本頁內容為經校對後的 安全優先 / 命令優先 / 無冗餘版 Windows Server 2025 新機配置流程。所有命令默認需在 管理員權限 PowerShell / CMD 中執行。按優先級分為：必須 → 推薦 → 可選。

第 0 階段：控制台準備（物理/帶外 – 必做）

確保可訪問物理控制台或 iDRAC/KVM/IPMI。
建立《Setup_Commands.txt》並加密保存，用於記錄你執行的所有動作（便於回滾）。

（原因：遠程配置失誤會鎖死機器，控制台可救命。）

第一階段：基礎安全與網絡配置（必須先做）

1. 網絡基礎配置

PowerShell：

New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.137.137 -PrefixLength 24 -DefaultGateway 192.168.137.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 223.5.5.5,223.6.6.6

驗證連通性：

ping 192.168.137.1
nslookup www.microsoft.com

將網絡設為 Private（避免 Public 防火牆策略過嚴）：

Set-NetConnectionProfile -InterfaceAlias "Ethernet" -NetworkCategory Private

2. 啟用與強化 Windows 防火牆

Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True

僅放行「管理網段」而不是全部互聯網（Any）。

3. 管理員賬戶安全基線（必須）

3.1 修改 Administrator 密碼

net user Administrator StrongPassword!234

3.2 創建日常管理員賬戶

net user ServerAdmin StrongPassword!234 /add
net localgroup Administrators ServerAdmin /add

3.3 使用組策略重命名 Administrator 帳戶（官方推薦做法）

路徑：

gpedit.msc → 計算機配置 → Windows 設置 → 安全設置 → 本地策略 → 安全選項

修改：

「帳戶：重命名管理員帳戶」

將「Administrator」改為你自定義的安全名稱。

4. 區分本地登錄/遠程登錄權限（安全關鍵）

4.1 Administrator：禁止遠程桌面登錄（僅允許本地登錄）

路徑：

secpol.msc → 本地策略 → 用戶權限分配 → 「拒絕通過遠程桌面服務登錄」

添加：新名稱的 Administrator 帳戶。

4.2 日常管理員 ServerAdmin：禁止本地控制台登錄，但允許 RDP

路徑：

secpol.msc → 本地策略 → 用戶權限分配 → 「拒絕本地登錄」

添加：ServerAdmin。

路徑：

「允許通過遠程桌面服務登錄」

添加：ServerAdmin（移除不必要成員）。

（兩者合併後： Administrator = 僅本地 ServerAdmin = 僅 RDP 從而大幅減少本地提權風險與憑據泄露。）

5. 系統更新 / 驅動 / 版本升級

5.1 Windows Update

GUI：

設置 → Windows Update → 檢查更新

5.2 升級為 Datacenter（如需）

（需合法 key，會自動重啟）

DISM /online /Set-Edition:ServerDatacenter /ProductKey:D764K-2NDRG-47T6Q-P8T8W-YP6DF /AcceptEula

6. KMS 激活（合法環境）

slmgr -ipk D764K-2NDRG-47T6Q-P8T8W-YP6DF
slmgr -skms kms.03k.org
slmgr -ato
slmgr /xpr

第二階段：遠程管理（按需開啟，限制來源）

1. 啟用 RDP（先做防火牆） =

Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections -Value 0

強制 NLA：

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

僅允許管理網段訪問 3389：

New-NetFirewallRule -DisplayName "RDP-ManageNet" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 192.168.1.0/24 -Action Allow

2. 修改 RDP 端口 + 配套防火牆（完整命令）

2.1 修改端口

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 55000

2.2 添加新端口防火牆規則（最重要步驟）

New-NetFirewallRule -DisplayName "RDP-55000" -Direction Inbound -Protocol TCP -LocalPort 55000 -RemoteAddress 192.168.1.0/24 -Action Allow

2.3 重啟 RDP 服務

Restart-Service TermService -Force

（更改端口不會自動開防火牆。微軟官方文檔明確需要手動添加規則。）

3. WinRM / PS Remoting / SSH =

Enable-PSRemoting -Force

安裝 OpenSSH：

Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
Start-Service sshd
Set-Service sshd -StartupType Automatic

僅允許管理網段：

New-NetFirewallRule -DisplayName "SSH-ManageNet" -Protocol TCP -LocalPort 22 -RemoteAddress 192.168.1.0/24 -Action Allow

第三階段：硬件 / 驅動 / 廠商工具

Dell（iDRAC / ISM / DSU）

iDRAC / Lifecycle Controller 中完成固件、RAID 設置
Windows 內安裝：iDRAC Service Module（ISM） + DSU/DUP
DSU 運行固件/驅動檢查（需維護窗口）

第四階段：角色 / 服務部署

IIS

安裝：

Install-WindowsFeature Web-Server

關閉不必要模塊
強制 HTTPS、自動綁定證書

文件服務（SMB）

禁用 SMBv1：

Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

權限僅按組授予，不用 Everyone。

Hyper-V / 容器

Install-WindowsFeature Hyper-V -IncludeManagementTools

第五階段：系統個性化與日常使用設置（最後做）

1. Explorer（文件資源管理器）

路徑：

文件資源管理器 → 查看 → 選項

2. Edge 基礎安全設置

禁用自動運行下載
啟用增強安全模式
自定義 DNS（DoH）

3. 「設置」應用中的常見安全選項

系統 → 剪貼板 → 禁用「跨設備同步」
私隱 → 位置 → 關閉
私隱 → 診斷 → 基本
更新 → 可選更新 → 合法驅動

4. 任務欄與開始菜單

路徑：

設置 → 個性化 → 任務欄 / 開始

常見優化：

關閉小組件
隱藏不必要的系統圖標
禁止自動推薦應用

簡單易行的安全增強措施（微軟官方與社區常用）

1. 禁止匿名共享

Set-SmbServerConfiguration -EnableForcedGuest $false -Force

2. 啟用 UAC 並保持默認級別

GUI：

控制面板 → 用戶賬戶 → 更改用戶賬戶控制設置

3. 限制 PowerShell 執行策略

Set-ExecutionPolicy RemoteSigned -Scope LocalMachine -Force

4. 禁用無需服務（按需）

示例（如禁止 Fax）：

Stop-Service Fax
Set-Service Fax -StartupType Disabled

5. 安全日誌擴大（用於溯源）

wevtutil sl Security /ms:204800000

WinGet 鏡像（可選）

（信任前提下替換 USTC 源）

winget source remove winget
winget source add winget https://mirrors.ustc.edu.cn/winget-source --trust-level trusted

回退：

winget source reset winget

結束語

此流程強調：先基礎安全 → 再遠程訪問 → 再角色服務 → 最後個性化。適用於桌面化運維、IDC 伺服器、虛擬化節點、Dev/Prod 環境。保持此順序可最大限度降低誤操作與暴露風險，並維持系統長期可維護性。