Windows Server 2025: "Hotpatching" — это революция. Обновления без перезагрузки

Мы 20 лет жили по правилу: "Вторник — патчи, среда (3 часа ночи) — перезагрузка". Это правило (почти) мертво.

В Windows Server 2025 (и уже сейчас в Azure Edition) Microsoft выкатила "Hotpatching" (Горячее исправление) для всех.

Как это работает:

Базовый план: Раз в несколько месяцев вы ставите "большой" кумулятивный апдейт (с перезагрузкой).

"Горячие" патчи: В промежутках Microsoft выпускает только патчи безопасности, которые применяются на лету, в оперативной памяти работающих процессов.

Результат: rundll32.exe или lsass.exe "бесшовно" перезапускаются в памяти с новым, исправленным кодом. Сервер не перезагружается. Сервисы не останавливаются.

Взгляд архитектора: Это не "удобство". Это фундаментальное изменение в SLA (Service Level Agreement). Мы больше не выбираем между "быть безопасным" и "быть в аптайме". Мы можем гарантировать 99.99% доступности и быть защищенными. Это меняет подход к проектированию кластеров и окон обслуживания.

#windows #windowsserver #hotpatching #sysadmin #architect #musthave #гайд

Windows: Будущее VPN уже здесь. Разбираем "SMB over QUIC"

Все мы знаем "боль" классических VPN: они медленные, отваливаются, их блокируют файрволы. Доступ к файловым шарам для удаленных пользователей — это вечный компромисс между удобством и безопасностью.

Microsoft решила эту проблему, и это будущее, которое уже здесь: SMB over QUIC.

Что это такое (простым языком): Это "родной" VPN от Microsoft, созданный только для доступа к файловым серверам. Он "заворачивает" стандартный файловый трафик SMB (порт 445) внутрь QUIC (HTTP/3).

Почему это революция для админа:

Безопасность: Весь трафик всегда зашифрован (DTLS 1.3).

Проходит везде: Работает поверх UDP-порта 443. Этот порт открыт в 99.9% сетей (для HTTPS), а значит, доступ будет из любого отеля, кафе или аэропорта.

Стабильность: QUIC "терпим" к смене сетей (Wi-Fi -> LTE -> Wi-Fi), не разрывая сессию.

Взгляд архитектора: Это не просто "фича". Это фундаментальный сдвиг к модели Zero Trust. Вы больше не "пускаете" пользователя во всю внутреннюю сеть (как с VPN). Вы даете ему шифрованный, изолированный доступ только к одному ресурсу — файловому серверу.

#windows #windowsserver #security #networking #smb #quic #architect #гайд

🛡️ Windows (Security): Новое в Server 2025 — Защита LDAP по умолчанию

Боль: В 2025 году 90% AD-доменов до сих пор разрешают LDAP Simple Bind (простая привязка) — то есть, отправку паролей по LDAP (порт 389) в открытом тексте.

Реакция админа: "У меня внутренняя сеть, она доверенная". (Нет).
Реакция архитектора: "Весь трафик аутентификации должен быть зашифрован. Без исключений".

Microsoft меняет правила игры в Windows Server 2025.

Что нового:

1. LDAPS по умолчанию: LDAP-сервер больше не будет принимать Simple Bind (открытый текст), если соединение не зашифровано (через TLS/SSL, порт 636, или через StartTLS).

2. Шифрование Kerberos: Внедряется AES-SHA256/384, что делает Kerberos еще надежнее.

3. TLS 1.3: LDAP теперь поддерживает TLS 1.3 "из коробки".

Взгляд архитектора: Это "Security by Default" (Безопасность по умолчанию). Microsoft принудительно закрывает "дыры", которые админы игнорировали десятилетиями. Ваша задача — не ждать 2025 года. Запускайте LDP.exe, проверяйте свои DC на Simple Bind и внедряйте LDAPS (порт 636) уже вчера.

#windows #security #activedirectory #ldap #windowsserver #architect #гайд

🪟 Windows: Секретный "God Mode" и быстрый доступ к администрированию 🛠️

Иногда нужно быстро найти глубокую настройку в Windows Server или Win11, но новый интерфейс "Параметры" только путает. Есть способ вывести абсолютно все настройки системы (более 200 штук) в одну папку с человеческим поиском.

Как создать "Все задачи":

1. Создай на рабочем столе новую папку.

2. Переименуй её в это: GodMode.{ED7BA470-8E54-465E-825C-99712043E01C}

Открыв эту папку, ты получишь список всех инструментов управления — от настройки iSCSI и ODBC до управления сертификатами и планами электропитания. Всё в одном месте, без бесконечных кликов по меню. 💎

#windows #sysadmin #lifehack #tips #windows11 #windowsserver #management

🔄 Windows: Hotpatching — обновления без перезагрузки сервера

Аптайм Windows серверов исторически измерялся интервалами между вторниками патчей. В 2026 году с выходом Windows Server 2025 концепция полностью изменилась. Теперь мы можем обновлять систему, не прерывая работу служб. Технология называется Hotpatching.

Как это работает:

Hotpatching модифицирует код исполняемых процессов прямо в оперативной памяти. Вам больше не нужно перезапускать процесс, приложение или саму операционную систему после установки критического патча безопасности. Пакеты обновлений стали в разы меньше и устанавливаются практически мгновенно.

