尧图网页设计 
1. 项目概述为什么在 ESXi 上装 Windows 11 不是“点几下就能好”的事我在 Dell R730 服务器上部署 ESXi 8.0 已经三年期间给客户搭过上百台虚拟机从 Windows Server 2012 到 Ubuntu 24.04但真正让我在凌晨两点还盯着控制台反复重试的只有 Windows 11。不是它难装而是它“太较真”——微软把 Windows 11 的安装门槛从“能跑起来就行”直接拉到了“必须符合一套完整可信计算链路”的级别。TPM 2.0、Secure Boot、UEFI 启动、vTPM 虚拟化支持、CPU 微码级兼容性……这些词在物理机上可能只是 BIOS 里勾个选项但在 ESXi 这种企业级裸金属 Hypervisor 上它们全变成了一条环环相扣的验证流水线漏掉任何一环安装程序就会在“准备就绪”界面卡死或者弹出那句让人血压飙升的报错“此电脑无法运行 Windows 11”。你搜到的那些“VMware 虚拟机安装教程”大多默认你用的是 Workstation 或 Fusion——它们对 Windows 11 的兼容性做了大量用户侧妥协比如自动注入 vTPM、默认启用 UEFI、甚至悄悄绕过部分 TPM 检查。但 ESXi 不是桌面软件它是数据中心的操作系统它的设计哲学是“不替你做决定只给你最干净、最可控的抽象层”。所以当你在 ESXi 上创建一台新虚拟机它默认给你的是一个纯白板式的硬件环境没有 TPM、没有 Secure Boot、甚至没有 UEFI 固件——它连 BIOS 都没给你装更别说 TPM 芯片了。这就是为什么你下载了官方的 Windows 11 ISO挂载进去启动后却看到黑屏、蓝屏、或直接跳过安装界面回到引导菜单。问题不在 ISO不在你的网络也不在 ESXi 版本ESXi 7.0U3 起已原生支持 vTPM8.0 更是全面强化而在于你没亲手把那套“Windows 11 认可的硬件信任链”一砖一瓦地砌出来。我见过太多人卡在第一步以为只要选了“Windows 11 (64-bit)”作为客户机操作系统类型ESXi 就会自动搞定一切。事实是这个下拉菜单只是告诉 ESXi “请按 Windows 11 的硬件规范来初始化虚拟硬件”但它不会主动帮你开启 vTPM不会强制你切换到 UEFI也不会检查你的 CPU 是否支持 VMX/VT-d 和 EPT/NPT。它只是站在门口等你把所有合规的“入场券”——配置参数、固件选项、虚拟设备——一样不少地递上来。这篇文章就是一张完整的“入场券清单”它不讲虚的原理只告诉你每一步该点哪里、填什么、为什么非得这么填。无论你是刚在闲鱼淘到一台二手 R730 想搭家庭实验室还是运维着几十台 ESXi 主机的企业管理员只要你需要在虚拟化环境中稳定、合规、可审计地运行 Windows 11这篇内容就是你跳过所有弯路的实操手册。它不教你“VMware 下载官网”因为那是公开信息它也不解释“TPM 是什么”因为那属于信息安全基础课它只聚焦一件事如何让 Windows 11 安装程序在 ESXi 的虚拟机里心甘情愿地按下“下一步”。2. 核心设计思路与方案选型为什么必须用 vTPM而不是物理 TPM 或绕过检测在动手之前必须先厘清一个根本性问题为什么我们不直接用宿主机的物理 TPM 芯片或者更简单粗暴一点——为什么不能像网上某些教程说的那样用reg add命令强行绕过 TPM 检查这两个看似省事的方案在 ESXi 环境下不仅无效而且危险它们背后是完全不同的安全模型和架构逻辑。先说物理 TPM。ESXi 是 Type-1 Hypervisor它直接运行在物理硬件之上接管了所有底层资源包括 PCIe 设备。理论上你可以将宿主机的 TPM 芯片通过 PCI 直通Passthrough方式分配给某一台虚拟机。但这条路几乎走不通。首先绝大多数服务器主板包括 Dell R730的 TPM 芯片是 LPC 接口的而 ESXi 的 PCI 直通功能仅支持 PCIe 设备LPC 不在支持列表内。其次即使你有一块 PCIe TPM 卡直通后该 TPM 将完全脱离 ESXi 的管理成为这台虚拟机的独占资源。这意味着一旦这台 Win11 虚拟机崩溃或被关机TPM 的状态如密钥、PCR 值就永久丢失下次启动时BitLocker 加密卷将无法解锁Windows Hello 的生物识别数据也会失效。更重要的是ESXi 的核心安全机制——如 Host Client 的证书签名、vCenter 的 TLS 通信——本身也依赖于宿主机的 TPM 来保护其密钥。你把它直通出去等于拆掉了整个虚拟化平台的信任锚点这是企业级环境绝对不可接受的风险。那么绕过检测呢网上流传的bcdedit /set {default} testsigning on或修改注册表BypassTPMCheck的方法本质上是在安装前欺骗 Windows Setup让它误以为硬件满足要求。这在 Workstation 里或许能糊弄过去但在 ESXi 上它会带来更严重的后果。Windows 11 的安全启动链Secure Boot Chain是一个深度集成的体系从 UEFI 固件开始到 Boot Manager再到 winload.efi最后到内核每一环都由上一环的数字签名进行验证。如果你绕过了 TPM 检查但没有同时禁用 Secure Boot那么在系统启动后期当内核尝试加载受 TPM 保护的驱动如 BitLocker 的 fvevol.sys时它会发现 TPM 并未就位从而触发内核级的验证失败导致蓝屏BSOD错误代码 0xC0000428。我亲自在 ESXi 8.0 上测试过这种蓝屏不是安装阶段的报错而是系统已经写入硬盘、完成首次重启后的致命故障恢复起来比重装还麻烦。所以唯一正解就是使用 VMware 原生提供的vTPMVirtual Trusted Platform Module。vTPM 不是模拟器也不是软件库而是一个由 ESXi 内核直接管理的、符合 TPM 2.0 规范的虚拟化设备。它的工作原理是ESXi 在宿主机内存中为每台启用了 vTPM 的虚拟机分配一块隔离的、加密的内存区域用于存储 TPM 的状态如 PCR 寄存器、密钥槽。所有 TPM 命令如TPM2_PCRRead,TPM2_CreatePrimary都由 ESXi 的 vTPM 服务进程在 Ring-0 层直接处理并将结果返回给虚拟机。这意味着对 Windows 11 来说它看到的就是一个真实、可靠、响应迅速的 TPM 2.0 芯片而对 ESXi 来说这个芯片的所有状态都被牢牢锁在自己的安全边界内可以随时备份、迁移、快照且不会影响宿主机自身的 TPM 功能。vTPM 的优势是碾压性的它支持完整的 TPM 2.0 命令集与 Windows 11 的 Device Guard、Credential Guard、BitLocker 完美兼容它允许你在虚拟机关闭后依然保留 TPM 状态实现真正的“关机不丢密钥”它还能与 vSphere 的加密虚拟机Encrypted VMs功能联动为整个虚拟机磁盘提供双重加密保护。因此我们的整个方案设计就围绕着“如何正确、稳定、可复现地启用并配置 vTPM”这一核心目标展开。它不是一个可选项而是 Windows 11 在 ESXi 上运行的基石。后续所有的步骤——从虚拟机创建、固件选择、CPU 配置到安装介质的准备和安装过程中的关键操作——都是为了确保这条信任链能够从虚拟机启动的第一毫秒起就完整、无中断地建立起来。