是保存配置、日志、自动应答文件的目录。容器化部署时这两个目录建议分别映射到宿主机路径逻辑清晰后续备份也只是拷贝文件的事。宿主机路径容器内路径用途/srv/iventoy/iso/iso存放待安装的ISO镜像文件/srv/iventoy/data/data保存iVentoy配置、日志、设备信息、上传文件等ISO目录规划也有讲究。我一般按系统类型建子目录比如windows、linux、esxi客户端启动菜单里会自动体现出目录层级找起来一目了然。如果目录里塞了几十个ISO菜单就会很长反而不利于装机时快速定位。3. Docker 部署实操记录3.1 镜像拉取的真实体验在Docker Hub上搜索iVentoy会看到几个不同维护者上传的镜像。不同镜像的目录结构、环境变量可能略有差异最好优先看镜像的README再使用。我使用的是youken2648/iventoy这个镜像主要是因为它更新比较活跃跟官方版本同步及时。拉镜像在国内网络环境下有时候不太顺利Docker Hub连接超时是常见问题。如果反复docker pull失败可以考虑给Docker配置registry mirror加速地址后再试。我一般会在/etc/docker/daemon.json里加好镜像加速配置然后重启Docker守护进程。不同的加速源可用性会变化真遇到拉不动的情况就从可访问Docker Hub的机器上导出镜像tar包再传到目标服务器docker load这也是一种可行方案。3.2 docker run 一键启动拉好镜像后先用最直接的方式启动一版验证链路docker run -d \ --name iventoy \ --restart unless-stopped \ --network host \ --privileged \ -v /srv/iventoy/data:/data \ -v /srv/iventoy/iso:/iso \ -e IVENTOY_AUTO_RUN1 \ youken2648/iventoy命令里几个关键点解释一下--network hostiVentoy的DHCP广播和tftp服务要求直接使用宿主机物理网卡桥接网络模式下很难正确处理广播包所以必须用host网络模式。这也意味着Docker Desktop那类基于虚拟机的方案天然不适合跑它。--privileged容器内某些操作需要直接访问网络接口和底层设备比如修改路由表、绑定低端口等。加上这个参数也是为了减少网络初始化方面的权限问题。IVENTOY_AUTO_RUN1这个环境变量让容器启动后自动后台运行iVentoy主程序否则还需要进入容器手动执行启动脚本。挂载目录把ISO目录和data目录映射出来升级容器时数据不丢。3.3 用 docker compose 管理更省心直接在命令行敲docker run适合临时验证平时我更推荐用docker compose管理配置一目了然改动也方便。下面是我的docker-compose.yml文件services: iventoy: image: youken2648/iventoy:latest container_name: iventoy restart: unless-stopped network_mode: host privileged: true volumes: - /srv/iventoy/data:/data - /srv/iventoy/iso:/iso environment: - IVENTOY_AUTO_RUN1启动命令也简单cd /srv/iventoy docker compose up -d日常维护时docker compose logs -f看日志、docker compose down停服务都按标准Docker操作来。因为这里必须使用host网络模式所以不需要像其他容器那样做端口映射16000和16001端口直接就暴露在宿主机上。3.4 启动验证容器启动后先看日志确认服务正常docker logs iventoy正常情况下日志里会出现iVentoy的欢迎信息并显示Web管理地址和版本号。接着在浏览器里打开http://服务器IP:16000就能看到iVentoy的Web管理后台。如果页面打不开优先检查防火墙是不是放行了16000端口很多Linux服务器默认开ufw或firewalld新端口不放行就会出现客户端能启动、后台访问不了的情况。