Нюансы, о которых нужно знать:

— Только безопасность: Горячие патчи доставляют только критические исправления безопасности. Функциональные апдейты по-прежнему работают по старой схеме.
— Четыре перезагрузки в год: Полностью избавиться от ребутов не выйдет. Базовые обновления, требующие перезагрузки, будут приходить ежеквартально (в январе, апреле, июле и октябре). Остальные 8 месяцев инфраструктура работает без прерываний.
— Архитектурные требования: Для работы функции сервер должен поддерживать Virtualization-Based Security (VBS) и быть подключен к Azure Arc, так как функция распространяется по подписочной модели с тарификацией за ядро.

Выходные сисадмина больше не принадлежат полосам загрузки сервера. Даже несмотря на требования к подписке, энтерпрайз с радостью принимает эти правила игры ради отсутствия даунтаймов в середине рабочего дня.

#windows #windowsserver #hotpatching #update #sysadmin #admin_future

Зачем это нужно:
Обновление защищает от BlackLotus и аналогичных UEFI-буткитов, которые атакуют ранний процесс загрузки. После истечения 2011-сертификатов система не сможет получать mitigation-обновления против новых буткитов, даже если Patch Tuesday приходит вовремя.

Итог: июнь — это через восемь недель. Серверный парк не обновляется сам. Сделай аудит сегодня, запланируй обновления на следующую неделю — и это закроется раньше, чем успеет стать инцидентом.

#windows #secureboot #security #windowsserver #patching #sysadmin #admin_future

🧠 Skills: Windows Server Summit 11-13 мая — зачем туда идти и что смотреть

Коллеги, через неделю стартует Windows Server Summit 2026 — бесплатное виртуальное мероприятие от Microsoft. Три дня, инженеры продукта, никакого маркетинга (обещают).

Повестка строится вокруг трёх направлений: новое в Windows Server 2025 включая hotpatch, улучшения управления и безопасности, гибридные и мультиоблачные сценарии через Azure Arc, практические подходы к патчингу, мониторингу и baseline-конфигурации.

Но важнее другое: Summit 2026 станет первым публичным взглядом на Windows Server v.Next — следующее поколение после 2025. Это возможность узнать направление до того как оно станет официальным.

Что конкретно стоит посмотреть — план на три дня:

День 1 (11 мая): Безопасность и патчинг
  Приоритет: сессия про hotpatch — цикл, ограничения,
  что сломалось в апреле и почему
  Ключевые темы апреля которые хочется закрыть:
  - Kerberos RC4 enforcement roadmap (июль — finalize)
  - Secure Boot certificate rollout статус
  - PhantomRPC — будет ли architectural fix

День 2 (12 мая): Операционная эффективность
  Приоритет: OSConfig и drift detection в enterprise
  Интересно: Azure Arc для on-premises серверов
  — что реально даёт без Azure Arc subscription

День 3 (13 мая): Windows Server v.Next preview
  Это главное. Слушать внимательно.
  Смотреть: какие компоненты пересматриваются,
  что уходит (как SysV из Linux), что появляется.
  Задавать вопросы в live Q&A — продукт-команда
  реально читает и отвечает.

ПРАКТИЧЕСКИЙ СОВЕТ:
  Зарегистрируйся сейчас:
  techcommunity.microsoft.com/event/windowsserver-events/
  windows-server-summit-2026/4501032

  Сессии будут доступны в записи — но live Q&A только онлайн.
  Для технических вопросов про hotpatch и RC4 —
  это редкий шанс получить ответ от людей которые это писали.

Зачем это нужно:
Апрель 2026 был жёстким — KB5082063, LSASS crash, BitLocker, CVE-2026-32202, PhantomRPC без патча. Summit — это место где можно спросить "почему так вышло и что дальше" напрямую у инженеров.

Итог: три дня, бесплатно, онлайн. Смотреть не всё подряд — смотреть сессии где есть live Q&A. Там происходит настоящий разговор.

#windows #windowsserver #summit #карьера #обучение #sysadmin #admin_future

🪟 Windows: Summit в понедельник — что смотреть и зачем идти именно на live Q&A

Коллеги, в понедельник 11 мая стартует Windows Server Summit 2026 — три дня, бесплатно, онлайн. Разбираем что там реально интересно для практикующего администратора.

Summit 2026 настроен под то что клиенты просили последние два года: меньше маркетинга, больше практического engineering-led контента. Три дня, три направления: новое в Windows Server 2025 включая hotpatch, гибридные сценарии через Azure Arc, лучшие практики патчинга и baseline-конфигурации.

Summit также станет ранним engagement-моментом для Windows Server v.Next — вы получите видимость направления Microsoft до того как планы будут официально объявлены. Каждая сессия включает live Q&A для прямого контакта с product team.

Что конкретно смотреть:

ДЕНЬ 1 (11 мая, 10:00-15:00 МСК):
  Приоритет: hotpatch — цикл, что сломалось в апреле,
  почему OOB-фикс прервал hotpatch и что будет в июле

  Обязательно спросить в Q&A:
  "Когда будет патч для PhantomRPC (нет CVE, нет фикса)?"
  "RC4 enforcement в июле — есть ли rollback после финализации?"

ДЕНЬ 2 (12 мая):
  Приоритет: Security baselines и OSConfig
  Интересно: Azure Arc для on-prem без подписки — 
  что реально бесплатно, что платно

ДЕНЬ 3 (13 мая):
  Главное: Windows Server v.Next preview
  Слушать на что делают акцент — это roadmap на 2-3 года
  Смотреть что убирают (как SysV из Linux) — это важнее
  чем новые фичи

КАК ЗАРЕГИСТРИРОВАТЬСЯ:
  techcommunity.microsoft.com → Events → Windows Server Summit 2026
  VIP Experience: доступ к слайдам + шанс на roundtable с product team
  Регистрация VIP — до 10 мая 23:59 PDT

Содержание Summit организовано вокруг реального операционного давления: более короткие окна от уязвимости до патча, стандартизация образов и baseline через смешанные парки серверов, доказательство для compliance-команд что политики применяются.

