FOG Project ou WDS : déployer des images Windows par le réseau (PXE)

L'essentiel

• Windows 11 ne s'installe plus avec le boot.wim du support d'installation via WDS : ce déroulé est bloqué. Le démarrage PXE d'images WinPE personnalisées reste possible.
• Depuis avril 2026, les déploiements sans intervention de WDS sont désactivés par défaut (CVE-2026-0386) ; en septembre 2026, Microsoft a annoncé la dépréciation du rôle WDS après Windows Server 2025.
• WDS installe Windows via Windows Setup ; FOG clone un poste modèle avec Partclone. FOG n'est donc pas concerné par ces blocages.
• Avant de migrer vers FOG, vérifiez trois points : Secure Boot (un certificat à enrôler par poste), le chiffrement BitLocker du poste modèle et l'option DHCP 60 héritée de WDS.
• FOG pour les salles homogènes réimagées souvent, Configuration Manager pour les grands parcs Windows, Autopilot pour les machines neuves : le critère est qui installe Windows, pas le serveur PXE.

Le scénario commence souvent de la même façon. Vous ajoutez le boot.wim du support d'installation de Windows 11 à votre serveur WDS, vous démarrez un poste en PXE, et au lieu de l'assistant d'installation s'affiche un message : « Windows Deployment Services client functionality is being partly deprecated ». Sur un WDS hébergé par Windows Server 2025, ce peut être une erreur de pilote de support manquant, sans plus d'explication.

Rien n'est cassé : c'est voulu. Et ce n'est que la première des décisions que Microsoft a prises autour de WDS. La dernière, annoncée en septembre 2026, concerne le rôle tout entier.

Ce que Microsoft a réellement changé

Trois changements se sont empilés, et on les confond souvent.

Windows 11 ne s'installe plus avec le boot.wim du support d'installation. Le déroulé historique — démarrage PXE, boot.wim du DVD, Windows Setup en mode WDS — est bloqué pour Windows 11, quelle que soit la version dont provient le boot.wim. Le démarrage PXE de WDS, lui, n'est pas touché : il peut toujours charger une image WinPE personnalisée, depuis laquelle on lance l'installation à partir d'un partage réseau. Côté postes de travail, le seul déroulé complet encore supporté, Windows 10, concerne un système dont le support a pris fin le 14 octobre 2025 pour les éditions Famille et Professionnel.

Les déploiements sans intervention sont coupés par défaut depuis avril 2026. Le fichier de réponses (unattend.xml) transitait par un canal non authentifié, ce qui exposait son contenu, identifiants compris, à quiconque se trouvait sur le réseau (CVE-2026-0386). Depuis les mises à jour du 14 avril 2026, cette fonction est désactivée par défaut. Une valeur de registre, AllowHandsFreeFunctionality, permet de la réactiver — en rouvrant la faille.

Le rôle WDS est déprécié. Annonce du 21 septembre 2026 : à partir de la version de Windows Server qui suivra Windows Server 2025, le rôle, ses outils, son démarrage PXE et sa diffusion multicast sont dépréciés. Microsoft ne donne encore aucune date de retrait.

À cela s'ajoute MDT, la boîte à outils qui fournissait les images de démarrage personnalisées utilisées avec WDS : Microsoft en a annoncé le retrait immédiat en janvier 2026. Les installations existantes continuent de fonctionner, mais ne reçoivent plus ni correctif ni support, et les paquets de téléchargement peuvent disparaître.

WDS et FOG ne font pas le même métier

On les compare comme deux serveurs PXE interchangeables. Ils ne travaillent pas de la même façon.

WDS installe Windows. C'est un rôle de Windows Server qui s'appuie sur les briques d'installation de Microsoft : WinPE, images WIM, Windows Setup. Il demande un domaine Active Directory (ou le mode autonome), un serveur DHCP, un DNS et un volume NTFS pour le magasin d'images. Il sait diffuser en multicast et ajouter des paquets de pilotes aux déploiements.

FOG clone des disques. FOG Project est un logiciel libre, sous licence GPLv3, dont le serveur tourne sous Linux. Vous préparez un poste modèle ; FOG en capture le contenu avec Partclone sous forme d'image compressée, puis la restaure sur d'autres postes, un par un ou en multicast. Autour de ce cœur : une interface web, l'inventaire matériel, et un client installé sur les postes qui renomme la machine, la joint au domaine et installe des applications après coup (les « snapins »).

Point commun : dans les deux cas, une image Windows destinée à plusieurs machines doit être généralisée avec Sysprep avant la capture. C'est ce qui retire les informations propres au poste modèle, comme son identifiant de sécurité (SID) et les pilotes installés.

Conséquence directe : FOG ne passe ni par Windows Setup ni par le rôle WDS. Les blocages décrits plus haut ne le concernent pas, et Microsoft précise que les outils de déploiement tiers qui ne dépendent pas de WDS ne sont pas touchés par la dépréciation.

