Windows Server 2025:n täydellinen asennus

Valitse versio ja asennustyyppi ennen ISO:n käynnistämistä

Windows Server 2025:stä on pääasiassa kaksi versiota. Standard on suunniteltu kevyesti virtualisoituihin toimistoihin ja kattaa kaksi Windows Server -virtuaalikonetta lisenssisarjaa kohti. Tietokeskus kattaa rajattomasti virtuaalikoneita isännässä ja lisää ominaisuuksia, kuten Storage Spaces Direct -suoraan – useimmat yhden palvelimen toimistot eivät rehellisesti sanottuna tarvitse sitä. Asennuksen aikana valitset myös käyttöliittymän: Desktop Experience tarjoaa sinulle täyden Windows-työpöydän, kun taas Server Core -ohjelmassa ei ole lainkaan työpöytää, ja sitä hallitaan komentojen ja etätyökalujen avulla.

Jos kyseessä on pieni toimisto ja ensimmäinen palvelin, valitse Standard with Desktop Experience. Server Core on kevyempi ja vaatii vähemmän uudelleenkäynnisyksiä, mutta valitse se vain, jos olet tyytyväinen PowerShelliin – etkä voi vaihtaa näiden kahden välillä myöhemmin asentamatta uudelleen.

Asenna Windows ja aseta vakava järjestelmänvalvojan salasana

Käynnistä ISO- tai USB-portista, valitse Mukautettu: Asenna vain Windows ja asenna asemaan tai RAID-taltiolle, jonka olet valmistellut järjestelmää varten. Asennus pyytää järjestelmänvalvojan salasanaa ennen ensimmäistä sisäänkirjautumista – tämä on tehokkain tili, jonka toimisto koskaan omistaa, joten tee siitä pitkä, yksilöllinen ja tallennetaan salasanavarastoon samana päivänä, ei tarralapulle.

Desktop Experiencessa pääset työpöydälle ja Palvelinhallinta avautuu itsestään. Server Coressa pääset SConfig-valikkoon. Kun kirjoitat sconfig mihin tahansa komentokehotteeseen, saat sen takaisin milloin tahansa:

sconfig

Do not install a single role yet. The next two steps decide how painless the rest of your year will be.

Anna palvelimelle sen identiteetti – staattinen IP, nimi ja aikavyöhyke

Palvelin on kone, jonka osoite ei saa koskaan siirtyä, koska kaikki muut tietokoneet osoittavat siihen kirjautumisia, DNS:ää ja tiedostoja varten. Anna sille kiinteä osoite lähiverkon sisällä, reitittimen antaman kantaman ulkopuolella – esimerkiksi 192.168.1.10, kun reititin on 192.168.1.1 ja DHCP alkaa arvosta 192.168.1.100.

Aseta staattinen IP-osoite, aliverkon peite ja yhdyskäytävä verkkosovittimen ominaisuuksissa (tai SConfig-vaihtoehdosta 8). Nimeä sitten tietokone uudelleen nyt – jotain lyhyttä ja roolipohjaista, kuten SRV-DC01. Uudelleennimeäminen on ilmaista tänään; toimialueen ohjaimeksi ylennyksen jälkeen siitä tulee toimenpide, jota et halua tehdä satunnaisesti. Aseta lopuksi oikea aikavyöhyke ja varmista, että kello on oikea – kirjautumiset ja varmenteet riippuvat hiljaa tarkasta ajasta.

Päivitä kokonaan ennen minkään roolin asentamista

Tämä on vaihe, jonka kärsimättömät asetukset ohittavat, ja se aiheuttaa myöhemmin kummallisimmat virheet. Upouusi asennus on kuukausia jäljessä korjauspäivityksistä, ja roolivelhot epäonnistuvat säännöllisesti puoliksi korjatulla pohjalla syistä, jotka näyttävät mustalta magialta.

Avaa Asetukset → Windows Update ja suorita Tarkista päivitykset. Asenna kaikki, käynnistä uudelleen pyydettäessä ja tarkista sitten uudelleen – uudet päivitykset ilmestyvät usein vasta edellisen kierroksen jälkeen. Toista, kunnes Windows ilmoittaa, että olet ajan tasalla kahdesti peräkkäin, ja varmista, ettei uudelleenkäynnistystä jää odottamaan. Vasta nyt tukikohta on tarpeeksi vakaa roolien rakentamiseen.

Asenna roolit järjestyksessä – Active Directory DNS:llä, sitten DHCP

Tyypillisen toimistopalvelimen kolmella ensimmäisellä roolilla on luonnollinen järjestys, koska jokainen nojaa edelliseen.