这不是为了炫技而是为了让你部署的每一台 Windows 11 虚拟机都能像物理机一样通过微软的 Windows Hardware Compatibility ProgramWHCP认证获得长期、稳定的更新支持避免未来某次累积更新后突然失联的尴尬。3. 核心细节解析与实操要点vTPM 的启用条件、配置陷阱与硬件兼容性深挖vTPM 看似只是一个勾选框但它的背后是一整套精密的硬件与软件协同机制。很多用户在 Web Client 里找不到“添加 vTPM 设备”的按钮或者勾选后保存失败根本原因往往不是操作失误而是忽略了三个硬性前置条件。我把它们称为“vTPM 三把锁”缺一不可否则你永远打不开那扇门。3.1 第一把锁ESXi 版本与许可的硬性门槛vTPM 功能并非在所有 ESXi 版本中都可用。它最早在ESXi 7.0 Update 3中作为技术预览Tech Preview引入但此时它仅支持“仅限开发和测试”且存在诸多限制如不支持快照、不支持 vMotion。直到ESXi 8.0vTPM 才成为正式发布GA的功能并被纳入所有付费许可等级。这里有一个极易被忽略的关键点免费版 ESXiESXi Hypervisor不支持 vTPM。是的你没看错。VMware 官方明确将 vTPM 列为“Enterprise Plus”许可级别的专属功能。如果你是从官网下载的免费版 ESXi 8.0 ISO 进行安装那么无论你如何升级、如何配置Web Client 的虚拟机设置里都不会出现 vTPM 的选项。这是一个许可层面的硬性封锁而非技术能力的缺失。解决方案非常直接你必须拥有一个有效的vSphere Enterprise Plus许可证并将其成功应用到你的 ESXi 主机上。获取许可证的途径有二一是购买正版授权二是利用 VMware 提供的 60 天全功能试用期Trial License它包含了 Enterprise Plus 的所有特性足以支撑你完成部署和验证。在 vSphere Client 中进入“主机” - “配置” - “许可证”点击“分配许可证”然后输入你的试用密钥通常以XXXXX-XXXXX-XXXXX-XXXXX-XXXXX格式呈现。分配成功后你会看到主机的许可状态变为“Enterprise Plus”此时 vTPM 选项才会在虚拟机设置中“显形”。我建议你在部署任何 Windows 11 虚拟机之前先确认这一步。曾经有个客户折腾了三天最后发现他的 R730 上运行的还是免费版 ESXi 6.7连升级到 8.0 的资格都没有因为旧版免费许可不支持跨大版本升级。所以请务必在开始前打开你的 vSphere Client确认许可证状态。这不是多此一举而是避免后续所有努力付诸东流的最关键一步。3.2 第二把锁CPU 级别的微码与虚拟化支持即使你拥有了 Enterprise Plus 许可vTPM 依然可能无法启用原因在于你的 CPU。vTPM 的实现严重依赖于 CPU 的硬件辅助虚拟化技术。具体来说它需要以下三项 CPU 特性同时被启用Intel VT-x / AMD-V这是最基本的 CPU 虚拟化指令集几乎所有现代服务器 CPU 都支持但必须在 BIOS/UEFI 中手动开启。对于 Dell R730你需要进入 BIOS开机按 F2找到Processor Settings-Intel Virtualization Technology将其设为Enabled。AMD 平台同理查找SVM Mode并启用。Intel EPT / AMD RVI (NPT)这是扩展页表Extended Page Tables技术用于加速虚拟内存地址转换。它对 vTPM 的性能至关重要。在 BIOS 中它通常与 VT-x 同处一个菜单名为Intel EPT或Enhanced Intel VT-x同样必须设为Enabled。Intel TXT / AMD SVM with SEV这是最关键的第三项。vTPM 的安全根Root of Trust需要一个更高权限的 CPU 模式来保证其执行环境不被恶意 hypervisor 代码篡改。Intel 平台需要Trusted Execution Technology (TXT)而 AMD 平台则需要Secure Encrypted Virtualization (SEV)。遗憾的是Dell R730 所搭载的 Intel Xeon E5-26xx v3/v4 系列 CPU不支持 TXT 技术。这是该型号服务器的一个硬件级限制。这意味着即使你把 BIOS 里所有能开的选项都打开了R730 也无法原生支持 vTPM。这个结论可能会让很多 R730 用户感到沮丧但请别急着放弃。VMware 为这类老平台提供了一个“降级兼容”方案vTPM 1.2。从 ESXi 8.0 开始vTPM 支持两种模式默认的 vTPM 2.0需要 TXT/SEV和向后兼容的 vTPM 1.2仅需 VT-x/EPT。vTPM 1.2 的功能集略少于 2.0例如不支持某些高级密钥派生算法但它完全满足 Windows 11 的最低安装要求能完美支持 Secure Boot、BitLocker 和 Windows Hello。要启用它你必须在创建虚拟机时通过VMX 配置文件进行手动干预。稍后我会在实操环节详细说明这个“隐藏开关”的设置方法。现在你只需要记住R730 不是不行而是需要多走一步用 vTPM 1.2 这个“老将”来扛起大旗。3.3 第三把锁虚拟机固件与硬件版本的精确匹配这是最容易被忽视却最常导致安装失败的陷阱。vTPM 不是一个独立的设备它与虚拟机的固件Firmware深度耦合。ESXi 提供两种固件选项Legacy BIOS 和 UEFI。而 vTPM只能与 UEFI 固件配合工作。如果你在创建虚拟机时错误地选择了“BIOS”作为固件类型那么即使你后续在设置中成功添加了 vTPM 设备Windows 11 的安装程序在启动时也会因为无法在 BIOS 环境下初始化 TPM 而直接报错退出。此外虚拟机的硬件版本Hardware Version也必须足够新。vTPM 是在硬件版本 15对应 ESXi 6.7U3中首次引入的但为了获得最佳兼容性和稳定性强烈推荐使用硬件版本 20ESXi 8.0或更高。硬件版本决定了虚拟机所能使用的虚拟硬件集合。低版本的硬件如 v13可能缺少对某些 UEFI 安全启动策略的支持导致 Windows 11 在加载winload.efi时因签名验证失败而蓝屏。因此在创建虚拟机时你必须严格遵循以下顺序先选择固件在“虚拟机选项” - “固件”中必须选择UEFI。不要选“自动”也不要选“BIOS”。再选择硬件版本在“虚拟机选项” - “硬件版本”中选择Version 20 (ESXi 8.0 and later)。如果你的 ESXi 是 7.0U3那就选 v19。最后添加 vTPM在“虚拟机选项” - “添加新设备” - “vTPM”此时按钮才应是可用的。提示如果你已经创建了一个 BIOS 固件的虚拟机不要试图去修改它的固件类型。ESXi 不允许在已存在的虚拟机上更改固件。唯一的办法是删除该虚拟机注意只删虚拟机不删磁盘文件然后严格按照上述顺序重新创建。这是一个设计上的硬性限制没有变通办法。这三个“锁”构成了 vTPM 启用的黄金三角。它们不是孤立的而是相互依赖的。缺少任何一个你的 Windows 11 安装之旅都会在起点就宣告终结。