Зачем идти именно на live — не на запись:
Записи будут доступны потом. Но live Q&A — это единственный момент когда можно задать вопрос инженеру который написал hotpatch и получить ответ не из документации. Это редкая возможность.

Итог: зарегистрируйся сегодня. Три сессии в план на неделю. Одного вопроса в live Q&A иногда достаточно чтобы сэкономить месяц работы.

#windows #windowsserver #summit #sysadmin #admin_future

🪟 Windows: Secure Boot AMA 18 мая — и почему на него надо попасть

Коллеги, суббота — день для подготовки к следующей неделе. В понедельник стартует Windows Server Summit, а 18 мая Microsoft проводит Secure Boot AMA — и это важнее чем звучит.

Напоминание: сертификаты Secure Boot 2011 года начинают истекать в июне 2026. Microsoft проводит AMA 18 мая для ответов на оставшиеся вопросы после апрельского AMA.

Почему 18 мая критично именно для серверных администраторов: на Windows Server сертификаты не обновляются автоматически. Нужны ручные действия. До истечения — меньше шести недель.

Три вещи для подготовки к Summit и AMA:

# 1. Проверяем статус Secure Boot сертификатов СЕЙЧАС
# На каждом сервере:
Get-ItemProperty `
    -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\" `
    -Name "UEFICA2023Status" -ErrorAction SilentlyContinue

# Если ключа нет или значение не "Updated" — сервер уязвим к июню

# 2. Быстрый аудит всего парка серверов:
$servers = Get-ADComputer `
    -Filter {OperatingSystem -like "*Server*"} |
    Select-Object -ExpandProperty Name

$results = foreach ($s in $servers) {
    try {
        Invoke-Command -ComputerName $s -ScriptBlock {
            $status = Get-ItemProperty `
                -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\" `
                -Name "UEFICA2023Status" -ErrorAction SilentlyContinue
            [PSCustomObject]@{
                Server = $env:COMPUTERNAME
                Status = if ($status) {$status.UEFICA2023Status} else {"NOT_STARTED"}
                SecureBoot = Confirm-SecureBootUEFI -ErrorAction SilentlyContinue
            }
        } -ErrorAction Stop
    } catch {
        [PSCustomObject]@{Server=$s; Status="UNREACHABLE"; SecureBoot=$null}
    }
}

$results | Group-Object Status | Format-Table Name, Count
$results | Where-Object {$_.Status -ne "Updated"} |
    Export-Csv "secureboot_action_required.csv" -NoTypeInformation

# 3. Запускаем обновление на серверах со статусом NOT_STARTED:
# (запускать на каждом сервере)
Start-ScheduledTask `
    -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
# После перезагрузки запустить ещё раз — статус станет "Updated"

Что спросить на AMA 18 мая:
Есть ли планы на автоматическое обновление для on-prem серверов в будущем? Что произойдёт с машинами у которых Secure Boot отключён — нужно ли что-то делать? Microsoft продолжает публиковать AMA по Secure Boot для ответов на вопросы по обновлению истекающих сертификатов.

Итог: шесть недель. Экспортируй CSV с серверами у которых NOT_STARTED — это твой план на следующие две недели.

#windows #secureboot #security #windowsserver #sysadmin #admin_future

🪟 Windows: Quick Machine Recovery в Windows Server vNext — ответ Microsoft на CrowdStrike

Коллеги, сегодня второй день Windows Server Summit 2026, и одна из главных обсуждаемых тем — Quick Machine Recovery в Server vNext. Разбираем что это такое и стоит ли ждать.

Предыстория: QMR — прямой ответ на инцидент CrowdStrike в 2024 году, когда ошибочное обновление вызвало массовые BSOD и загрузочные сбои на более чем 8 миллионах Windows-машин по всему миру.

Механика: QMR теперь доступен для тестирования в Windows Server vNext Insider Preview (build 29574). Функция обеспечивает восстановление серверов при критических ошибках загрузки. QMR может автоматически искать облачные исправления для устранения массовых загрузочных сбоев, значительно снижая нагрузку на IT-администраторов когда затронуты несколько устройств одновременно.

Как это работает: устройство не загружается 2+ раза → входит в WinRE → QMR подключается к облаку Microsoft → проверяет известные проблемы → скачивает и применяет исправление → перезагружается. Без физического доступа к серверу, без ручного вмешательства.

# Конфигурация QMR через Intune (CSP)
# Путь: ./Device/Vendor/MSFT/RemoteRemediation/CloudRemediationSettings
# Или через Settings Catalog: Remote Remediation → Enable Cloud Remediation

# На клиентском Windows 11 (уже GA с KB5062660):
# Проверяем статус QMR:
Get-ItemProperty `
    -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinRE" |
    Select-Object *Recovery*

# Тестируем QMR без реального сбоя (test mode):
# reagentc.exe /setrecoverytestmode
# Создаёт RecoverySimulation.ini — устройство войдёт в WinRE при перезагрузке
# ТОЛЬКО В ЛАБОРАТОРИИ, не на продакшне

# Для Server vNext Insider Preview (build 29574):
# Скачать: microsoft.com/en-us/software-download/windowsinsiderpreviewserver
# Expires: 15 сентября 2026

# Проверяем что QMR включён после установки:
Get-WindowsOptionalFeature -Online -FeatureName *Recovery* |
    Where-Object {$_.State -eq "Enabled"}

Важные оговорки для серверной среды: Microsoft установил жёсткую базовую линию на build 29531 — те кто запускает более старые preview-сборки должны сделать чистую установку, так как инкрементальное обновление сломает VM и кластеры. ReFS Boot включён, но удаление или изменение размера раздела WinRE может навсегда заблокировать систему.

