Eigener PXE-Server-Troubleshooting: So löst du den Fehler „ProxyDHCP service did not reply to request on port 4011“

Die Einrichtung eines PXE-Servers (Preboot Execution Environment) ist ein Segen für Administratoren, die unzählige Computer zentral über das Netzwerk booten und installieren möchten. Ob es darum geht, Betriebssysteme zu deployen, Live-Systeme zu starten oder Diagnosetools auszuführen – PXE macht den Umgang mit physischen Medien überflüssig. Doch wie so oft im Leben eines IT-Spezialisten können bei der Konfiguration Fallstricke lauern. Einer der frustrierendsten Fehler, auf den man stoßen kann, ist die Meldung: „ProxyDHCP service did not reply to request on port 4011”.

Dieser Fehler bedeutet, dass Ihr bootendes Gerät versucht hat, Informationen von einem ProxyDHCP-Dienst anzufordern, aber keine Antwort erhalten hat. Das kann verschiedene Ursachen haben, von Konfigurationsfehlern über Firewall-Probleme bis hin zu Netzwerk-Tücken. Keine Sorge, in diesem umfassenden Guide führen wir Sie Schritt für Schritt durch die Fehlerbehebung, damit Ihr PXE-Server bald wieder reibungslos funktioniert.

Grundlagen des PXE-Boot-Prozesses und die Rolle von ProxyDHCP

Um den Fehler zu verstehen, müssen wir zunächst den typischen PXE-Boot-Prozess und die Rolle des ProxyDHCP-Dienstes beleuchten:

1. DHCP-Anfrage (Discover): Das Client-Gerät sendet eine DHCP-Discover-Anfrage ins Netzwerk, um eine IP-Adresse und weitere Netzwerkinformationen zu erhalten.
2. DHCP-Antwort (Offer): Ein regulärer DHCP-Server antwortet mit einem IP-Angebot (IP-Adresse, Subnetzmaske, Gateway, DNS-Server).
3. PXE-Erkennung: Gleichzeitig kann ein PXE-fähiger Client in seiner DHCP-Anfrage spezielle Optionen senden (z.B. Option 60), die anzeigen, dass er PXE-booten möchte.
4. ProxyDHCP-Antwort (Offer): Hier kommt der ProxyDHCP-Dienst ins Spiel. Wenn ein separater DHCP-Server die IP-Adressen vergibt, aber Ihr PXE-Server die Boot-Informationen bereitstellen soll, agiert der PXE-Server als ProxyDHCP. Er antwortet auf die PXE-spezifischen Anfragen auf Port 4011 (UDP) und teilt dem Client mit, wo er die Boot-Dateien (typischerweise über TFTP) finden kann (z.B. Dateiname und IP-Adresse des TFTP-Servers).
5. TFTP-Anfrage: Der Client kontaktiert den TFTP-Server (Trivial File Transfer Protocol) auf Port 69 (UDP), um die Boot-Dateien herunterzuladen (z.B. pxelinux.0, grubx64.efi).
6. Boot: Nach dem Download der Boot-Dateien startet der Client den Boot-Vorgang.

Der Fehler „ProxyDHCP service did not reply to request on port 4011” bedeutet also, dass Schritt 4 nicht funktioniert hat. Der Client hat eine Anfrage gesendet, aber der ProxyDHCP-Server hat nicht darauf geantwortet.

Häufige Ursachen für den „ProxyDHCP service did not reply” Fehler

Bevor wir uns in die Details stürzen, lassen Sie uns die wahrscheinlichsten Gründe für diesen Fehler auflisten:

• Der ProxyDHCP-Dienst ist nicht gestartet oder abgestürzt.
• Die Firewall auf dem PXE-Server blockiert den eingehenden Datenverkehr auf Port 4011 (UDP).
• Die Konfiguration des ProxyDHCP-Dienstes ist fehlerhaft.
• Es gibt mehrere DHCP-Server im Netzwerk, die sich gegenseitig stören.
• Der Netzwerk-Switch oder Router leitet die DHCP/PXE-Anfragen nicht korrekt weiter (z.B. fehlender DHCP Relay Agent).
• Die Netzwerkschnittstelle des PXE-Servers ist falsch konfiguriert oder nicht erreichbar.
• Der Client befindet sich in einem anderen Subnetz als der PXE-Server und die Routing-Einstellungen sind inkorrekt.