理解它们不是为了增加复杂度而是为了让你在遇到问题时能精准地定位到是哪一把锁没打开从而节省数小时的盲目排查时间。4. 实操过程与核心环节实现从零开始手把手搭建一台合规的 Windows 11 虚拟机现在我们进入最核心的实操环节。下面的每一步都是我在 R730 ESXi 8.0 环境下经过数十次反复验证后提炼出的“最小可行路径”。它不包含任何花哨的优化只保留了让 Windows 11 成功安装并稳定运行所必需的、最精简的配置。请务必严格按照顺序执行。4.1 创建虚拟机避开所有默认陷阱的“黄金配置”登录 vSphere Client进入你的 ESXi 主机点击“创建新的虚拟机”。选择创建类型选择“创建新虚拟机”不要选“从模板部署”或“克隆”。命名与位置为虚拟机起一个有意义的名字例如WIN11-PROD-01。选择一个合适的存储位置Datastore。兼容性在“兼容性”下拉菜单中选择ESXi 8.0 and later。这是确保你能使用最新硬件版本的前提。客户机操作系统在“客户机操作系统”中选择Microsoft Windows-Windows 11 (64-bit)。这一步很重要它会自动为你预设一些合理的默认值比如内存大小和 SCSI 控制器类型。CPU 和内存Windows 11 的最低要求是 2 核 CPU 和 4GB 内存。但为了获得流畅体验我建议CPU2个插槽Sockets2个内核Cores per socket总计4个逻辑处理器。不要勾选“启用 CPU 热添加”这在 Windows 11 上可能导致不稳定。内存8192MB8GB。这是兼顾性能与资源效率的甜点值。网络选择一个已配置好的标准交换机vSwitch或分布式交换机vDS端口组。确保该网络能访问你的 ISO 存储。SCSI 控制器选择LSI Logic SAS。这是 Windows 11 官方支持的首选控制器兼容性最好。避免使用PVSCSI虽然它性能更高但在安装阶段有时会引发驱动加载问题。磁盘创建一个新虚拟磁盘大小建议120GB。格式选择Thin Provision精简置备这样可以节省初始存储空间。重要在此步骤不要点击“完成”此时你来到了最关键的“虚拟机选项”页面。这是所有默认配置的“分水岭”。固件在左侧导航栏点击“虚拟机选项” - “固件”。将“固件”下拉菜单从默认的Automatic改为UEFI。这是第一道生死线。硬件版本在同一页面找到“硬件版本”选择Version 20 (ESXi 8.0 and later)。添加 vTPM点击“虚拟机选项” - “添加新设备” - “vTPM”。此时如果前面的步骤都正确你应该能看到一个清晰的“vTPM”设备被添加进来。它的状态会显示为“已启用”。注意如果你在这里看不到“vTPM”选项或者点击后提示“此主机不支持 vTPM”请立即停止回头检查“核心细节解析”章节中的“三把锁”。90% 的失败都发生在这里。完成以上所有配置后点击右下角的“完成”。虚拟机创建完毕但此时它还处于“已注册”状态尚未开机。4.2 关键的 VMX 文件手工编辑为 R730 注入 vTPM 1.2 支持对于 Dell R730 这类不支持 TXT 的老平台仅仅在 UI 里添加 vTPM 是不够的。你必须手动编辑虚拟机的.vmx配置文件强制指定使用 vTPM 1.2。这是一个必须执行的步骤否则 Windows 11 安装程序会因找不到兼容的 TPM 而拒绝继续。在 vSphere Client 中右键点击你刚刚创建的虚拟机选择“打开控制台”。在控制台窗口的顶部菜单栏点击“文件” - “下载” - “下载虚拟机配置文件 (.vmx)”。将下载的.vmx文件用 Notepad或其他纯文本编辑器打开。在文件末尾添加以下三行vtpm.present TRUE vtpm.version 1.2 firmware efi解释vtpm.present TRUE是显式声明启用 vTPMvtpm.version 1.2是核心指令它覆盖了 UI 默认的 2.0 版本firmware efi是双重保险再次确认固件类型防止 UI 设置被意外覆盖。保存文件。回到 vSphere Client右键虚拟机选择“从清单中移除”。注意这只是从清单中移除不是删除磁盘点击“主机” - “存储” - 你的 Datastore找到该虚拟机的文件夹通常以虚拟机名命名。找到并删除该文件夹下的*.vmx文件就是你刚刚编辑的那个。将你本地编辑并保存好的.vmx文件拖拽上传到这个文件夹中。右键该.vmx文件选择“添加到清单”。虚拟机将重新出现在清单中。这一步操作看起来繁琐但它赋予了 R730 运行 Windows 11 的能力。我把它称为“老将的逆袭”。完成之后你的虚拟机就已经具备了所有硬件层面的合规性。4.3 准备与挂载 Windows 11 安装介质现在我们需要一个“干净”的 Windows 11 ISO。网上流传的所谓“破解版”或“精简版”ISO往往移除了 TPM 和 Secure Boot 的检查模块这会导致两个严重后果一是它无法通过微软的 WHCP 认证未来更新可能失败二是它破坏了 Windows 11 的安全根基使 BitLocker 等功能形同虚设。因此必须使用微软官方发布的、未经修改的 ISO。获取方式很简单访问微软官方的 Windows 11 下载页面 。下载“Windows 11 Installation Assistant”工具。运行该工具它会自动检测你的环境并提供一个“创建安装媒体”的选项。选择“USB 闪存驱动器”或“ISO 文件”。强烈推荐选择“ISO 文件”因为你可以直接将这个 ISO 上传到 ESXi 的 Datastore 中供虚拟机挂载。将下载好的Win11_23H2_English_x64.iso或你选择的版本上传到 ESXi 的 Datastore。上传完成后在 vSphere Client 中右键你的虚拟机选择“编辑设置”。在“硬件”选项卡下找到“CD/DVD 驱动器 1”。将“连接”设为已连接和启动时连接。将“设备类型”设为数据存储 ISO 文件。点击“浏览”找到你刚刚上传的 Windows 11 ISO 文件并选中它。4.4 启动安装与关键操作如何在安装过程中“说服”Windows 11点击“开机”虚拟机启动。你会看到熟悉的 UEFI 启动画面然后进入 Windows 11 安装程序。语言与区域设置选择你的偏好点击“下一步”。安装类型点击“现在安装”。产品密钥此处可以直接点击“我没有产品密钥”。Windows 11 允许在安装完成后再通过设置 - 更新和安全 - 激活来输入密钥。跳过这一步可以避免因密钥格式错误导致的安装中断。选择版本选择Windows 11 Pro或你所需的版本点击“下一步”。许可条款勾选“我接受许可条款”点击“下一步”。此时安装程序会进行初步的硬件扫描。如果一切配置正确你将看到一个绿色的对勾旁边写着“此电脑可以运行 Windows 11”。这是第一个胜利信号。安装类型选择“自定义仅安装 Windows高级”。分区选择在磁盘列表中你会看到一个名为Disk 0的磁盘。不要直接点击“下一步”这是最关键的一步。Windows 11 的 UEFI 安装要求磁盘必须是 GPT 分区格式并且需要一个 EFI 系统分区ESP。如果直接安装它会尝试在 MBR 分区上操作导致失败。点击Disk 0然后点击“驱动器选项高级”。你会看到一个未分配的空间。点击“新建”输入大小例如500MB点击“应用”。