Зачем следить уже сейчас:
QMR на клиентах Windows 11 уже работает и доказывает концепцию. Перенос на Server vNext означает что корпоративные серверы смогут самовосстанавливаться при массовых инцидентах уровня CrowdStrike — без ночных вылетов в датацентр.

Итог: preview, expires в сентябре, в production не трогать. Но тестовый стенд поднять стоит — это одна из важных фич следующей версии Windows Server.

#windows #windowsserver #QMR #recovery #sysadmin #admin_future

🪟 Windows: Secure Boot — 10 дней до истечения, финальный чеклист для серверов

Коллеги, конец июня — не абстрактный дедлайн. Две из трёх затронутых сертификатов — Microsoft Corporation KEK CA 2011 и Microsoft UEFI CA 2011 — истекают в июне 2026. Microsoft Windows Production PCA 2011, подписывающий сам Windows Boot Manager, истекает в октябре 2026.

Что произойдёт если не успеть: системы без обновления потеряют возможность устанавливать security updates для Secure Boot после июня 2026, не будут доверять стороннему ПО подписанному новыми сертификатами, и не получат исправлений для Windows Boot Manager после октября 2026.

Критически важное для серверов: в отличие от Windows PC, которые получают сертификаты 2023 года автоматически через Controlled Feature Rollout, Windows Server требует ручного действия — автоматически они не прилетают.

# ФИНАЛЬНЫЙ АУДИТ — выполнить сегодня

# 1. Сколько серверов НЕ готово:
$servers = Get-ADComputer -Filter {OperatingSystem -like "*Server*"} |
    Select-Object -ExpandProperty Name

$report = foreach ($s in $servers) {
    try {
        Invoke-Command -ComputerName $s -ScriptBlock {
            $sb = Get-ItemProperty `
                "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\" `
                -Name "UEFICA2023Status" -ErrorAction SilentlyContinue
            [PSCustomObject]@{
                Server = $env:COMPUTERNAME
                Status = if ($sb) {$sb.UEFICA2023Status} else {"NOT_STARTED"}
                SecureBoot = (Confirm-SecureBootUEFI -ErrorAction SilentlyContinue)
            }
        } -ErrorAction Stop
    } catch {
        [PSCustomObject]@{Server=$s; Status="UNREACHABLE"; SecureBoot=$null}
    }
}

$report | Group-Object Status | Format-Table Name, Count -AutoSize

# Экспортируем список на обработку:
$report | Where-Object {$_.Status -ne "Updated"} |
    Export-Csv "secureboot_critical_$(Get-Date -Format yyyyMMdd).csv" `
    -NoTypeInformation

# 2. Запускаем обновление на серверах NOT_STARTED:
# Выполнить на каждом затронутом сервере:
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
# Перезагрузить, затем запустить ещё раз
# Проверить статус: должен стать "Updated"

# 3. Offline / air-gapped серверы — ручной путь:
# Скачать пакет с aka.ms/GetSecureBoot
# Применить через DISM или wusa.exe

# 4. Проверяем dbx (список отозванных bootloader-ов):
# Актуальный dbx критичен вместе с новыми сертификатами
Get-SecureBootUEFI -Name dbx | Select-Object -ExpandProperty Bytes | Measure-Object
# Пустой или нулевой dbx = риск

Устройства оффлайн, в спящем режиме, на полке — не получат обновления и рискуют оказаться изолированными после июня 2026. Старое железо без OEM firmware-обновлений также в опасности.

Итог: если у тебя есть серверы со статусом NOT_STARTED — это твоя задача на сегодня. Не на следующей неделе. Сегодня. До июня осталось меньше шести недель.

#windows #secureboot #windowsserver #security #sysadmin #admin_future

🪟 Windows: Server vNext build 29585 — что нового и почему ReFS Boot важнее чем звучит

Коллеги, Microsoft выпустила Windows Server vNext Preview Build 29585 — последний перед летним затишьем. Разбираем что важно для тех кто следит за следующим поколением.

ReFS Boot включён по умолчанию для всех vNext preview builds. При этом ReFS Boot системы создают минимальный WinRE раздел в 2GB. Когда WinRE не может быть обновлён из-за нехватки места — система может отключить WinRE. Отключение WinRE не удаляет раздел. Но если WinRE раздел удалить и расширить boot volume поверх него — это действие необратимо без чистой установки.

Это важно понимать заранее: ReFS Boot — это фундамент для Quick Machine Recovery (QMR). Без WinRE раздела QMR не работает. Удалить раздел в попытке освободить место = потерять возможность самовосстановления сервера.

Что ещё в 29585:

Quick Machine Recovery теперь доступен для тестирования в vNext Insider Previews. Функция обеспечивает восстановление серверов при критических ошибках загрузки — QMR может автоматически искать облачные исправления для устранения массовых загрузочных сбоев, значительно снижая нагрузку на IT-администраторов когда одновременно затронуты несколько устройств.

