نصب ویندوز سرور 2022 چند مرحله مشخص دارد، ولی تصمیم های ابتدایی (نسخه، حالت نصب و تنظیمات بعد از آن) تا سال ها روی نگه داری سرور اثر می گذارد. این مقاله مراحل نصب را از انتخاب نسخه تا تنظیمات اولیه و امن سازی می گوید. اگر هدف شما ساختن دامین است، بعد از این مقاله اکتیو دایرکتوری چیست را بخوانید و اگر سرور را روی هایپروایزر نصب می کنید نصب Hyper-V و نصب VMware ESXi را ببینید.
نسخه و حالت نصب
| انتخاب | معنی | کاربرد |
|---|---|---|
| Standard | نسخه معمول با تعداد محدودی ماشین مجازی ویندوزی در هر لایسنس | فایل سرور، دامین کنترلر، برنامه های معمولی |
| Datacenter | ماشین مجازی نامحدود و امکانات پیشرفته مثل Storage Spaces Direct | هاست مجازی سازی بزرگ |
| Desktop Experience | رابط گرافیکی کامل (منو و ابزارها) | سروری که با ابزار گرافیکی مدیریت می شود |
| Server Core | بدون رابط گرافیکی؛ مدیریت با PowerShell و ابزار راه دور | دامین کنترلر، هایپروایزر، سرورهایی که سطح حمله کمتر می خواهند |
Server Core منابع کمتر مصرف می کند و به روزرسانی و سطح حمله کمتری دارد، ولی کسی باید با PowerShell و ابزار مدیریت از راه دور راحت باشد. اگر تیم به رابط گرافیکی عادت دارد، Desktop Experience انتخاب واقعی است. شرایط لایسنس هر نسخه و تعداد ماشین های مجاز را از مستندات مایکروسافت یا مشاور لایسنس بپرسید (لایسنس ویندوز سرور اورجینال).
پیش از نصب
- الزامات سخت افزاری را از مستندات رسمی نسخه خودتان بخوانید. پردازنده 64 بیتی، رم و دیسک کافی برای سیستم عامل و نقش ها لازم است و Desktop Experience از Core بیشتر مصرف می کند.
- ISO را از منبع رسمی مایکروسافت بگیرید و آن را از منبع غیررسمی یا دست کاری شده نگیرید. سرور با ISO آلوده از همان ابتدا آلوده است.
- در سرور فیزیکی، RAID را قبل از نصب بسازید (انواع RAID) و درایور کنترلر را در صورت نیاز آماده کنید. برای نصب از راه دور از iLO یا iDRAC و Virtual Media استفاده کنید.
- کلید لایسنس را آماده کنید. می توان با نسخه ارزیابی (Evaluation) شروع کرد و بعد فعال کرد، ولی از نسخه ارزیابی برای تولید بدون لایسنس استفاده نکنید.
- سرور را در زمان نصب مستقیم به اینترنت وصل نکنید تا قبل از به روزرسانی و فایروال هدف اسکن نشود.
مراحل نصب
- سرور را با ISO یا فلش بوت کنید و زبان، ساعت و کیبورد را انتخاب کنید. برای سرور، زبان انگلیسی پیام های خطا را راحت تر قابل جست و جو می کند.
- گزینه Install now را بزنید و کلید محصول را وارد کنید (یا برای بعد بگذارید).
- نسخه و حالت نصب (Standard یا Datacenter، با یا بدون Desktop Experience) را انتخاب کنید.
- شرایط لایسنس را بپذیرید و نوع نصب را Custom (کامل) انتخاب کنید.
- دیسک را انتخاب کنید و نصب را شروع کنید. سیستم چند بار ریستارت می شود.
- در پایان رمز Administrator را وارد کنید. رمز بلند و منحصر به فرد بگذارید و آن را در مدیر رمز امن ذخیره کنید.
اگر دیسک نمایش داده نمی شود، درایور کنترلر ذخیره سازی را با گزینه Load driver وارد کنید. در VMware و Hyper-V پس از نصب، ابزار مهمان (VMware Tools یا Integration Services) را نصب کنید.
تنظیمات اولیه با sconfig
ابزار متنی sconfig در همه حالت ها اجرا می شود و کارهای اولیه را در یک منو دارد: نام کامپیوتر، IP، دامین، به روزرسانی، Remote Desktop و ریستارت. در Server Core بعد از اولین ورود خودکار باز می شود و در Desktop Experience با اجرای sconfig در PowerShell. همین کارها را می شود با PowerShell هم انجام داد که برای خودکارسازی بهتر است:
Rename-Computer -NewName "SRV01" -Restart
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.20 -PrefixLength 24 -DefaultGateway 192.168.10.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 192.168.10.2
Set-TimeZone -Id "Iran Standard Time"
w32tm /resyncآدرس DNS سرور باید دامین کنترلر باشد، نه DNS عمومی، اگر قصد پیوستن به دامین دارید. ساعت را هم همین ابتدا درست کنید و منبع زمان را بررسی کنید، چون ورود به دامین به ساعت دقیق وابسته است (NTP چیست). آدرس IP و ماسک را از نقشه شبکه بردارید (subnet چیست) و سرورها را خارج از بازه DHCP آدرس بدهید (DHCP چیست).