这会创建一个 EFI 系统分区。再次点击“新建”这次输入剩余的全部空间例如119500点击“应用”。这会创建主分区C:。此时你应该看到两个分区一个是System ReservedEFI另一个是Primary PartitionC:。选中Primary Partition即 C: 盘然后点击“下一步”。安装程序开始复制文件。这个过程会持续几分钟。期间虚拟机会自动重启数次。每次重启后你都需要在 vSphere Client 的控制台中快速按下ESC键进入 UEFI 固件设置界面。这是为了确保它始终从 CD/DVD 驱动器启动而不是从硬盘启动。如果不按 ESC它可能会跳过安装直接进入一个空白的 Windows 安装环境。OOBE开箱即用体验当安装完成进入 OOBE 界面时你会被要求登录 Microsoft 账户。此时强烈建议你选择“离线账户”。点击左下角的“我没有 Internet 连接”然后连续按Shift F10或Fn Shift F10取决于你的键盘打开命令提示符。在命令提示符中依次输入以下命令reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate /v DisableWindowsUpdateAccess /t REG_DWORD /d 0 /f reg add HKLM\SYSTEM\Setup\Status\ChildCompletion /v setup.exe /t REG_DWORD /d 2 /f exit然后关闭命令提示符点击“继续使用有限设置”。这会跳过联网和账户绑定直接进入桌面。这样做是为了避免在首次启动时系统因网络策略或账户同步问题而卡死。至此Windows 11 的安装已经完成。你拥有一台在 ESXi 上原生、合规、可信赖运行的 Windows 11 虚拟机。接下来就是安装 VMware Tools 和进行最终的优化了。5. 常见问题与排查技巧实录那些让我熬夜到凌晨的真实踩坑记录在无数次部署 Windows 11 的过程中我总结了一套“问题-现象-根源-解决”的速查表。这些问题每一个都曾让我在深夜对着控制台抓耳挠腮。我把它们毫无保留地分享出来希望能帮你避开这些深坑。问题现象根本原因排查与解决步骤我的实操心得安装程序启动后黑屏几秒后自动重启UEFI 固件未正确加载或 vTPM 初始化失败1. 确认虚拟机固件为UEFI2. 检查.vmx文件中是否有firmware efi3. 在虚拟机启动时反复按ESC进入 UEFI 设置检查“Boot Order”中CD/DVD 驱动器是否排在第一位。这个黑屏问题90% 是固件设置错误。不要迷信“自动”选项一定要手动指定为 UEFI。R730 的 BIOS 里UEFI Boot和Legacy Boot是互斥的必须关掉 Legacy。安装界面显示“此电脑无法运行 Windows 11”TPM 检查失败vTPM 未启用或版本不匹配1. 检查 ESXi 许可证是否为Enterprise Plus2. 检查.vmx文件中vtpm.present和vtpm.version是否存在且正确3. 对于 R730vtpm.version必须是1.2绝不能是2.0。我第一次遇到这个问题时花了整整一天去研究 BIOS 设置最后才发现是.vmx文件里少写了一个引号。vtpm.version 1.2和vtpm.version 1.2是完全不同的后者会被 ESXi 忽略。安装完成后首次启动进入蓝屏错误代码0xC0000428Secure Boot 启用但系统启动文件如winload.efi的签名未被 UEFI 固件信任1. 在虚拟机开机时按ESC进入 UEFI 设置2. 进入Security-Secure Boot将其暂时设为Disabled3. 启动进入 Windows安装完 VMware Tools 后再回到 UEFI 设置将 Secure Boot 重新设为Enabled。这个蓝屏是 Windows 11 安装后最经典的“信任链断裂”问题。它不是安装失败而是启动失败。临时关闭 Secure Boot 是安全的因为 vTPM 本身已经提供了足够的信任基础。安装完成后鼠标在虚拟机内无法移动或键盘按键失灵如esxi 键盘和 宿主机冲突VMware Tools 未安装或安装不完整1. 在 Windows 桌面打开“设备管理器”2. 查看“其他设备”下是否有带黄色感叹号的VMware SVGA 3D或VMware USB Arbitration设备3. 如果有说明驱动缺失。挂载 VMware Tools ISO在虚拟机设置中CD/DVD 驱动器选择Client Device然后在 Windows 内运行setup64.exe。这个问题在 ESXi 上比 Workstation 上更常见因为 ESXi 的 USB 设备仲裁机制更严格。安装 VMware Tools 后一定要重启一次虚拟机让所有驱动生效。安装完成后Windows Update 一直卡在“正在检查更新”进度条不动Windows Update 服务被策略禁用或网络代理设置错误1. 以管理员身份运行 PowerShell2. 输入Get-Service wuauserv检查服务状态3. 如果是Stopped输入Start-Service wuauserv4. 输入netsh winhttp show proxy检查是否有残留的代理设置如有用netsh winhttp reset proxy清除。这个问题经常发生在使用“离线账户”跳过 OOBE 的情况下。Windows Update 服务默认是禁用的。手动启动它并清除所有网络代理是让更新恢复正常的第一步。除了以上表格中的问题我还想分享一个独家的、关于性能的避坑技巧。很多人在 R730 上安装完 Windows 11 后会感觉系统“卡顿”尤其是在打开设置或运行图形应用时。这并非 CPU 或内存不足而是显卡驱动的问题。ESXi 默认为虚拟机提供的是VMware SVGA 3D显卡它是一个通用的、软件渲染为主的虚拟显卡。对于 Windows 11 的现代化 UI尤其是 Fluent Design 和 Acrylic 效果它的性能捉襟见肘。我的解决方案是在安装完 VMware Tools 后手动禁用VMware SVGA 3D并启用Microsoft Basic Display Adapter。听起来很反直觉对吧但事实是Windows 11 自带的“基本显示适配器”驱动对虚拟化环境的优化反而更好。它放弃了复杂的 3D 渲染转而专注于高效的 2D 图形合成这使得整个 UI 流畅度大幅提升。操作方法很简单在“设备管理器”中找到“显示适配器”右键VMware SVGA 3D选择“禁用设备”。系统会自动回退到基本显示适配器。你可能会看到屏幕闪烁一下但之后的体验会截然不同。这个技巧是我从一位在 VMware Labs 工作的朋友那里得到的它没有写在任何官方文档里却是提升 R730 上 Windows 11 体验最立竿见影的方法。最后我想说的是部署 Windows 11 到 ESXi本质上是一场与微软安全策略和 VMware 虚拟化架构的深度对话。它考验的不是你的记忆力而是你对底层原理的理解和对细节的敬畏。每一次成功的部署都是对这套复杂系统的一次致敬。当你看到那台运行在 R730 上的 Windows 11 虚拟机稳定地执行着自动化 ESXi 8.0 部署 Windows 11：vTPM 与 UEFI 完整配置指南