# Для тех кто тестирует vNext в лабе:
# Проверяем текущий build:
winver
# или
Get-ComputerInfo | Select-Object WindowsBuildLabEx

# Проверяем статус ReFS Boot:
Get-Partition | Where-Object {$_.Type -eq "Recovery"} |
    Select-Object DiskNumber, PartitionNumber, Size, Type

# Проверяем размер WinRE раздела (должен быть >= 2GB для ReFS Boot):
reagentc.exe /info
# Ищем: Windows RE location и размер

# КРИТИЧНО: НЕ УДАЛЯТЬ WinRE раздел на vNext builds
# Проверяем что он не будет затронут при расширении диска:
Get-Partition -DiskNumber 0 | Format-Table -AutoSize

# Тестируем QMR в lab (не на продакшне):
# reagentc.exe /setrecoverytestmode
# Перезагружаемся — система войдёт в WinRE и попытается найти remediation

# Для перехода с preview < 29531:
# Апгрейд НЕ поддерживается — только чистая установка
# Дедлайн использования preview: 15 сентября 2026

Зачем следить за vNext прямо сейчас: preview builds доступны до 15 сентября 2026. Если планируешь переход на следующую версию Windows Server — сейчас идеальный момент поднять тестовый стенд, изучить ReFS Boot поведение и QMR до того как это появится в GA.

Итог: ReFS Boot + QMR = будущее Windows Server recovery. Но WinRE раздел священен — не трогать, не уменьшать, не удалять. Запомни это до GA.

#windows #windowsserver #vnext #refs #qmr #sysadmin #admin_future

🪟 Windows: SMB over QUIC — убиваем VPN для файловых шар

Коллеги, вчера мы ждали новых сюрпризов от Nightmare Eclipse (обещанный дроп 14 июня), но пока эфир относительно чист. Зато есть повод поговорить о хорошем. Больше никаких пробросов порта 445 и обязательных корпоративных VPN для доступа к рабочим файлам из дома.

В Windows Server 2025 технология SMB over QUIC окончательно стала мейнстримом. QUIC работает поверх протокола UDP (порт 443). Трафик всегда зашифрован TLS 1.3, провайдеры его не режут, а скорость при плохом мобильном интернете в разы выше классического TCP.

Как настроить в PowerShell:

# Проверяем поддержку на сервере:
Get-SmbServerConfiguration | Select-Object EnableSMBQUIC

# Включаем SMB over QUIC (потребуется привязать сертификат):
Set-SmbServerConfiguration -EnableSMBQUIC $true

# На клиенте (Windows 11) принудительно мапим сетевой диск через QUIC:
New-SmbMapping -LocalPath 'Z:' -RemotePath '\\fs.makshel.local\Share' -TransportType QUIC

Зачем это нужно:
Пользователи получают доступ к корпоративным шарам так же просто, как к облачному диску. А безопасники спят спокойно, потому что наружу торчит только стандартный 443 UDP порт, а не дырявый 445 TCP, который обожают шифровальщики.

#windows #windowsserver #quic #networking #sysadmin #admin_future

🪟 Windows: Secure Boot — финальная неделя. 24 июня дедлайн, но Microsoft смягчила формулировки.

Коллеги, это последний понедельник перед дедлайном Secure Boot. Через 9 дней — 24 июня — истекает первый из сертификатов 2011 года. Но с хорошей новостью: Microsoft на втором AMA уточнила что это не «hard stop».

Microsoft уточнила: устройства продолжат функционировать даже если не завершили обновления до истечения сертификата Key Exchange Key (KEK) 24 июня 2026. Также Microsoft указала что сертификат Secure Boot DB остаётся валидным до октября 2026 — это даёт дополнительное время на подписание и распространение обновлённых boot manager-ов.

Что реально изменилось после июньского Patch Tuesday: июньский Patch Tuesday должен перевести большинство mainstream-устройств в категорию «high-confidence». Устройства классифицированные как high confidence могут получать Secure Boot обновления автоматически через Intune. Для устройств вне high-confidence категории администраторам может потребоваться вручную включить развёртывание через registry settings или политики Intune.

Ключевой совет от Microsoft: не откладывайте развёртывание в ожидании пока каждое устройство достигнет статуса high-confidence.

# ФИНАЛЬНЫЙ ЧЕКЛИСТ — последняя неделя

# 1. Проверяем confidence-статус через Intune:
# Intune -> Devices -> Monitor -> Secure Boot certificate report
# high confidence = автоматом, остальное = вручную

# 2. Проверяем статус на серверах:
$servers = Get-ADComputer -Filter {OperatingSystem -like "*Server*"} |
    Select-Object -ExpandProperty Name
$results = foreach ($s in $servers) {
    try {
        Invoke-Command -ComputerName $s -ScriptBlock {
            $sb = Get-ItemProperty `
                "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\" `
                -Name "UEFICA2023Status" -EA SilentlyContinue
            [PSCustomObject]@{
                Server=$env:COMPUTERNAME
                Status=if($sb){$sb.UEFICA2023Status}else{"NOT_STARTED"}
            }
        } -EA Stop
    } catch { [PSCustomObject]@{Server=$s; Status="UNREACHABLE"} }
}
$results | Group-Object Status | Format-Table Name, Count

# 3. Для NOT_STARTED — принудительно включаем (registry):
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot" `
    /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
# Процесс занимает ~48 часов и одну-две перезагрузки

# 4. Проверяем что boot manager обновился (DB-сертификат до октября):
Confirm-SecureBootUEFI
Get-SecureBootUEFI -Name db | Select-Object -ExpandProperty Bytes |
    Measure-Object

Зачем не расслабляться несмотря на смягчение: десктопная версия этой истории раздражающая. Серверная — операционно серьёзная. Окружения Windows Server 2016, 2019, 2022 и 2025 могут быть затронуты, и путь к исправлению сложнее чем «нажми обновить и перезагрузись».

Итог: 24 июня — не катастрофа, а начало деградации защиты. DB-сертификат живёт до октября, это буфер. Но запусти обновление на NOT_STARTED серверах на этой неделе — процесс занимает двое суток.