Schritt-für-Schritt-Fehlerbehebung: So lösen Sie das Problem

Schritt 1: Überprüfen Sie den Status des ProxyDHCP-Dienstes

Dies ist der erste und oft übersehene Schritt. Läuft der Dienst überhaupt? Die Befehle variieren je nach Betriebssystem und verwendetem PXE-Server-Software.

• Linux (z.B. dnsmasq, ISC DHCP, TFTP):
  • Für dnsmasq: sudo systemctl status dnsmasq
  • Für einen reinen TFTP-Server: sudo systemctl status tftpd-hpa (oder ähnlich, je nach Paket)
  • Überprüfen Sie auch die Logs: sudo journalctl -u dnsmasq oder /var/log/syslog / /var/log/messages
• Windows (z.B. Windows Deployment Services – WDS):
  • Öffnen Sie die Diensteverwaltung (services.msc). Suchen Sie nach „Windows-Bereitstellungsdienste” (WDS) und stellen Sie sicher, dass er gestartet ist und der Starttyp auf „Automatisch” steht.
  • Oder per PowerShell: Get-Service WDS*

Sollte der Dienst nicht laufen, versuchen Sie, ihn zu starten und prüfen Sie die Logs auf Fehlermeldungen.

Schritt 2: Überprüfen Sie die Firewall-Einstellungen

Eine blockierte Firewall ist eine der häufigsten Ursachen für diesen Fehler. Der ProxyDHCP-Dienst kommuniziert über Port 4011 (UDP). Stellen Sie sicher, dass dieser Port auf dem PXE-Server für eingehende Verbindungen geöffnet ist. Zusätzlich muss auch Port 69 (UDP) für den TFTP-Dienst geöffnet sein.

• Linux (UFW, firewalld, iptables):
  • UFW (Uncomplicated Firewall):
    sudo ufw allow 67/udp (DHCP)
    sudo ufw allow 68/udp (DHCP Client)
    sudo ufw allow 69/udp (TFTP)
    sudo ufw allow 4011/udp (ProxyDHCP)
    sudo ufw enable (falls noch nicht aktiv)
    sudo ufw status (zur Überprüfung)
  • firewalld:
    sudo firewall-cmd --add-port=67/udp --permanent
sudo firewall-cmd --add-port=68/udp --permanent
sudo firewall-cmd --add-port=69/udp --permanent
sudo firewall-cmd --add-port=4011/udp --permanent
sudo firewall-cmd --reload
  • iptables (manuell, seltener direkt verwendet):
    sudo iptables -A INPUT -p udp --dport 67 -j ACCEPT
sudo iptables -A INPUT -p udp --dport 68 -j ACCEPT
sudo iptables -A INPUT -p udp --dport 69 -j ACCEPT
sudo iptables -A INPUT -p udp --dport 4011 -j ACCEPT
    (Denken Sie daran, diese Regeln persistent zu machen!)
• Windows (Windows Defender Firewall):
  • Öffnen Sie die Windows Defender Firewall mit erweiterter Sicherheit.
  • Erstellen Sie unter „Eingehende Regeln” neue Regeln für UDP-Ports 67, 68, 69 und 4011.
  • Stellen Sie sicher, dass die Regeln aktiviert sind und Verbindungen zulassen.

Schritt 3: Überprüfen Sie die Konfiguration des ProxyDHCP-Dienstes

Eine falsche Konfiguration ist eine weitere Hauptursache. Die Details hängen stark von Ihrer PXE-Lösung ab.