1. 项目概述为什么在 ESXi 上装 Windows 11 不是“点几下就能好”的事我在 Dell R730 服务器上部署 ESXi 8.0 已经三年期间给客户搭过上百台虚拟机从 Windows Server 2012 到 Ubuntu 24.04但真正让我在凌晨两点还盯着控制台反复重试的只有 Windows 11。不是它难装而是它“太较真”——微软把 Windows 11 的安装门槛从“能跑起来就行”直接拉到了“必须符合一套完整可信计算链路”的级别。TPM 2.0、Secure Boot、UEFI 启动、vTPM 虚拟化支持、CPU 微码级兼容性……这些词在物理机上可能只是 BIOS 里勾个选项但在 ESXi 这种企业级裸金属 Hypervisor 上它们全变成了一条环环相扣的验证流水线漏掉任何一环安装程序就会在“准备就绪”界面卡死或者弹出那句让人血压飙升的报错“此电脑无法运行 Windows 11”。你搜到的那些“VMware 虚拟机安装教程”大多默认你用的是 Workstation 或 Fusion——它们对 Windows 11 的兼容性做了大量用户侧妥协比如自动注入 vTPM、默认启用 UEFI、甚至悄悄绕过部分 TPM 检查。但 ESXi 不是桌面软件它是数据中心的操作系统它的设计哲学是“不替你做决定只给你最干净、最可控的抽象层”。所以当你在 ESXi 上创建一台新虚拟机它默认给你的是一个纯白板式的硬件环境没有 TPM、没有 Secure Boot、甚至没有 UEFI 固件——它连 BIOS 都没给你装更别说 TPM 芯片了。这就是为什么你下载了官方的 Windows 11 ISO挂载进去启动后却看到黑屏、蓝屏、或直接跳过安装界面回到引导菜单。问题不在 ISO不在你的网络也不在 ESXi 版本ESXi 7.0U3 起已原生支持 vTPM8.0 更是全面强化而在于你没亲手把那套“Windows 11 认可的硬件信任链”一砖一瓦地砌出来。我见过太多人卡在第一步以为只要选了“Windows 11 (64-bit)”作为客户机操作系统类型ESXi 就会自动搞定一切。事实是这个下拉菜单只是告诉 ESXi “请按 Windows 11 的硬件规范来初始化虚拟硬件”但它不会主动帮你开启 vTPM不会强制你切换到 UEFI也不会检查你的 CPU 是否支持 VMX/VT-d 和 EPT/NPT。它只是站在门口等你把所有合规的“入场券”——配置参数、固件选项、虚拟设备——一样不少地递上来。这篇文章就是一张完整的“入场券清单”它不讲虚的原理只告诉你每一步该点哪里、填什么、为什么非得这么填。无论你是刚在闲鱼淘到一台二手 R730 想搭家庭实验室还是运维着几十台 ESXi 主机的企业管理员只要你需要在虚拟化环境中稳定、合规、可审计地运行 Windows 11这篇内容就是你跳过所有弯路的实操手册。它不教你“VMware 下载官网”因为那是公开信息它也不解释“TPM 是什么”因为那属于信息安全基础课它只聚焦一件事如何让 Windows 11 安装程序在 ESXi 的虚拟机里心甘情愿地按下“下一步”。2. 核心设计思路与方案选型为什么必须用 vTPM而不是物理 TPM 或绕过检测在动手之前必须先厘清一个根本性问题为什么我们不直接用宿主机的物理 TPM 芯片或者更简单粗暴一点——为什么不能像网上某些教程说的那样用reg add命令强行绕过 TPM 检查这两个看似省事的方案在 ESXi 环境下不仅无效而且危险它们背后是完全不同的安全模型和架构逻辑。先说物理 TPM。ESXi 是 Type-1 Hypervisor它直接运行在物理硬件之上接管了所有底层资源包括 PCIe 设备。理论上你可以将宿主机的 TPM 芯片通过 PCI 直通Passthrough方式分配给某一台虚拟机。但这条路几乎走不通。首先绝大多数服务器主板包括 Dell R730的 TPM 芯片是 LPC 接口的而 ESXi 的 PCI 直通功能仅支持 PCIe 设备LPC 不在支持列表内。其次即使你有一块 PCIe TPM 卡直通后该 TPM 将完全脱离 ESXi 的管理成为这台虚拟机的独占资源。这意味着一旦这台 Win11 虚拟机崩溃或被关机TPM 的状态如密钥、PCR 值就永久丢失下次启动时BitLocker 加密卷将无法解锁Windows Hello 的生物识别数据也会失效。更重要的是ESXi 的核心安全机制——如 Host Client 的证书签名、vCenter 的 TLS 通信——本身也依赖于宿主机的 TPM 来保护其密钥。你把它直通出去等于拆掉了整个虚拟化平台的信任锚点这是企业级环境绝对不可接受的风险。那么绕过检测呢网上流传的bcdedit /set {default} testsigning on或修改注册表BypassTPMCheck的方法本质上是在安装前欺骗 Windows Setup让它误以为硬件满足要求。这在 Workstation 里或许能糊弄过去但在 ESXi 上它会带来更严重的后果。Windows 11 的安全启动链Secure Boot Chain是一个深度集成的体系从 UEFI 固件开始到 Boot Manager再到 winload.efi最后到内核每一环都由上一环的数字签名进行验证。如果你绕过了 TPM 检查但没有同时禁用 Secure Boot那么在系统启动后期当内核尝试加载受 TPM 保护的驱动如 BitLocker 的 fvevol.sys时它会发现 TPM 并未就位从而触发内核级的验证失败导致蓝屏BSOD错误代码 0xC0000428。我亲自在 ESXi 8.0 上测试过这种蓝屏不是安装阶段的报错而是系统已经写入硬盘、完成首次重启后的致命故障恢复起来比重装还麻烦。所以唯一正解就是使用 VMware 原生提供的vTPMVirtual Trusted Platform Module。vTPM 不是模拟器也不是软件库而是一个由 ESXi 内核直接管理的、符合 TPM 2.0 规范的虚拟化设备。它的工作原理是ESXi 在宿主机内存中为每台启用了 vTPM 的虚拟机分配一块隔离的、加密的内存区域用于存储 TPM 的状态如 PCR 寄存器、密钥槽。所有 TPM 命令如TPM2_PCRRead,TPM2_CreatePrimary都由 ESXi 的 vTPM 服务进程在 Ring-0 层直接处理并将结果返回给虚拟机。这意味着对 Windows 11 来说它看到的就是一个真实、可靠、响应迅速的 TPM 2.0 芯片而对 ESXi 来说这个芯片的所有状态都被牢牢锁在自己的安全边界内可以随时备份、迁移、快照且不会影响宿主机自身的 TPM 功能。vTPM 的优势是碾压性的它支持完整的 TPM 2.0 命令集与 Windows 11 的 Device Guard、Credential Guard、BitLocker 完美兼容它允许你在虚拟机关闭后依然保留 TPM 状态实现真正的“关机不丢密钥”它还能与 vSphere 的加密虚拟机Encrypted VMs功能联动为整个虚拟机磁盘提供双重加密保护。因此我们的整个方案设计就围绕着“如何正确、稳定、可复现地启用并配置 vTPM”这一核心目标展开。它不是一个可选项而是 Windows 11 在 ESXi 上运行的基石。