#windows #secureboot #windowsserver #security #sysadmin #admin_future

🪟 Windows: KEK CA 2011 истёк вчера. Что реально изменилось и что делать сегодня.

Коллеги, вчера 24 июня — дата которую мы отслеживали несколько месяцев. Microsoft Corporation KEK CA 2011 официально истёк 24 июня 2026. Следующий — Microsoft Corporation UEFI CA 2011 — истекает 27 июня, то есть послезавтра. Microsoft Windows Production PCA 2011 — в октябре 2026.

Главный вопрос — что реально произошло с теми кто не успел:

Устройства без новых сертификатов продолжат загружаться и работать нормально. Стандартные обновления Windows продолжат устанавливаться. Единственное что изменилось: эти устройства больше не смогут получать новые меры защиты раннего процесса загрузки — обновления Windows Boot Manager, базы данных Secure Boot, списки отзыва, и mitigation-ы для вновь обнаруженных boot-level уязвимостей.

Это не катастрофа сегодня. Это деградация защиты со временем. Новые сертификаты действительны до 2038 года. Отдельный переход на постквантовую криптографию запланирован примерно на 2030 год для будущего железа.

Что делать прямо сейчас:

# 1. ПРОВЕРЯЕМ СТАТУС — что по факту с сертификатами:
# Через новый UI (появился с апрельским обновлением):
# Settings -> Privacy & Security -> Windows Security -> Device Security
# Ищем статус Secure Boot — зелёная галочка = порядок

# Через PowerShell — проверяем наличие 2023-сертификатов:
Get-ItemProperty `
    "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\" `
    -Name "UEFICA2023Status" -EA SilentlyContinue

# NOT_STARTED/отсутствует = сертификаты не обновлены
# Updated = сертификаты 2023 года установлены

# 2. ДЛЯ НЕ ОБНОВЛЁННЫХ СЕРВЕРОВ — запускаем обновление:
# Через scheduled task:
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
# Процесс занимает ~48 часов и 1-2 перезагрузки

# Через реестр (если task не запускается):
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot" `
    /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

# 3. ПРОВЕРЯЕМ ИЮНЬСКИЙ ПАТЧ — он привёз новую GPO и доп.фиксы:
Get-HotFix -Id KB5094125   # Windows Server 2025
Get-HotFix -Id KB5094128   # Windows Server 2022

# 4. НОВАЯ GPO из июньского обновления:
# Computer Config -> Admin Templates -> Windows Components -> Secure Boot
# -> LimitSecureBootRequiredServiceData
# Ограничивает телеметрию Secure Boot в Microsoft

# 5. МАССОВЫЙ АУДИТ — быстрый срез статуса по флоту:
$servers = (Get-ADComputer -Filter {OperatingSystem -like "*Server*"}).Name
$report = Invoke-Command -ComputerName $servers -ScriptBlock {
    $sb = Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\" `
        -Name "UEFICA2023Status" -EA SilentlyContinue
    [PSCustomObject]@{
        Server = $env:COMPUTERNAME
        Status = if($sb){$sb.UEFICA2023Status}else{"NOT_STARTED"}
    }
} -EA SilentlyContinue
$report | Group-Object Status | Format-Table Name, Count

Зачем всё ещё важно действовать: устройства пропустившие переход потеряют способность получать boot-level security апдейты. Не произойдёт ничего мгновенного. Но со временем это означает отсутствие новых DBX-блокировок (защита от буткитов), невозможность установки новых Windows feature updates, и растущую экспозицию к boot-level атакам.

Итог: вчерашняя дата — не конец света, но точка невозврата для boot security. Проверь статус сегодня. Обновление запускается за минуту, процесс — 48 часов. До следующего KEK в 2038 — не хочется повторять этот квест.

#windows #secureboot #windowsserver #security #sysadmin #admin_future

📅 Суббота — инвентаризация: SQL Server 2016 уже без поддержки, Windows Server 2016 — через 108 дней.

Коллеги, выходные — лучшее время посчитать то, что в будни всегда откладывается.

ФАКТЫ:
SQL Server 2016 — расширенная поддержка закончилась 14 июля 2026
Windows Server 2016 — закончится 12 января 2027
ESU для WS2016 Microsoft предлагает через Azure Arc

ИНТЕРПРЕТАЦИЯ ДЛЯ НАС:
Microsoft прекратил продажи в РФ в 2022 году, поэтому для большинства российских организаций ESU недоступен. На практике после 12 января у 2016-х серверов остаются два пути: миграция или изоляция и компенсирующие меры. Вспомните два сентябрьских zero-day EoP в Windows: после EOL такие уязвимости останутся открытыми навсегда.

ШАГ 1 — СЧИТАЕМ WINDOWS:

Get-ADComputer -Filter 'OperatingSystem -like "*Server 2016*" -and Enabled -eq $true' `
-Properties OperatingSystem, LastLogonDate, IPv4Address |
Sort LastLogonDate -Descending |
Select Name, IPv4Address, LastLogonDate |
Export-Csv .\ws2016.csv -NoTypeInformation -Encoding UTF8

ШАГ 2 — СЧИТАЕМ SQL (major 13 = 2016):

sql
SELECT @@SERVERNAME AS server,
SERVERPROPERTY('ProductVersion') AS version,
SERVERPROPERTY('ProductLevel') AS level,
SERVERPROPERTY('Edition') AS edition,
CASE WHEN CAST(PARSENAME(CAST(SERVERPROPERTY('ProductVersion') AS nvarchar(32)),4) AS int) <= 13
THEN 'EOL' ELSE 'OK' END AS status;

ШАГ 3 — ДЛЯ КАЖДОЙ МАШИНЫ ОДНО РЕШЕНИЕ:
□ Мигрировать — на что, кто отвечает, в какой срок
□ Вывести из эксплуатации — роль уже никому не нужна
□ Изолировать — если зависимость не снять (легаси-1С, железо, лицензии): отдельный VLAN, доступ по белому списку, никакого RDP из общей сети, усиленный мониторинг
Строка без ответственного и даты — это не план, а список.