4. Web 管理后台与镜像管理4.1 后台的功能范围iVentoy的Web管理后台不是一个花哨的控制台但该有的功能都有。首页能看到当前接入的客户端设备列表包括设备MAC地址、IP、架构BIOS/UEFI、当前状态等镜像管理区域对应数据目录里的ISO文件列表设置页面里可以修改管理密码、调整DHCP行为、查看系统日志。整体设计确实比传统PXE平台直观太多传统方案里排查设备问题要翻各种日志文件iVentoy把这些信息都集中到了后台页面里。后台在部署初期作用很大。我自己测试时先在客户端开机进入PXE启动然后盯着后台看设备是否出现确认能从网络启动到设备列表出现基本就说明DHCP、tftp、引导文件这条链路是通的。4.2 放镜像的两个方式往iVentoy里加镜像最直接的方式是把ISO文件拷贝到宿主机/srv/iventoy/iso目录下。因为目录做了挂载容器内立刻就能感知到。注意文件权限问题如果容器内进程以root运行宿主机目录的写权限不匹配可能导致无法读取。遇到过几次文件明明拷进去了后台菜单里却看不到的诡异情况最后都是权限问题把文件属主改成nobody:nogroup或root就正常了。另一种方式是通过后台页面操作。不同镜像版本对Web上传的支持程度不一样新版大多支持直接上传ISO文件。上传大文件时建议使用网线连接服务器无线传输大ISO会非常痛苦动辄几个GB的镜像Wi-Fi中途断一次就要重来。4.3 自动安装与无人值守如果只是把ISO放进目录客户端选择镜像后还是得手动点击下一步、输入配置这只能算半自动。iVentoy的自动安装功能可以把特定的应答文件关联到对应镜像上实现选择镜像后全程无人值守的效果。Windows系统使用的是autounattend.xmlLinux系统则根据不同发行版使用kickstart或cloud-init。具体写应答文件的方式跟每个系统的安装机制有关Windows的autounattend要定义分区、镜像索引、产品密钥Rocky/CentOS的kickstart要配置安装源、分区、软件包列表。我个人的建议是分阶段推进。第一天先跑通手动选择镜像然后安装的基础流程自动安装功能等熟悉了后台的应答文件挂载逻辑再做。一次性想搞定太多功能遇到问题反而难排查。4.4 针对批量装机的进阶配置iVentoy除了装系统还支持磁盘克隆功能。可以把一台机器上装好系统后的磁盘做一个母盘镜像然后通过网络批量克隆到其他机器上。这个功能在需要给几十台配置完全相同的机器部署环境时非常高效比一台台装系统再装软件节省了大量时间。具体操作是在后台添加一个克隆任务设置好母盘镜像客户端从网络启动后选择克隆模式。克隆完成后如果要保证机器唯一性有些企业会配合后续的sysprep或主机名初始化脚本一起使用。5. 客户端从网络启动装机的完整流程5.1 客户端 BIOS/UEFI 设置iVentoy的菜单在BIOS和UEFI模式下都会有对应引导。客户端要进入PXE启动一般有两种方式。临时启动可以直接开机时按F12部分品牌是F11或其他按键呼出启动菜单选择网卡设备不用改启动顺序。如果经常要给同一批机器重装系统那就在BIOS里把网卡启动调到硬盘启动前面省得每次按F12。需要注意的一点UEFI模式下部分主板默认开启了Secure Boot这会导致iVentoy的引导程序被拒绝加载。iVentoy对SecureBoot的处理能力在不同版本间有变化如果启动时出现Security Violation之类提示先在BIOS里临时关闭Secure Boot而不是急着重刷固件。5.2 从 iVentoy 菜单选择镜像并安装客户端完成网络启动后屏幕会显示iVentoy自动生成的菜单列出了所有可用的ISO镜像。选择目标ISO后iVentoy会动态配置好grub或ipxe的引导参数挂载ISO并启动安装程序。之后的流程就跟用光盘或U盘启动安装一模一样。通常iVentoy菜单页面还会显示当前服务器的信息、镜像大小等基本信息。选错镜像也不会出现破坏性操作最多就是进入错误的安装程序退出重选即可。这个容错能力对第一次用网络装机的同事非常友好。5.3 多台机器同时开工时的注意事项PXE装机瓶颈通常在网络带宽和服务器磁盘IO而不是计算性能。iVentoy客户端下载ISO走的是HTTP协议每台客户端都会从服务器拉取完整的镜像流。