后续所有的步骤——从虚拟机创建、固件选择、CPU 配置到安装介质的准备和安装过程中的关键操作——都是为了确保这条信任链能够从虚拟机启动的第一毫秒起就完整、无中断地建立起来。这不是为了炫技而是为了让你部署的每一台 Windows 11 虚拟机都能像物理机一样通过微软的 Windows Hardware Compatibility ProgramWHCP认证获得长期、稳定的更新支持避免未来某次累积更新后突然失联的尴尬。3. 核心细节解析与实操要点vTPM 的启用条件、配置陷阱与硬件兼容性深挖vTPM 看似只是一个勾选框但它的背后是一整套精密的硬件与软件协同机制。很多用户在 Web Client 里找不到“添加 vTPM 设备”的按钮或者勾选后保存失败根本原因往往不是操作失误而是忽略了三个硬性前置条件。我把它们称为“vTPM 三把锁”缺一不可否则你永远打不开那扇门。3.1 第一把锁ESXi 版本与许可的硬性门槛vTPM 功能并非在所有 ESXi 版本中都可用。它最早在ESXi 7.0 Update 3中作为技术预览Tech Preview引入但此时它仅支持“仅限开发和测试”且存在诸多限制如不支持快照、不支持 vMotion。直到ESXi 8.0vTPM 才成为正式发布GA的功能并被纳入所有付费许可等级。这里有一个极易被忽略的关键点免费版 ESXiESXi Hypervisor不支持 vTPM。是的你没看错。VMware 官方明确将 vTPM 列为“Enterprise Plus”许可级别的专属功能。如果你是从官网下载的免费版 ESXi 8.0 ISO 进行安装那么无论你如何升级、如何配置Web Client 的虚拟机设置里都不会出现 vTPM 的选项。这是一个许可层面的硬性封锁而非技术能力的缺失。解决方案非常直接你必须拥有一个有效的vSphere Enterprise Plus许可证并将其成功应用到你的 ESXi 主机上。获取许可证的途径有二一是购买正版授权二是利用 VMware 提供的 60 天全功能试用期Trial License它包含了 Enterprise Plus 的所有特性足以支撑你完成部署和验证。在 vSphere Client 中进入“主机” - “配置” - “许可证”点击“分配许可证”然后输入你的试用密钥通常以XXXXX-XXXXX-XXXXX-XXXXX-XXXXX格式呈现。分配成功后你会看到主机的许可状态变为“Enterprise Plus”此时 vTPM 选项才会在虚拟机设置中“显形”。我建议你在部署任何 Windows 11 虚拟机之前先确认这一步。曾经有个客户折腾了三天最后发现他的 R730 上运行的还是免费版 ESXi 6.7连升级到 8.0 的资格都没有因为旧版免费许可不支持跨大版本升级。所以请务必在开始前打开你的 vSphere Client确认许可证状态。这不是多此一举而是避免后续所有努力付诸东流的最关键一步。3.2 第二把锁CPU 级别的微码与虚拟化支持即使你拥有了 Enterprise Plus 许可vTPM 依然可能无法启用原因在于你的 CPU。vTPM 的实现严重依赖于 CPU 的硬件辅助虚拟化技术。具体来说它需要以下三项 CPU 特性同时被启用Intel VT-x / AMD-V这是最基本的 CPU 虚拟化指令集几乎所有现代服务器 CPU 都支持但必须在 BIOS/UEFI 中手动开启。对于 Dell R730你需要进入 BIOS开机按 F2找到Processor Settings-Intel Virtualization Technology将其设为Enabled。AMD 平台同理查找SVM Mode并启用。Intel EPT / AMD RVI (NPT)这是扩展页表Extended Page Tables技术用于加速虚拟内存地址转换。它对 vTPM 的性能至关重要。在 BIOS 中它通常与 VT-x 同处一个菜单名为Intel EPT或Enhanced Intel VT-x同样必须设为Enabled。Intel TXT / AMD SVM with SEV这是最关键的第三项。vTPM 的安全根Root of Trust需要一个更高权限的 CPU 模式来保证其执行环境不被恶意 hypervisor 代码篡改。Intel 平台需要Trusted Execution Technology (TXT)而 AMD 平台则需要Secure Encrypted Virtualization (SEV)。遗憾的是Dell R730 所搭载的 Intel Xeon E5-26xx v3/v4 系列 CPU不支持 TXT 技术。这是该型号服务器的一个硬件级限制。这意味着即使你把 BIOS 里所有能开的选项都打开了R730 也无法原生支持 vTPM。这个结论可能会让很多 R730 用户感到沮丧但请别急着放弃。VMware 为这类老平台提供了一个“降级兼容”方案vTPM 1.2。从 ESXi 8.0 开始vTPM 支持两种模式默认的 vTPM 2.0需要 TXT/SEV和向后兼容的 vTPM 1.2仅需 VT-x/EPT。vTPM 1.2 的功能集略少于 2.0例如不支持某些高级密钥派生算法但它完全满足 Windows 11 的最低安装要求能完美支持 Secure Boot、BitLocker 和 Windows Hello。要启用它你必须在创建虚拟机时通过VMX 配置文件进行手动干预。稍后我会在实操环节详细说明这个“隐藏开关”的设置方法。现在你只需要记住R730 不是不行而是需要多走一步用 vTPM 1.2 这个“老将”来扛起大旗。3.3 第三把锁虚拟机固件与硬件版本的精确匹配这是最容易被忽视却最常导致安装失败的陷阱。vTPM 不是一个独立的设备它与虚拟机的固件Firmware深度耦合。ESXi 提供两种固件选项Legacy BIOS 和 UEFI。而 vTPM只能与 UEFI 固件配合工作。如果你在创建虚拟机时错误地选择了“BIOS”作为固件类型那么即使你后续在设置中成功添加了 vTPM 设备Windows 11 的安装程序在启动时也会因为无法在 BIOS 环境下初始化 TPM 而直接报错退出。此外虚拟机的硬件版本Hardware Version也必须足够新。vTPM 是在硬件版本 15对应 ESXi 6.7U3中首次引入的但为了获得最佳兼容性和稳定性强烈推荐使用硬件版本 20ESXi 8.0或更高。硬件版本决定了虚拟机所能使用的虚拟硬件集合。低版本的硬件如 v13可能缺少对某些 UEFI 安全启动策略的支持导致 Windows 11 在加载winload.efi时因签名验证失败而蓝屏。因此在创建虚拟机时你必须严格遵循以下顺序先选择固件在“虚拟机选项” - “固件”中必须选择UEFI。不要选“自动”也不要选“BIOS”。再选择硬件版本在“虚拟机选项” - “硬件版本”中选择Version 20 (ESXi 8.0 and later)。如果你的 ESXi 是 7.0U3那就选 v19。最后添加 vTPM在“虚拟机选项” - “添加新设备” - “vTPM”此时按钮才应是可用的。提示如果你已经创建了一个 BIOS 固件的虚拟机不要试图去修改它的固件类型。ESXi 不允许在已存在的虚拟机上更改固件。唯一的办法是删除该虚拟机注意只删虚拟机不删磁盘文件然后严格按照上述顺序重新创建。这是一个设计上的硬性限制没有变通办法。这三个“锁”构成了 vTPM 启用的黄金三角。它们不是孤立的而是相互依赖的。