Итог: 108 дней — это примерно три цикла Patch Tuesday. Выгрузку и таблицу «сервер → решение → ответственный → срок» лучше сделать в эти выходные.

#skills #eol #windowsserver #sqlserver #inventory #sysadmin #admin_future

📅 Планирование: Microsoft объявил о deprecation WDS. PXE-деплой на Windows нужно пересобирать.

Коллеги, понедельник — хороший день для новости, которая не горит, но влияет на планы на год.

ФАКТЫ (Microsoft Support, сентябрь 2026):
Начиная со следующего релиза Windows Server объявляется deprecated вся роль WDS:
• Deployment Server и Transport Server
• PXE-загрузка, предоставляемая WDS
• консоль, CLI (wdsutil) и API
• multicast-развёртывание
• WinPE-WDS-Tools
В Windows Server 2025 и более ранних версиях WDS продолжает работать в рамках их жизненного цикла.
Сроки удаления пока не объявлены.

Предыстория:
2021 — boot.wim-сценарии в режиме WDS объявлены deprecated для Windows 11+
Апрель 2026 — hands-free deployment отключён по умолчанию

АЛЬТЕРНАТИВЫ ПО MICROSOFT:
• Configuration Manager с собственным PXE responder
• сторонние PXE-решения
• HTTP(S) Boot, если прошивка устройств его поддерживает

ИНТЕРПРЕТАЦИЯ (моя):
Deprecated ≠ удалено. Паники нет: WDS на Server 2025 будет жить весь его lifecycle. Но это третий шаг за пять лет в одном направлении. Новые проекты на WDS строить уже не стоит.
ConfigMgr для небольшой инфраструктуры избыточен. Для малых площадок реальнее iPXE + HTTP-сервер с WinPE или UEFI HTTP Boot, где его поддерживает железо.

ИНВЕНТАРИЗАЦИЯ:

powershell
# Где установлена роль WDS
Get-ADComputer -Filter 'OperatingSystem -like "*Server*"' |
ForEach-Object {
try {
$f = Get-WindowsFeature WDS -ComputerName $_.Name -ErrorAction Stop
if ($f.Installed) { $_.Name }
} catch {}
}

# PXE через DHCP-опции (66/67) на Windows DHCP
Get-DhcpServerv4Scope | ForEach-Object {
Get-DhcpServerv4OptionValue -ScopeId $_.ScopeId -OptionId 66,67 -ErrorAction SilentlyContinue |
Select @{n='Scope';e={$_.ScopeId}}, OptionId, Value
}

ПЛАН:
□ Список серверов WDS и их задач: деплой ОС, multicast, загрузка тонких клиентов
□ Проверить, поддерживает ли парк UEFI HTTP Boot
□ Выбрать целевую схему до следующего обновления серверов развёртывания
□ Не переносить WDS на новые серверы «как есть» — сразу строить замену

Итог: срок не горит, но решение нужно принять до того, как вы начнёте обновлять серверы развёртывания. Иначе переделывать придётся дважды.

#planning #wds #pxe #windowsserver #deployment #sysadmin #admin_future

🗓 Windows Server 2022: 13 октября заканчивается основная поддержка. Что это значит на практике

Коллеги, вторник. Ровно через неделю — октябрьский Patch Tuesday и официальная смена жизненного цикла у самой массовой серверной ОС в текущих корпоративных контурах.

📌 ФАКТЫ
13 октября 2026 года — официальное завершение фазы Mainstream Support для всех редакций Windows Server 2022.

14 октября 2031 года — окончание расширенной поддержки (Extended Support).

Что прекращается: закрывается выпуск несекьюрных хотфиксов (non-security bugfixes), перестают приниматься запросы на изменение функционала (DCR) и аннулируются бесплатные инциденты технической поддержки.

Что остаётся: регулярные ежемесячные кумулятивные обновления безопасности (LCU) будут выходить в штатном режиме ещё 5 лет.

⚠️ ГДЕ НА САМОМ ДЕЛЕ ЗАРЫТ РИСК
Повода для паники нет — серверы не превратятся в тыкву. Однако этот рубеж традиционно запускает процесс бюджетирования и планирования миграций на Windows Server 2025. И вот здесь заложена классическая граната:

В Windows Server 2025 подписание SMB-трафика (SMB Signing) включено и обязательно по умолчанию для всех исходящих и входящих клиентских подключений.

Если просто накатить новую ОС или смигрировать файловый сервер без ревизии, мгновенно отвалятся:

Старые сетевые МФУ (сканирование по SMB в сетевую папку);

Древние офисные NAS и прошивки встроенных систем;

Недоконфигурированные Linux-хосты со старыми демонами Samba, где подпись отключена ради производительности.