Active Directory Domain Services tulee ensin – asenna rooli Server Managerista ja luo sitten toimialue ohjatulla edistämistoiminnolla. Promotion asentaa ja määrittää verkkotunnuksen DNS:n automaattisesti, minkä vuoksi AD tulee ensin. Valitse verkkotunnuksen nimi tarkoituksella – yrityksen verkkotunnuksen aliverkkotunnus, kuten ad.company.com, on nykyaikainen malli. nimi, kuten office.local, toimii edelleen suljetussa toimistossa. Säilytä DSRM-salasana varastossa; se on verkkotunnuksen hätäavain.

DHCP tulee toiseksi – asenna rooli, valtuuta se Active Directoryssa ja luo osoitteen laajuus. Luvaton DHCP-palvelin verkkotunnuksessa kieltäytyy jakamasta osoitteita tarkoituksella – se on turvaominaisuus, ei vika. Lisää Tiedosto- ja tallennuspalvelut -osia tarpeen mukaan jakamista varten.

Pidätkö mieluummin PowerShellia? Samat roolit asennetaan näillä komennoilla – Active Directory ensin:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest

And DHCP after it:

Install-WindowsFeature DHCP -IncludeManagementTools

Erota järjestelmäasema tietoasemasta

Pidä Windows ja roolit C:ssä ja laita kaikki toimiston luoma tieto – jaetut kansiot, käyttäjäasiakirjat, uudelleenohjatut profiilit – erilliseen tietotaltioon. Tämä yksi asettelupäätös maksaa sinulle takaisin vuosia.

Omalla taltiollaan olevat tiedot voidaan varmuuskopioida, ottaa tilannekuvat varjokopioilla ja jopa siirtää uudelle palvelimelle koskematta järjestelmään. Ja jos tietoasema täyttyy, palvelin silti käynnistyy ja kirjaa ihmiset sisään - jos C: täyttyy, kaikki pysähtyy. Varmuuskopion kohteen pitäisi olla jälleen eri fyysinen levy: samalla levyllä oleva osio ei suojaa levyn kuolemaa vastaan.

Etähallinnan määrittäminen kurinalaisesti

Sinun tulee hallita tätä palvelinta työpöydältäsi, ei seisomalla sen edessä – mutta etäkäytön on oltava ovi, jossa on lukko, ei avoin ikkuna. Ota Etätyöpöytä käyttöön vain järjestelmänvalvojille ja pidä verkkotason todennus päällä.

Omalla tietokoneellasi Server Manager (RSAT:n kautta) tai Windows Admin Center (ilmainen lataus Microsoftilta) voi hallita tätä ja seuraavia palvelinta yhdestä konsolista.

Suorita Basic Hardening Pass ennen käyttäjien saapumista

Kolmekymmentä minuuttia tarkastuksia nyt on halvempaa kuin yksi tapaus myöhemmin. Varmista, että Windows Defenderin palomuuri on käytössä kaikissa profiileissa – roolien asentaminen avaa vain roolien tarvitsemat portit. Luo oma nimetty järjestelmänvalvojan tili ja käytä sitä järjestelmänvalvojatöissä, jotta lokeissa näkyy henkilö, ei jaettu tili. säilyttää sisäänrakennetun järjestelmänvalvojan sisäänkirjautumistunnuksena.

Tarkista, että SMB-allekirjoitus on käytössä, äläkä asenna vanhoja ominaisuuksia, kuten SMBv1 onnen vuoksi. Server 2025 ei asenna sitä oletuksena, ja se on tarkoituksellista. Aseta lopuksi kuukausittainen päivitysikkuna ja kirjoita se muistiin: palvelimet eivät korjaa itseään vastuullisesti vahingossa.

Ota varmuuskopiointi käyttöön tänään ja kirjoita rakentamasi muistiin

Asennus ei ole valmis, kun roolit toimivat. Se on valmis, kun palvelin voi palata huonolta päivästä ja kun joku muu voi ymmärtää sen.

Asenna Windows Server Backup -ominaisuus, osoita se erilliseen levyyn, sisällytä Bare Metal Recovery ja ajoita se tälle illalle.

Kirjoita sitten luovutusasiakirja: palvelimen nimi, IP, toimialue, roolit, varmuuskopiointiaikataulu, päivitysikkuna ja paikka, jossa käyttöoikeudet ja salasanat on tallennettu. Säilytä asiakirjan kopio pois palvelimelta – asiakirja, joka on olemassa vain siinä kuvatulla koneella, puuttuu juuri silloin, kun tarvitset sitä.