Windows Server 2025 完整设置

启动 ISO 之前选择版本和安装类型

Windows Server 2025 主要有两个版本。 标准专为轻度虚拟化办公室而构建，每个许可证集涵盖两个 Windows Server 虚拟机。 数据中心涵盖主机上无限的虚拟机，并添加了存储空间直通等功能——大多数单服务器办公室确实不需要它。在设置过程中，您还可以选择界面：桌面体验为您提供完整的 Windows 桌面，而服务器核心根本没有桌面，由命令和远程工具管理。

对于小型办公室和第一台服务器，请选择标准桌面体验。 Server Core 更精简，需要的重启次数也更少，但只有当您熟悉 PowerShell 时才选择它 - 并且以后如果不重新安装就无法在两者之间切换。

安装 Windows 并设置严格的管理员密码

从 ISO 或 USB 启动，选择自定义：仅安装 Windows，然后安装到为系统准备的驱动器或 RAID 卷上。该设置要求在首次登录之前输入管理员密码 - 这是办公室拥有的最强大的帐户，因此请使其长且唯一，并在当天存储在密码库中，而不是放在便签上。

在桌面体验中，您将登陆桌面，并且服务器管理器会自行打开。在 Server Core 上，您可以进入 SConfig 菜单 - 在任何命令提示符中键入 sconfig 可以随时将其返回：

在安装任何角色之前完全更新

这是不耐烦的设置跳过的步骤，也是后来导致最奇怪错误的步骤。全新的安装比补丁晚了几个月，而且角色向导经常因为看起来像黑魔法的原因而在打了一半补丁的基础上失败。

打开设置 → Windows 更新并运行检查更新。安装所有内容，在询问时重新启动，然后再次检查 - 新的更新通常仅在上一轮之后出现。重复此操作，直到 Windows 连续两次报告您处于最新状态，并确保没有任何重新启动处于挂起状态。直到现在，基础才足够稳定，可以在其上构建角色。

按顺序安装角色 — Active Directory 使用 DNS，然后是 DHCP

对于典型的办公服务器，前三个角色具有自然顺序，因为每个角色都依赖于前一个角色。

Active Directory 域服务首先出现 - 从服务器管理器安装角色，然后运行升级向导来创建域。升级会自动为域安装和配置 DNS，这正是 AD 优先的原因。谨慎选择域名 - 公司域的子域，例如 ad.company.com 是现代模式；像 office.local 这样的名称在封闭的办公室中仍然有效。将DSRM密码保存在保管库中；它是域的紧急密钥。

DHCP 其次 - 安装角色，然后在 Active Directory 中对其进行授权并创建地址范围。域中未经授权的 DHCP 服务器故意拒绝分发地址 — 这是一项安全功能，而不是故障。根据共享需要添加文件和存储服务部分。

更喜欢 PowerShell？使用这些命令安装相同的角色 - 首先是 Active Directory：

设置有纪律的远程管理

您应该从办公桌上管理此服务器，而不是站在它前面 - 但远程访问必须是带锁的门，而不是打开的窗户。仅为管理员启用远程桌面，并保持网络级身份验证开启。

在您自己的 PC 上，服务器管理器（通过 RSAT）或Windows 管理中心（从 Microsoft 免费下载）可以通过一个控制台管理此服务器和下一个服务器。

在用户到达之前运行基本的强化过程

现在三十分钟的检查比以后发生一次事故要便宜。确认所有配置文件的 Windows Defender 防火墙 已打开 - 安装角色仅打开这些角色所需的端口。创建您自己的指定管理员帐户并将其用于管理工作，以便日志显示一个人，而不是共享帐户；保留内置管理员作为打破玻璃登录。

检查SMB 签名是否已启用，并且不要为了运气而安装 SMBv1 等旧功能 - Server 2025 默认情况下不会安装它，这是故意的。最后，设置每月更新窗口并记下：服务器不会意外地负责任地自我修补。

立即打开备份，并记下您构建的内容

当角色起作用时，设置尚未完成。当服务器从糟糕的一天中恢复过来并且其他人可以理解它时，它就完成了。

安装Windows Server Backup功能，将其指向单独的磁盘，包括裸机恢复，并安排在今晚进行。

然后编写移交文档：服务器名称、IP、域、角色、备份计划、更新窗口以及存储许可证和密码的位置。将该文档的副本存储在服务器上 - 只存在于它所描述的计算机上的文档在您需要时却丢失了。