🛠 ДИАГНОСТИКА ИНФРАСТРУКТУРЫ ДО СТАРТА МИГРАЦИИ
Выполняем на контроллере домена или серверах через PowerShell:

PowerShell

# 1. Инвентаризация: считаем точное количество инстансов Server 2022 в домене
Get-ADComputer -Filter 'OperatingSystem -like "*Server 2022*"' |
  Measure-Object | Select-Object Count

# 2. Проверяем текущую политику требования подписи SMB на сервере и клиенте
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature

# 3. Аудит с хоста: смотрим, какие текущие сессии висят БЕЗ цифровой подписи (Signed = False)
Get-SmbConnection | Select-Object ServerName, ShareName, Dialect, Signed

💡 В ЧЁМ СУТЬ

Windows Server 2022 без проблем и спешки доживёт до 2031 года в статусе надёжной «рабочей лошадки».

Но если вы уже тестируете или закупаете лицензии под Server 2025, главная задача прямо сейчас — не перенос ролей, а инвентаризация сетевых шар и легаси-оборудования без SMB signing. Иначе в первый же день после миграции техподдержка утонет в тикетах «бухгалтерия не может отсканировать документы».

#windowsserver #lifecycle #smb #activedirectory #migration #powershell #sysadmin #admin_future

📅 Завтра, 13 октября, три события в один день: Patch Tuesday, конец основной поддержки Server 2022 и блокировка NTLMv1 для SSO

Коллеги, понедельник. Неделя, которую критически важно спланировать заранее, чтобы не тушить пожары на выходных.

📌 ЧТО ПРОИСХОДИТ
Октябрьский Patch Tuesday: плановый пакет обновлений безопасности Microsoft. Помним, что в сентябре был рекордный объем исправлений (около 970 CVE) и неприятные сайд-эффекты для инфраструктуры.

Windows Server 2022 — завершение Mainstream Support: прекращается выпуск несекьюрных хотфиксов и прием бесплатных обращений по общим багам. Фаза Extended Support (ежемесячные обновления безопасности) продолжится до октября 2031 года.

Блокировка NTLMv1 для SSO: плановое переключение ключа BlockNtlmv1SSO в дефолтный режим Enforce (1) на Windows 11 24H2 и Windows Server 2025. Под прямым ударом — бесшовный вход по Wi-Fi (802.1X) и VPN через MS-CHAPv2 (если на машинах не задействован Credential Guard).

🛠 СЕГОДНЯ, ДО ПРИХОДА ОБНОВЛЕНИЙ
Обязательно снимаем свежие бэкапы/снапшоты контроллеров домена и критических хостов до установки апдейтов:

PowerShell

# 1. Смотрим последние установленные обновления в системе
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

# 2. Ищем, кто в сети все еще генерирует NTLMv1 SSO (события аудита Event ID 4024)
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' `
  -FilterXPath '*[System[EventID=4024]]' -MaxEvents 20 -ErrorAction SilentlyContinue

🛡 ОПЕРАЦИОННЫЙ ПЛАН НА НЕДЕЛЮ
Вторник: не бросаемся ставить всё подряд — сначала прицельно вычитываем список zero-day и свежие записи в каталоге CISA KEV.

Среда: раскатываем апдейты на тестовую группу серверов. Хосты Remote Desktop Services (RDS) тестируем отдельно и с пристрастием (учитывая сентябрьские зависания сессий).

Четверг – пятница: плановый накат на основной прод-парк. Держим открытым Microsoft Update Catalog — в сентябре критические фиксы для RDS были доступны исключительно там, минуя WSUS/WU.

Контроль всю неделю: внимательно следим за тикетами о проблемах с офисным Wi-Fi и подключением к VPN — с высокой вероятностью это будет блокировка NTLMv1 SSO, а не проблемы с физической сетью или точками доступа.

#patchtuesday #windows #ntlm #windowsserver #sysadmin #security #admin_future

📧 Октябрьские обновления Windows Server ломают Exchange: OWA не пускает, письма висят в «Исходящих». Лечится одним ключом реестра

Коллеги, вторник. Если у вас Exchange on-prem и после недавних обновлений начались плавающие сбои — вот прямая причина.

📌 ФАКТЫ
Затронуты Windows Server 2019 и новее с октябрьским обновлением безопасности, любая версия Exchange на них

Симптомы: не входит OWA, письма висят в «Исходящих», сбои доступа к почтовым ящикам при их перемещении. В журналах — MapiExceptionMdbOffline (ec=1142) и Event ID 1006

Причина: обновление ужесточило RPC-стек и ввело лимит на число одновременных вызовов Endpoint Mapper — по умолчанию всего 512. Нагруженному Exchange этого пула не хватает

Проявляется не везде: напрямую зависит от нагрузки и количества одновременных MAPI/RPC-соединений

Microsoft не советует удалять накопительное обновление, полноценный хотфикс готовится

🛠 ПРОВЕРКА И ОБХОДНОЕ РЕШЕНИЕ
PowerShell

# Проверка наличия ошибок в журнале Application
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1006} -MaxEvents 20 |
  Select TimeCreated, ProviderName, Message

DOS

:: Временное решение от Microsoft (cmd от имени администратора), затем обязательная перезагрузка
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f

Если симптомы сохраняются при пиковом трафике, Microsoft рекомендует увеличить параметр до ещё более высокого значения.

⚠️ ЗАОДНО
У Exchange Server 2016 и 2019 подошли к концу сроки расширенной поддержки. Дальнейший официальный путь миграции on-prem — переход на Exchange Server Subscription Edition (SE).

💡 В ЧЁМ СУТЬ

Это не баг самого почтового сервера, а сайд-эффект ужесточения безопасности в ядре RPC Windows Server.

Почтовые серверы всегда стоит выносить в отдельную, изолированную волну патчинга, а после наката обновлений — контролировать очереди отправки (

Get-Queue

), статус баз и Application-лог, а не ориентироваться только на статус «Службы запущены».

#exchange #windowsserver #patchtuesday #mail #sysadmin #admin_future