• Linux (dnsmasq als All-in-One-Lösung für DHCP und ProxyDHCP):

  Die Konfigurationsdatei befindet sich typischerweise unter /etc/dnsmasq.conf oder in einer Datei unter /etc/dnsmasq.d/.

  Wichtige Zeilen für ProxyDHCP (wenn ein anderer DHCP-Server die IPs vergibt):

  # DHCP-Bereich, der nur für PXE-Clients als Proxy dient
          dhcp-range=*,proxy
          
          # TFTP-Root-Verzeichnis
          enable-tftp
          tftp-root=/srv/tftp
          
          # IP des TFTP-Servers (oft die IP des dnsmasq-Servers selbst)
          dhcp-option=option:tftp-server,192.168.1.100 
          
          # Boot-Dateiname basierend auf Architektur (oder direkt)
          dhcp-boot=tag:efi,bootx64.efi
          dhcp-boot=pxelinux.0

  Stellen Sie sicher, dass dhcp-range=*,proxy vorhanden ist, um den ProxyDHCP-Modus zu aktivieren, und die tftp-root sowie die Boot-Dateien korrekt sind.

• Windows Deployment Services (WDS):
  • Öffnen Sie die WDS-Verwaltungskonsole.
  • Klicken Sie mit der rechten Maustaste auf Ihren Server und wählen Sie „Eigenschaften”.
  • Navigieren Sie zum Tab „DHCP”. Stellen Sie sicher, dass die Optionen „WDS für DHCP aktivieren” oder „DHCP-Autorisierung nicht zulassen” (je nach Ihrer Netzwerk-Topologie und ob WDS der alleinige DHCP-Server ist) korrekt konfiguriert sind.
  • Wenn ein separater DHCP-Server vorhanden ist, müssen Sie die DHCP-Optionen 60, 66 und 67 auf diesem DHCP-Server entsprechend konfigurieren oder die WDS-ProxyDHCP-Funktion nutzen.
    • Option 60 (PXEClient)
    • Option 66 (Boot Server Host Name) – IP-Adresse des PXE-Servers
    • Option 67 (Bootfile Name) – Pfad zur Bootdatei (z.B. Bootx64wdsnbp.com)
  • Bei WDS ist es oft einfacher, WDS die ProxyDHCP-Rolle übernehmen zu lassen und keine DHCP-Optionen im externen DHCP-Server zu konfigurieren.

Schritt 4: Überprüfen Sie die Netzwerkkonfiguration

Eine korrekte Netzwerkkonfiguration ist essenziell.

• Statische IP-Adresse des PXE-Servers: Ihr PXE-Server sollte eine statische IP-Adresse haben, damit Clients ihn zuverlässig finden können.
• Subnetz: Befinden sich Client und Server im selben Subnetz? Im einfachsten Fall sollten sie es sein. Wenn nicht, müssen DHCP Relay Agents (IP Helper) auf Ihren Routern oder Switches konfiguriert werden, um DHCP- und PXE-Anfragen zwischen Subnetzen weiterzuleiten. Stellen Sie sicher, dass diese Relay Agents auch den ProxyDHCP-Port (4011 UDP) weiterleiten.
• Netzwerkkabel und Switch: Eine einfache Prüfung der physikalischen Verbindung kann nie schaden. Leuchten die Link-Lichter? Ist der Switch korrekt konfiguriert (VLANs, etc.)?

Schritt 5: Suchen Sie nach DHCP-Server-Konflikten

Mehrere DHCP-Server im selben Netzwerk können zu Chaos führen. Jeder Server könnte unterschiedliche Informationen anbieten, was den PXE-Boot-Prozess stört. Stellen Sie sicher, dass nur ein DHCP-Server die IP-Adressen im Netzwerk vergibt.