Ce que FOG apporte

• Une indépendance vis-à-vis de la feuille de route de Microsoft pour l'étape de déploiement : la capture et la restauration ne dépendent ni de Windows Setup ni d'un rôle de Windows Server.
• Le multicast : FOG s'appuie sur UDPcast pour envoyer une même image à plusieurs postes en consommant à peine plus de bande passante qu'un envoi unique. Une session se lance depuis un groupe d'hôtes, sous un nom que les postes rejoignent, ou directement depuis le menu de démarrage.
• Un serveur Linux plutôt qu'un Windows Server : le projet recommande une distribution LTS (Ubuntu, Debian, Rocky, Alma) et conseille d'installer FOG dans une machine virtuelle, par exemple sous Proxmox, pour simplifier sauvegardes et mises à jour.
• La gestion après déploiement : renommage, jonction au domaine, imprimantes et installation d'applications passent par le client FOG. La suite de la configuration relève des stratégies de groupe, comme pour n'importe quel poste du domaine.

Les pièges de FOG à connaître avant de migrer

Secure Boot. Un ancien fil du forum officiel répond « Currently FOG does not support secure boot ». Ce n'est plus à jour : la documentation décrit désormais le démarrage réseau avec Secure Boot actif. FOG signe lui-même ses noyaux avec une clé générée à l'installation, et chaque poste doit enrôler une fois le certificat de FOG — à la console, machine par machine. La 1.6 documente une méthode sans intervention, mais elle n'a encore été testée qu'en machine virtuelle. Sur la branche 1.5, Secure Boot ne fonctionne qu'en HTTP, pas en HTTPS. Les postes en UEFI 32 bits doivent garder Secure Boot désactivé.

BitLocker et le chiffrement automatique. FOG refuse de capturer une partition chiffrée, et suspendre BitLocker ne suffit pas : il faut déchiffrer complètement le poste modèle avant Sysprep, et ne pas y enregistrer de code PIN Windows Hello. Piège supplémentaire : les versions récentes de Windows 11 activent le chiffrement de l'appareil automatiquement à la première connexion, sur le matériel compatible. Un poste modèle peut donc être chiffré sans que personne ne l'ait demandé.

L'option DHCP 60 héritée de WDS. Sur un DHCP Windows, une option 060 réglée à PXEClient empêche le démarrage réseau UEFI vers FOG. Elle doit être retirée, sauf si WDS tourne sur ce même serveur.

Le multicast et les commutateurs. Le multicast peut exiger une configuration particulière des commutateurs, et une session attend par défaut que tous les postes soient prêts avant de démarrer. Testez sur une salle avant de généraliser.

La version. Fin octobre 2026, la branche stable est la 1.5.10, qui avance par builds successifs (1.5.10.2518 le 11 octobre), et la 1.6.0 est en phase de « release candidate » — c'est pourtant elle que la page de téléchargement présente comme dernière version. Le passage de la 1.5 à la 1.6 est sans retour : il modifie le schéma de la base de données. Testez-le sur un serveur de laboratoire, pas en production.

Ce que WDS garde pour lui

WDS n'a pas perdu tout intérêt. Il reste intégré à l'écosystème Windows Server : console Microsoft, ligne de commande et PowerShell, pré-enregistrement des machines, ajout de paquets de pilotes. Et il continue de démarrer en PXE des images WinPE personnalisées : c'est le chemin que Microsoft laisse ouvert pour Windows 11, avec l'installation lancée depuis un partage réseau.

Si votre parc est déjà sous Configuration Manager, la question se pose autrement : c'est l'outil vers lequel Microsoft oriente ses clients, et il dispose d'un répondeur PXE qui fonctionne sans WDS — en unicast uniquement.

Quant à Windows Autopilot, il ne réimage pas : il transforme la version de Windows préinstallée par le constructeur en poste prêt pour l'entreprise, et s'appuie sur Microsoft Entra ID et l'inscription automatique dans un service de gestion comme Intune. Il est pensé pour des appareils attribués à des utilisateurs et gérés depuis le cloud ; il ne remplace pas une image si votre besoin est de remettre à l'identique une salle entière sans dépendre d'un service en ligne.

Comment choisir

Gardez WDS, sans y investir davantage, s'il fonctionne aujourd'hui avec une image WinPE personnalisée sur Windows Server 2022 ou 2025 et que votre besoin est stable. Il reste supporté sur ces versions. Profitez de ce délai pour préparer la suite plutôt que pour l'étendre.

Passez à FOG si vous réimagez régulièrement des salles de postes homogènes — enseignement, formation, ateliers — sans Configuration Manager, et que vous acceptez d'administrer un serveur Linux. C'est le cas d'usage pour lequel il a été pensé : une image maîtresse, un multicast, une salle remise à neuf.

Passez à Configuration Manager si vous l'avez déjà, ou si votre parc est assez grand et assez homogène sous Windows pour justifier son coût et sa complexité.

Regardez Autopilot pour les machines neuves attribuées à des utilisateurs, si vous êtes déjà sous Intune.

Dans tous les cas, la question utile n'est pas « quel serveur PXE ? » mais « qui installe Windows : Windows Setup, ou une copie de disque ? ». C'est elle qui détermine votre exposition aux prochaines décisions de Microsoft.

Pour l'installation pas à pas de FOG — script installfog.sh, options DHCP 66 et 67, première capture —, voir le tutoriel FOG Project. Si vos salles sont réparties sur plusieurs VLAN, chaque segment doit recevoir son DHCP et ses options de démarrage : c'est l'un des pièges détaillés dans l'article sur la segmentation en VLAN.