Повне налаштування Windows Server 2025

Виберіть випуск і тип встановлення перед завантаженням ISO

Windows Server 2025 переважно випускається у двох версіях. Стандарт створено для незначно віртуалізованих офісів і охоплює дві віртуальні машини Windows Server на набір ліцензій. Центр обробки даних охоплює необмежену кількість віртуальних машин на хості та додає такі функції, як Storage Spaces Direct — більшості офісів з одним сервером це, чесно кажучи, не потрібно. Під час налаштування ви також обираєте інтерфейс: Desktop Experience дає вам повний робочий стіл Windows, тоді як Server Core не має робочого столу взагалі, і ним керують команди та віддалені інструменти.

Для невеликого офісу та першого сервера оберіть Стандарт із робочим столом. Server Core є компактнішим і потребує менше перезапусків, але вибирайте його, лише якщо вам зручно працювати з PowerShell — і ви не зможете перемикатися між ними без перевстановлення.

Установіть Windows і встановіть серйозний пароль адміністратора

Завантажтеся з ISO або USB, виберіть Custom: Install only Windows і встановіть на диск або том RAID, який ви підготували для системи. Під час налаштування перед першим входом запитується пароль адміністратора — це найпотужніший обліковий запис, який будь-коли володів офіс, тому зробіть його довгим, унікальним і зберігайте в сховищі паролів того ж дня, а не на липкій нотатці.

У Desktop Experience ви потрапляєте на робочий стіл, і Диспетчер серверів відкривається сам. У Server Core ви потрапляєте в меню SConfig — введення sconfig у будь-якому командному рядку повертає його в будь-який час:

sconfig

Do not install a single role yet. The next two steps decide how painless the rest of your year will be.

Надайте серверу ідентифікаційні дані — статичну IP-адресу, ім’я та часовий пояс

Сервер — це єдина машина, адресу якої ніколи не можна переміщувати, оскільки всі інші комп’ютери вказуватимуть на неї для входу, DNS і файлів. Надайте йому фіксовану адресу у вашій локальній мережі, поза діапазоном, який надає ваш маршрутизатор — наприклад, 192.168.1.10, коли маршрутизатор 192.168.1.1, а DHCP починається з 192.168.1.100.

Установіть статичну IP-адресу, маску підмережі та шлюз у властивостях мережевого адаптера (або в опції 8 SConfig). Потім перейменуйте комп’ютер зараз — щось коротке та рольове, наприклад SRV-DC01. Перейменування сьогодні безкоштовне; після просування до контролера домену це стає процедурою, яку ви не хочете робити випадково. Нарешті, установіть правильний часовий пояс і переконайтеся, що годинник правильний — логіни та сертифікати спокійно залежать від точного часу.

Повністю оновіть перед встановленням будь-якої ролі

Це крок, який нетерплячі налаштування пропускають, і саме він пізніше викликає найдивніші помилки. Абсолютно нова інсталяція на місяці запізнюється на виправлення, а майстри ролей регулярно виходять з ладу на напіввиправленій базі з причин, які схожі на чорну магію.

Відкрийте Параметри → Windows Update і запустіть Перевірити наявність оновлень. Встановіть усе, перезапустіть, коли буде запропоновано, потім перевірте знову — нові оновлення часто з’являються лише після попереднього раунду. Повторюйте, доки Windows двічі поспіль не повідомить про те, що ви оновлені, і переконайтеся, що жоден перезапуск не залишився в очікуванні. Лише тепер база достатньо стабільна, щоб на ній створювати ролі.

Установіть ролі по порядку — Active Directory із DNS, потім DHCP

Для типового офісного сервера перші три ролі мають природний порядок, оскільки кожна з них залежить від попередньої.

Доменні служби Active Directory на першому місці — установіть роль із Server Manager, а потім запустіть майстер просування, щоб створити домен. Promotion автоматично встановлює та налаштовує DNS для домену, саме тому AD стоїть на першому місці. Вибирайте доменне ім’я свідомо — субдомен домену компанії, наприклад ad.company.com, є сучасним шаблоном; така назва, як office.local, все ще працює в закритому офісі. Зберігайте пароль DSRM у сховищі; це екстрений ключ до домену.

DHCP — установіть роль, потім авторизуйте її в Active Directory і створіть область адреси. Неавторизований DHCP-сервер у домені навмисно відмовляється передавати адреси — це функція безпеки, а не помилка. Додайте частини служб файлів і зберігання за потреби для спільного використання.

Надаєте перевагу PowerShell? Ті самі ролі встановлюються за допомогою цих команд — спочатку Active Directory:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest

And DHCP after it:

Install-WindowsFeature DHCP -IncludeManagementTools

Відокремте системний диск від диска даних

Зберігайте Windows і ролі на C: та розміщуйте все, що створює офіс — спільні папки, документи користувачів, переспрямовані профілі — на окремий том даних. Це єдине рішення щодо компонування окупить вас роками.

Дані на власному томі можна створити резервну копію, зробити знімок із тіньовими копіями та навіть перемістити на новий сервер, не торкаючись системи. І якщо диск даних заповнюється, сервер все одно завантажується та реєструє людей — якщо C: заповнюється, усе зупиняється. Об’єктом резервного копіювання знову має бути інший фізичний диск: розділ на тому самому диску не є захистом від того, що цей диск помер.

Налаштуйте віддалене керування за допомогою Discipline

Ви повинні керувати цим сервером зі свого робочого столу, а не стояти перед ним — але віддалений доступ має бути через двері із замком, а не відкрите вікно. Увімкніть Віддалений робочий стіл лише для адміністраторів і залиште ввімкненою Автентифікацію на рівні мережі.

З вашого комп’ютера Server Manager (через RSAT) або Windows Admin Center (безкоштовне завантаження від Microsoft) може керувати цим сервером і наступними з однієї консолі.

Запустіть базову перевірку до прибуття користувачів

Тридцять хвилин перевірок зараз дешевше, ніж один випадок пізніше. Переконайтеся, що Брандмауер Windows Defender увімкнено для всіх профілів — встановлення ролей відкриває лише ті порти, які потрібні цим ролям. Створіть власний іменований обліковий запис адміністратора та використовуйте його для роботи адміністратора, щоб журнали відображали особу, а не спільний обліковий запис; збережіть вбудований адміністратор для входу в розбите скло.

Перевірте, чи ввімкнено підпис SMB, і на щастя не встановлюйте застарілі функції, такі як SMBv1 — Server 2025 не встановлює їх за замовчуванням, і це навмисно. Нарешті, встановіть період щомісячного оновлення та запишіть його: сервери не встановлюють патчі випадково.

Увімкніть резервне копіювання сьогодні та запишіть, що ви створили

Налаштування не завершено, коли ролі працюють. Це закінчено, коли сервер зможе повернутися після поганого дня і коли хтось інший зможе це зрозуміти.

Установіть функцію Windows Server Backup, наведіть її на окремий диск, увімкніть Bare Metal Recovery і заплануйте це на сьогоднішній вечір.

Потім запишіть документ передачі: ім’я сервера, IP-адресу, домен, ролі, розклад резервного копіювання, вікно оновлення та місце зберігання ліцензій і паролів. Збережіть копію цього документа поза сервером — документ, який існує лише на машині, яку він описує, відсутній саме тоді, коли він вам потрібен.