پیوستن به دامین
Add-Computer -DomainName "ad.example.com" -Credential (Get-Credential) -Restartاگر خطای «دامین پیدا نشد» می گیرید، تقریباً همیشه به DNS سرور برمی گردد. با nslookup ad.example.com ببینید دامین پیدا می شود یا نه. بعد از پیوستن، سرور را در OU مناسب قرار دهید تا Group Policy درست روی آن اعمال شود.
به روزرسانی و فعال سازی
قبل از قرار دادن سرور در شبکه تولیدی، تمام به روزرسانی های امنیتی را نصب کنید. در sconfig گزینه Windows Update یا:
Install-Module PSWindowsUpdate -Force
Get-WindowsUpdate -Install -AcceptAll -AutoRebootدر شبکه هایی که دسترسی مستقیم به به روزرسانی مایکروسافت ندارند، سرور WSUS یا منبع داخلی برای دریافت به روزرسانی لازم است. فعال سازی:
slmgr /ipk XXXXX-XXXXX-XXXXX-XXXXX-XXXXX
slmgr /ato
slmgr /dliدستور آخر وضعیت لایسنس را نشان می دهد. از نرم افزارهای کرک و فعال ساز غیرقانونی استفاده نکنید؛ علاوه بر مسائل لایسنس، سرور را با بدافزار آلوده می کنند و بعد یافتن آن سخت است.
Remote Desktop به صورت امن
برای مدیریت از راه دور، Remote Desktop را فعال کنید، ولی فقط با NLA و فقط از شبکه مدیریت یا VPN:
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name "UserAuthentication" -Value 1خط آخر Network Level Authentication را روشن می کند. هرگز پورت 3389 را مستقیم روی اینترنت باز نگذارید. RDP باز روی اینترنت یکی از اصلی ترین مسیرهای ورود باج افزار است (باج افزار چیست). دسترسی را با VPN یا Remote Desktop Gateway بدهید. اگر مجبورید پورت را باز کنید، آدرس های مجاز را در فایروال محدود کنید و ورود دومرحله ای بگذارید.
امن سازی اولیه
- فایروال ویندوز را روشن نگه دارید و فقط قاعده های لازم را فعال کنید.
- حساب Administrator پیش فرض را عوض نام دهید یا یک حساب مدیر جدا بسازید و حساب پیش فرض را غیرفعال کنید.
- سرویس ها و نقش های غیرضروری را حذف کنید. هر نقش اضافه سطح حمله را بالا می برد.
- Windows Defender یا ضدبدافزار سازمانی را فعال و به روز نگه دارید.
- SMB نسخه 1 را غیرفعال کنید:
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol. - لاگ امنیتی و رویدادها را روشن بگذارید و به سرور مرکزی بفرستید.
- چک لیست کامل تر در هاردنینگ سرور لینوکس و ویندوز آمده است.
بکاپ و مانیتورینگ از روز اول
بعد از نصب و قبل از اینکه داده مهمی روی سرور برود، بکاپ و مانیتورینگ را راه بیندازید. ابزار Windows Server Backup داخل ویندوز است و برای کارهای ساده کافی است، و برای ماشین های مجازی یا محیط های بزرگ تر، Veeam گزینه معمول است (بکاپ گیری با Veeam و بکاپ گیری از سرور). هشدار پر شدن دیسک، رم و وضعیت سرویس ها را هم در مانیتورینگ بگذارید (مانیتورینگ سرور چیست).
اشتباه های رایج
- رمز Administrator ساده یا یکسان روی همه سرورها.
- سرور با IP دینامیک (DHCP) به عنوان سرور سرویس دهنده.
- نصب نقش ها بدون برنامه (مثلاً دامین کنترلر و فایل سرور و برنامه روی یک ماشین).
- سرور به روز نشده و RDP روی اینترنت باز.
- ISO و فعال ساز از منبع نامعتبر.
- بکاپ و مانیتورینگ که «بعداً» می ماند.
درباره انتخاب و تنظیم محافظت از سرور ویندوزی، آنتی ویروس سرور را ببینید.
امن سازی دسترسی از راه دور در RDP چیست آمده است.
مدیریت متمرکز آپدیت ها در WSUS چیست آمده است.
منابع و مستندات رسمی
- مستندات رسمی مایکروسافت درباره نصب و ارتقای Windows Server
- مستندات رسمی مایکروسافت درباره حداقل سخت افزار Windows Server
- مستندات رسمی مایکروسافت درباره ابزار sconfig
نصب، تنظیم اولیه و امن سازی ویندوز سرور، همراه راه اندازی دامین و نقش های بعدی، در اکتیو دایرکتوری و ویندوز سرور انجام می شود. برای تأمین لایسنس و سخت افزار مناسب، تأمین سرور و تجهیزات را ببینید.
