Windows Server: первый вход, RDP и обновления

Windows Server 2025 и 2022 Standard устанавливаются в один клик. Новый сервер с Windows будет готов к работе менее чем за 2 минуты после подтверждения оплаты, а в письме о выдаче будут его IP-адрес и пароль Administrator.

Лицензия и оплата

Лицензия Windows Server оплачивается ежемесячно вместе с сервером: $2,75 за физическое ядро в месяц, минимум — 8 ядер. Цены указаны без НДС.

Лицензия распространяется на операционную систему и до двух одновременных административных сеансов удаленного рабочего стола. Службы удаленных рабочих столов для конечных пользователей требуют отдельных лицензий RDS, которые в стоимость не входят.

Первый вход по RDP

• Windows: выполните mstsc /v:203.0.113.10 или откройте «Подключение к удаленному рабочему столу».
• macOS: используйте приложение Windows App от Microsoft (ранее Microsoft Remote Desktop).
• Linux: используйте Remmina или xfreerdp /v:203.0.113.10 /u:Administrator (xfreerdp3 в новых дистрибутивах).

Войдите как Administrator с паролем из письма и примите предупреждение о сертификате: пока вы не установите собственный сертификат, сервер использует самоподписанный сертификат RDP. Сразу смените пароль: нажмите в сеансе Ctrl+Alt+End и выберите Изменить пароль или выполните в PowerShell:

Set-LocalUser -Name Administrator -Password (Read-Host -AsSecureString "New password")

Установка обновлений

Прежде чем открывать доступ к каким-либо сервисам, установите последнее накопительное обновление:

• Установка с возможностями рабочего стола: Параметры → Центр обновления Windows → Проверить наличие обновлений.
• Любой вариант установки, включая Server Core: выполните sconfig в PowerShell и выберите пункт 6 (Установить обновления). Пункт 5 (Параметры обновления), а затем A включают автоматические обновления, которые устанавливаются ежедневно в 3:00 по времени сервера.

Накопительные обновления требуют перезагрузки, и пока Windows снова не загрузится, ваши сервисы недоступны. Запланируйте перезагрузку на часы минимальной нагрузки.

Ограничьте доступ к удаленному рабочему столу

Открытый всему миру порт RDP постоянно атакуют боты, подбирающие пароли. Сокращайте поверхность атаки шаг за шагом.

1. Разрешите RDP только со своих адресов. Создайте правило для своих адресов IPv4 и IPv6, затем отключите встроенные правила, которые разрешают подключение всем:

   PowerShell

   New-NetFirewallRule -DisplayName "RDP from admin IPs" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 198.51.100.7,2001:db8:abcd::/48 -Action Allow
   Disable-NetFirewallRule -DisplayGroup "Remote Desktop"

   Без встроенного правила для UDP протокол RDP просто работает через TCP.

2. Не отключайте проверку подлинности на уровне сети. NLA требует действительные учетные данные еще до начала сеанса и включена по умолчанию. Если NLA включена, эта проверка возвращает 1:

   PowerShell

   (Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

3. Откажитесь от имени Administrator. Боты пробуют его первым. Создайте собственную учетную запись администратора, войдите под ней в новом сеансе, затем отключите встроенную учетную запись:

   PowerShell

   New-LocalUser -Name "deploy" -Password (Read-Host -AsSecureString "Password")
   Add-LocalGroupMember -Group "Administrators" -Member "deploy"
   Disable-LocalUser -Name "Administrator"

4. Блокируйте учетные записи после неудачных попыток: здесь — на 15 минут после 10 неверных паролей.

   PowerShell

   net accounts /lockoutthreshold:10 /lockoutwindow:15 /lockoutduration:15

5. А еще лучше — спрячьте RDP. Подключайтесь через VPN, например WireGuard, и разрешите порт 3389 только из подсети VPN или опубликуйте RDP через HTTPS с помощью роли шлюза удаленных рабочих столов (RD Gateway), для которой нужны лицензии RDS.

Включите IPv6

Вашему серверу выделена маршрутизируемая подсеть /64. Проверьте, настроен ли уже адрес из нее:

Get-NetIPAddress -AddressFamily IPv6

Если вы видите только локальные адреса канала fe80::, узнайте имя адаптера с помощью Get-NetAdapter, затем добавьте адрес из своей подсети /64 и шлюз IPv6, указанный в личном кабинете (в этом примере — fe80::1):

New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 2001:db8:1234:5678::1 -PrefixLength 64
New-NetRoute -InterfaceAlias "Ethernet" -DestinationPrefix "::/0" -NextHop fe80::1

В netsh то же самое делается командой netsh interface ipv6 add address "Ethernet" 2001:db8:1234:5678::1/64, а затем netsh interface ipv6 add route ::/0 "Ethernet" fe80::1. В графическом интерфейсе откройте ncpa.cpl, затем свойства компонента IP версии 6 (TCP/IPv6) адаптера. Проверьте связь с помощью ping -6 до хоста, у которого точно есть IPv6, и добавьте свой IPv6-адрес в правило RDP, если подключаетесь по IPv6. Подробнее — в руководстве Настройка подсети /64 IPv6.

Добавление дополнительных IPv4-адресов

Дополнительные IPv4-адреса ($2,50 за IP в месяц, см. Дополнительные IPv4-адреса) настраиваются на том же адаптере. Они маршрутизируются на ваш основной IP, поэтому добавляйте их с маской /32 и помечайте как SkipAsSource, чтобы исходящие подключения по-прежнему использовали основной IP:

New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 198.51.100.20 -PrefixLength 32 -SkipAsSource $true

В графическом интерфейсе: свойства адаптера → IP версии 4 (TCP/IPv4) → Дополнительно → IP-адреса → Добавить, маска подсети 255.255.255.255.

Если RDP недоступен

В личном кабинете откройте сервер и выберите «Консоль (IPMI)». С помощью функции консоли Ctrl+Alt+Del перейдите к экрану входа, войдите в систему и проверьте сеть и удаленный рабочий стол из PowerShell:

Get-NetIPAddress -AddressFamily IPv4
Get-NetRoute -DestinationPrefix 0.0.0.0/0
Get-Service TermService
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections -Value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

Последние две строки снова включают удаленный рабочий стол и заново открывают его стандартные правила брандмауэра; когда вернете доступ, снова ограничьте их. Если Windows больше не загружается, скопируйте данные в режиме восстановления, прежде чем переустанавливать систему.

Следующие шаги

• Что покрывает входящая в стоимость защита сети, читайте в руководстве Как работает защита от DDoS на вашем сервере.
• Сравните Windows Server с другими системами на странице Операционные системы.
• Все еще нет доступа? Обратитесь в поддержку: вопросы доступа к IPMI и установки ОС входят в зону нашей ответственности, 24/7.