• Wenn Sie dnsmasq als ProxyDHCP verwenden, sollte Ihr Haupt-DHCP-Server *keine* PXE-spezifischen Optionen (60, 66, 67) verteilen. dnsmasq erledigt das als Proxy.
• Wenn Sie WDS verwenden, stellen Sie sicher, dass es entweder der alleinige DHCP-Server ist oder im ProxyDHCP-Modus korrekt mit einem bestehenden DHCP-Server zusammenarbeitet.
• Verwenden Sie Tools wie nmap (nmap -sU -p 67,68,4011 --script dhcp-discover ) oder wireshark, um zu sehen, welche Server auf DHCP-Anfragen antworten.

Schritt 6: Überprüfen Sie den TFTP-Server

Auch wenn der ProxyDHCP-Dienst die Anfrage auf Port 4011 beantworten würde, muss der TFTP-Server (oft auf demselben System) korrekt konfiguriert und gestartet sein, damit die Boot-Dateien heruntergeladen werden können. TFTP nutzt Port 69 (UDP). Vergewissern Sie sich:

• Der TFTP-Dienst läuft.
• Die Firewall erlaubt eingehende Verbindungen auf Port 69 UDP.
• Die im ProxyDHCP konfigurierte Boot-Datei existiert im tftp-root-Verzeichnis.
• Die Berechtigungen der Dateien und Verzeichnisse sind korrekt (Client muss sie lesen können).

Schritt 7: Client-seitige Überprüfung

Manchmal liegt das Problem nicht am Server. Prüfen Sie am Client:

• BIOS/UEFI-Einstellungen: Ist PXE-Boot aktiviert? Ist die Netzwerkkarte an erster Stelle der Boot-Reihenfolge?
• Netzwerkkarte: Funktioniert die Netzwerkkarte korrekt? Testen Sie sie mit einem normalen Boot.

Schritt 8: Netzwerkanalyse mit Wireshark/tcpdump

Wenn alle Stricke reißen, ist ein Netzwerkanalysetool wie Wireshark oder tcpdump Ihr bester Freund. Installieren Sie es auf dem PXE-Server und starten Sie eine Erfassung, während Sie versuchen, den Client zu booten. Filtern Sie nach DHCP- und BOOTP-Paketen sowie nach UDP-Port 4011 und 69.

• Sehen Sie die DHCP-Discover-Anfrage des Clients?
• Antwortet Ihr regulärer DHCP-Server?
• Sehen Sie die ProxyDHCP-Anfrage des Clients?
• Antwortet Ihr PXE-Server darauf auf Port 4011?
• Wenn der Server antwortet, welche Informationen sendet er (next-server, filename)? Sind diese korrekt?
• Wenn der Server nicht antwortet, ist die Firewall schuld, oder der Dienst läuft nicht korrekt, oder es gibt ein Routing-Problem.

Dies gibt Ihnen eine genaue Einsicht in den Kommunikationsfluss und hilft Ihnen, festzustellen, wo die Kette unterbrochen wird.

Zusammenfassung und Best Practices

Der Fehler „ProxyDHCP service did not reply to request on port 4011” ist zwar ärgerlich, aber in den meisten Fällen durch systematische Fehlerbehebung lösbar. Gehen Sie die Schritte nacheinander durch, von der Überprüfung des Dienststatus und der Firewall bis hin zur detaillierten Netzwerkanalyse. Dokumentieren Sie Ihre Konfigurationen und Änderungen, um schnell auf einen funktionierenden Zustand zurückkehren zu können.

Best Practices:

• Statische IPs für PXE- und TFTP-Server verwenden.
• Nur einen DHCP-Server im Netzwerk betreiben, der die IPs vergibt. Der PXE-Server agiert als Proxy.
• Firewall-Regeln präzise definieren und nur die benötigten Ports (67, 68, 69, 4011 UDP) öffnen.
• Konfigurationsdateien sorgfältig prüfen und bei Bedarf neu starten.
• Testen Sie Änderungen immer schrittweise und isoliert.

Mit Geduld und den richtigen Werkzeugen wird Ihr eigener PXE-Server bald wieder einwandfrei funktionieren und Ihnen die Arbeit erheblich erleichtern. Viel Erfolg beim Troubleshooting!