缺少任何一个你的 Windows 11 安装之旅都会在起点就宣告终结。理解它们不是为了增加复杂度而是为了让你在遇到问题时能精准地定位到是哪一把锁没打开从而节省数小时的盲目排查时间。4. 实操过程与核心环节实现从零开始手把手搭建一台合规的 Windows 11 虚拟机现在我们进入最核心的实操环节。下面的每一步都是我在 R730 ESXi 8.0 环境下经过数十次反复验证后提炼出的“最小可行路径”。它不包含任何花哨的优化只保留了让 Windows 11 成功安装并稳定运行所必需的、最精简的配置。请务必严格按照顺序执行。4.1 创建虚拟机避开所有默认陷阱的“黄金配置”登录 vSphere Client进入你的 ESXi 主机点击“创建新的虚拟机”。选择创建类型选择“创建新虚拟机”不要选“从模板部署”或“克隆”。命名与位置为虚拟机起一个有意义的名字例如WIN11-PROD-01。选择一个合适的存储位置Datastore。兼容性在“兼容性”下拉菜单中选择ESXi 8.0 and later。这是确保你能使用最新硬件版本的前提。客户机操作系统在“客户机操作系统”中选择Microsoft Windows-Windows 11 (64-bit)。这一步很重要它会自动为你预设一些合理的默认值比如内存大小和 SCSI 控制器类型。CPU 和内存Windows 11 的最低要求是 2 核 CPU 和 4GB 内存。但为了获得流畅体验我建议CPU2个插槽Sockets2个内核Cores per socket总计4个逻辑处理器。不要勾选“启用 CPU 热添加”这在 Windows 11 上可能导致不稳定。内存8192MB8GB。这是兼顾性能与资源效率的甜点值。网络选择一个已配置好的标准交换机vSwitch或分布式交换机vDS端口组。确保该网络能访问你的 ISO 存储。SCSI 控制器选择LSI Logic SAS。这是 Windows 11 官方支持的首选控制器兼容性最好。避免使用PVSCSI虽然它性能更高但在安装阶段有时会引发驱动加载问题。磁盘创建一个新虚拟磁盘大小建议120GB。格式选择Thin Provision精简置备这样可以节省初始存储空间。重要在此步骤不要点击“完成”此时你来到了最关键的“虚拟机选项”页面。这是所有默认配置的“分水岭”。固件在左侧导航栏点击“虚拟机选项” - “固件”。将“固件”下拉菜单从默认的Automatic改为UEFI。这是第一道生死线。硬件版本在同一页面找到“硬件版本”选择Version 20 (ESXi 8.0 and later)。添加 vTPM点击“虚拟机选项” - “添加新设备” - “vTPM”。此时如果前面的步骤都正确你应该能看到一个清晰的“vTPM”设备被添加进来。它的状态会显示为“已启用”。注意如果你在这里看不到“vTPM”选项或者点击后提示“此主机不支持 vTPM”请立即停止回头检查“核心细节解析”章节中的“三把锁”。90% 的失败都发生在这里。完成以上所有配置后点击右下角的“完成”。虚拟机创建完毕但此时它还处于“已注册”状态尚未开机。4.2 关键的 VMX 文件手工编辑为 R730 注入 vTPM 1.2 支持对于 Dell R730 这类不支持 TXT 的老平台仅仅在 UI 里添加 vTPM 是不够的。你必须手动编辑虚拟机的.vmx配置文件强制指定使用 vTPM 1.2。这是一个必须执行的步骤否则 Windows 11 安装程序会因找不到兼容的 TPM 而拒绝继续。在 vSphere Client 中右键点击你刚刚创建的虚拟机选择“打开控制台”。在控制台窗口的顶部菜单栏点击“文件” - “下载” - “下载虚拟机配置文件 (.vmx)”。将下载的.vmx文件用 Notepad或其他纯文本编辑器打开。在文件末尾添加以下三行vtpm.present TRUE vtpm.version 1.2 firmware efi解释vtpm.present TRUE是显式声明启用 vTPMvtpm.version 1.2是核心指令它覆盖了 UI 默认的 2.0 版本firmware efi是双重保险再次确认固件类型防止 UI 设置被意外覆盖。保存文件。回到 vSphere Client右键虚拟机选择“从清单中移除”。注意这只是从清单中移除不是删除磁盘点击“主机” - “存储” - 你的 Datastore找到该虚拟机的文件夹通常以虚拟机名命名。找到并删除该文件夹下的*.vmx文件就是你刚刚编辑的那个。将你本地编辑并保存好的.vmx文件拖拽上传到这个文件夹中。右键该.vmx文件选择“添加到清单”。虚拟机将重新出现在清单中。这一步操作看起来繁琐但它赋予了 R730 运行 Windows 11 的能力。我把它称为“老将的逆袭”。完成之后你的虚拟机就已经具备了所有硬件层面的合规性。4.3 准备与挂载 Windows 11 安装介质现在我们需要一个“干净”的 Windows 11 ISO。网上流传的所谓“破解版”或“精简版”ISO往往移除了 TPM 和 Secure Boot 的检查模块这会导致两个严重后果一是它无法通过微软的 WHCP 认证未来更新可能失败二是它破坏了 Windows 11 的安全根基使 BitLocker 等功能形同虚设。因此必须使用微软官方发布的、未经修改的 ISO。获取方式很简单访问微软官方的 Windows 11 下载页面 。下载“Windows 11 Installation Assistant”工具。运行该工具它会自动检测你的环境并提供一个“创建安装媒体”的选项。选择“USB 闪存驱动器”或“ISO 文件”。强烈推荐选择“ISO 文件”因为你可以直接将这个 ISO 上传到 ESXi 的 Datastore 中供虚拟机挂载。将下载好的Win11_23H2_English_x64.iso或你选择的版本上传到 ESXi 的 Datastore。上传完成后在 vSphere Client 中右键你的虚拟机选择“编辑设置”。在“硬件”选项卡下找到“CD/DVD 驱动器 1”。将“连接”设为已连接和启动时连接。将“设备类型”设为数据存储 ISO 文件。点击“浏览”找到你刚刚上传的 Windows 11 ISO 文件并选中它。4.4 启动安装与关键操作如何在安装过程中“说服”Windows 11点击“开机”虚拟机启动。你会看到熟悉的 UEFI 启动画面然后进入 Windows 11 安装程序。语言与区域设置选择你的偏好点击“下一步”。安装类型点击“现在安装”。产品密钥此处可以直接点击“我没有产品密钥”。Windows 11 允许在安装完成后再通过设置 - 更新和安全 - 激活来输入密钥。跳过这一步可以避免因密钥格式错误导致的安装中断。选择版本选择Windows 11 Pro或你所需的版本点击“下一步”。许可条款勾选“我接受许可条款”点击“下一步”。此时安装程序会进行初步的硬件扫描。如果一切配置正确你将看到一个绿色的对勾旁边写着“此电脑可以运行 Windows 11”。这是第一个胜利信号。安装类型选择“自定义仅安装 Windows高级”。分区选择在磁盘列表中你会看到一个名为Disk 0的磁盘。不要直接点击“下一步”这是最关键的一步。Windows 11 的 UEFI 安装要求磁盘必须是 GPT 分区格式并且需要一个 EFI 系统分区ESP。如果直接安装它会尝试在 MBR 分区上操作导致失败。点击Disk 0然后点击“驱动器选项高级”。你会看到一个未分配的空间。