如果同时给五台机器装Windows 10服务器磁盘读速度和千兆网卡带宽都会成为决定装机速度的核心因素。实测在千兆内网、机械硬盘的条件下同时三台机器装Windows 10基本没问题速度能跑满单台客户端带宽。同时装五六台以上传输速度会明显下降。如果机器数量多建议用SSD存放ISO或者提前规划好分批装机的节奏。服务器网卡建议用千兆起步万兆更好毕竟ISO文件动辄5GB-10GB带宽翻倍带来的体验提升非常直接。6. 实战中踩过的坑与排查链路6.1 DHCP 冲突导致客户端拿到错误地址第一次在公司实测时我把iVentoy服务器直接插到了办公室的交换机上结果几台测试机的PXE启动非常不稳定有时能看到菜单、有时直接卡死。观察后台日志后发现部分客户端并没有从iVentoy管理后台的设备列表里出现。进一步抓包才确认是办公室路由器里的DHCP服务抢答了部分客户端从路由器拿到了IP地址和网关根本不知道iVentoy的存在。排查链路先在iVentoy后台看设备列表确认是否所有客户端都能被识别接着在客户端上检查获取到的IP和网关如果网关指向其他设备基本就是DHCP冲突。解决办法与前面提到的一致最有效的方式是让iVentoy使用独立交换机隔绝其他DHCP服务从而让PXE引导链路更稳定。6.2 客户端显示从网络启动却一直循环有台旧款笔记本开启了PXE启动后屏幕显示Start PXE over IPv4然后过几秒又自动重启反复循环。iVentoy后台也看不到这台设备的连接记录。这种情况一般是客户端与服务器之间的网络不通最常见的原因是交换机端口配置了VLAN或端口隔离规则导致DHCP广播包和tftp请求无法跨VLAN传递。排查思路从链路层开始先用有线方式连接一台客户端确认物理网口亮起然后查看交换机端口的VLAN配置确认为Access口且VLAN与服务器一致最后用tcpdump port 67 or port 69在服务器侧抓包看是否收到DHCP Discover请求。如果服务器侧完全没包问题就在二层网络。6.3 Secure Boot 与 UEFI 引导模式不匹配一批新买的Windows 11预装机默认开启了SecureBoot和UEFI启动iVentoy的启动菜单能显示但选择Linux ISO后报错无法加载内核。检查后发现这批机器的启动模式没问题问题出在新机器默认开启的SecureBoot阻断了Linux引导程序的加载。在BIOS里关闭SecureBoot后再次选择镜像就能正常进入安装界面。这类问题排查时有一个技巧iVentoy后台能够把不同客户端标识为UEFI或BIOS启动模式可以据此判断引导路径变化对客户端影响。如果客户端能显示菜单但进入安装程序时崩溃优先怀疑SecureBoot、内核参数不兼容或镜像本身不完整。6.4 容器权限导致 ISO 目录不可见有次在飞牛NAS上更新了容器之后发现后台管理界面正常但客户端启动菜单里一直显示没有可用镜像。排查了很久最终发现问题出在挂载目录权限上新容器以非root用户运行无法读取宿主机/srv/iventoy/iso目录下的文件。验证方式是在容器内手动执行ls -l /iso能看到权限报错。解决方法是调整宿主机目录的读写权限或者更换镜像中支持通过环境变量指定用户和组的镜像。这类问题在使用不同镜像升级时容易反复出现升级前最好先确认新镜像的User/Group设置是否与旧版本一致。6.5 排查这类问题的一般思路部署iVentoy这类PXE服务排查故障不用慌链路是有固定顺序的。客户端开机后首先要能获取IP然后才能下载启动引导程序最后才能看到菜单并加载ISO。所以遇到问题时按这个顺序排查网络能不能通、DHCP有没有响应、tftp引导文件能不能下载、菜单是否正常生成、ISO挂载是否成功。实际操作中tcpdump和netstat这两个工具能解决80%的网络问题。客户端启动的同时在服务器上抓包很快就能定位是哪个环节没通。Docker部署时再加一层排查确认容器确实在host网络模式下运行以及防火墙没有拦截67/69/16000/16001这些关键端口。最后分享一个我自己的使用习惯iVentoy数据目录下的ISO文件在完成一轮批量装机后我会及时清理或归档。因为镜像文件体积大长期堆在ISO目录里不仅占用空间也让启动菜单变得冗长。真正要留的版本控制在一个目录下用日期加版本号命名装完机后把临时用的测试镜像移走或删除这样后续使用这套PXE平台时每次都能清晰地知道自己该选择哪个镜像。