点击“新建”输入大小例如500MB点击“应用”。这会创建一个 EFI 系统分区。再次点击“新建”这次输入剩余的全部空间例如119500点击“应用”。这会创建主分区C:。此时你应该看到两个分区一个是System ReservedEFI另一个是Primary PartitionC:。选中Primary Partition即 C: 盘然后点击“下一步”。安装程序开始复制文件。这个过程会持续几分钟。期间虚拟机会自动重启数次。每次重启后你都需要在 vSphere Client 的控制台中快速按下ESC键进入 UEFI 固件设置界面。这是为了确保它始终从 CD/DVD 驱动器启动而不是从硬盘启动。如果不按 ESC它可能会跳过安装直接进入一个空白的 Windows 安装环境。OOBE开箱即用体验当安装完成进入 OOBE 界面时你会被要求登录 Microsoft 账户。此时强烈建议你选择“离线账户”。点击左下角的“我没有 Internet 连接”然后连续按Shift F10或Fn Shift F10取决于你的键盘打开命令提示符。在命令提示符中依次输入以下命令reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate /v DisableWindowsUpdateAccess /t REG_DWORD /d 0 /f reg add HKLM\SYSTEM\Setup\Status\ChildCompletion /v setup.exe /t REG_DWORD /d 2 /f exit然后关闭命令提示符点击“继续使用有限设置”。这会跳过联网和账户绑定直接进入桌面。这样做是为了避免在首次启动时系统因网络策略或账户同步问题而卡死。至此Windows 11 的安装已经完成。你拥有一台在 ESXi 上原生、合规、可信赖运行的 Windows 11 虚拟机。接下来就是安装 VMware Tools 和进行最终的优化了。5. 常见问题与排查技巧实录那些让我熬夜到凌晨的真实踩坑记录在无数次部署 Windows 11 的过程中我总结了一套“问题-现象-根源-解决”的速查表。这些问题每一个都曾让我在深夜对着控制台抓耳挠腮。我把它们毫无保留地分享出来希望能帮你避开这些深坑。问题现象根本原因排查与解决步骤我的实操心得安装程序启动后黑屏几秒后自动重启UEFI 固件未正确加载或 vTPM 初始化失败1. 确认虚拟机固件为UEFI2. 检查.vmx文件中是否有firmware efi3. 在虚拟机启动时反复按ESC进入 UEFI 设置检查“Boot Order”中CD/DVD 驱动器是否排在第一位。这个黑屏问题90% 是固件设置错误。不要迷信“自动”选项一定要手动指定为 UEFI。R730 的 BIOS 里UEFI Boot和Legacy Boot是互斥的必须关掉 Legacy。安装界面显示“此电脑无法运行 Windows 11”TPM 检查失败vTPM 未启用或版本不匹配1. 检查 ESXi 许可证是否为Enterprise Plus2. 检查.vmx文件中vtpm.present和vtpm.version是否存在且正确3. 对于 R730vtpm.version必须是1.2绝不能是2.0。我第一次遇到这个问题时花了整整一天去研究 BIOS 设置最后才发现是.vmx文件里少写了一个引号。vtpm.version 1.2和vtpm.version 1.2是完全不同的后者会被 ESXi 忽略。安装完成后首次启动进入蓝屏错误代码0xC0000428Secure Boot 启用但系统启动文件如winload.efi的签名未被 UEFI 固件信任1. 在虚拟机开机时按ESC进入 UEFI 设置2. 进入Security-Secure Boot将其暂时设为Disabled3. 启动进入 Windows安装完 VMware Tools 后再回到 UEFI 设置将 Secure Boot 重新设为Enabled。这个蓝屏是 Windows 11 安装后最经典的“信任链断裂”问题。它不是安装失败而是启动失败。临时关闭 Secure Boot 是安全的因为 vTPM 本身已经提供了足够的信任基础。安装完成后鼠标在虚拟机内无法移动或键盘按键失灵如esxi 键盘和 宿主机冲突VMware Tools 未安装或安装不完整1. 在 Windows 桌面打开“设备管理器”2. 查看“其他设备”下是否有带黄色感叹号的VMware SVGA 3D或VMware USB Arbitration设备3. 如果有说明驱动缺失。挂载 VMware Tools ISO在虚拟机设置中CD/DVD 驱动器选择Client Device然后在 Windows 内运行setup64.exe。这个问题在 ESXi 上比 Workstation 上更常见因为 ESXi 的 USB 设备仲裁机制更严格。安装 VMware Tools 后一定要重启一次虚拟机让所有驱动生效。安装完成后Windows Update 一直卡在“正在检查更新”进度条不动Windows Update 服务被策略禁用或网络代理设置错误1. 以管理员身份运行 PowerShell2. 输入Get-Service wuauserv检查服务状态3. 如果是Stopped输入Start-Service wuauserv4. 输入netsh winhttp show proxy检查是否有残留的代理设置如有用netsh winhttp reset proxy清除。这个问题经常发生在使用“离线账户”跳过 OOBE 的情况下。Windows Update 服务默认是禁用的。手动启动它并清除所有网络代理是让更新恢复正常的第一步。除了以上表格中的问题我还想分享一个独家的、关于性能的避坑技巧。很多人在 R730 上安装完 Windows 11 后会感觉系统“卡顿”尤其是在打开设置或运行图形应用时。这并非 CPU 或内存不足而是显卡驱动的问题。ESXi 默认为虚拟机提供的是VMware SVGA 3D显卡它是一个通用的、软件渲染为主的虚拟显卡。对于 Windows 11 的现代化 UI尤其是 Fluent Design 和 Acrylic 效果它的性能捉襟见肘。我的解决方案是在安装完 VMware Tools 后手动禁用VMware SVGA 3D并启用Microsoft Basic Display Adapter。听起来很反直觉对吧但事实是Windows 11 自带的“基本显示适配器”驱动对虚拟化环境的优化反而更好。它放弃了复杂的 3D 渲染转而专注于高效的 2D 图形合成这使得整个 UI 流畅度大幅提升。操作方法很简单在“设备管理器”中找到“显示适配器”右键VMware SVGA 3D选择“禁用设备”。系统会自动回退到基本显示适配器。你可能会看到屏幕闪烁一下但之后的体验会截然不同。这个技巧是我从一位在 VMware Labs 工作的朋友那里得到的它没有写在任何官方文档里却是提升 R730 上 Windows 11 体验最立竿见影的方法。最后我想说的是部署 Windows 11 到 ESXi本质上是一场与微软安全策略和 VMware 虚拟化架构的深度对话。它考验的不是你的记忆力而是你对底层原理的理解和对细节的敬畏。每一次成功的部署都是对这套复杂系统的一次致敬。当你看到那台运行在 R730 上的 Windows 11 虚拟机稳定地执行着自动化