Windows Server 2022 Standard (Стандартная)

Windows Server 2022 Standard — первая серверная ОС Microsoft с TLS 1.3 по умолчанию, защитой Secured-core server и протоколом SMB over QUIC для безопасного доступа к файлам без VPN. Контейнеры Windows стали примерно на 40% легче по сравнению с Server 2019. DNS over HTTPS предотвращает перехват DNS-запросов на уровне протокола. Per-core лицензирование: минимум 16 ядер на сервер, 2 виртуальные машины Hyper-V включены. Azure Arc интегрирует локальный сервер с облачным управлением без миграции. Storage Migration Service переносит данные с Server 2003+ на 2022 без простоя. Ключ поступает на email после оплаты, лицензия бессрочная.

Сценарии: где Standard 2022 решает задачу

50 сотрудников работают из дома и подключаются к корпоративным файловым ресурсам. В Server 2019 им нужен VPN — настройка клиента, проблемы с NAT, двойное шифрование трафика. В Server 2022 SMB over QUIC передает данные по UDP/443, минуя корпоративный VPN. Пользователь открывает сетевую папку через стандартный проводник Windows 11 — соединение шифруется TLS 1.3 автоматически. Файл размером 500 МБ скачивается за 40 секунд на канале 100 Мбит. Администратор устанавливает TLS-сертификат на сервер, прописывает правило в фаерволле для UDP/443. Никаких VPN-клиентов на машинах сотрудников, никаких токенов, никаких сторонних решений.

Hyper-V хост: контроллер домена и сервер 1С/ERP. Малый бизнес на 40 пользователей. На одном физическом сервере с 64 ГБ RAM и двумя Xeon E-2300 работают 2 виртуальные машины. Первая ВМ — контроллер домена Active Directory (8 ГБ RAM, 4 vCPU). Вторая ВМ — сервер 1С:Предприятие с PostgreSQL (48 ГБ RAM, 12 vCPU). Лицензия Standard покрывает обе ВМ. Secured-core server защищает гипервизор от firmware-атак на уровне загрузки. Если нужны 3 и более ВМ — требуется дополнительная лицензия Standard на тот же сервер или переход на Datacenter.

Терминальный сервер RDS для 30+ пользователей. Бухгалтерия и экономический отдел подключаются через Remote Desktop к серверу с 1С, Excel и внутренней CRM. Каждая сессия потребляет порядка 1.5-2 ГБ RAM. Сервер с 128 ГБ RAM обслуживает около 40 одновременных подключений. TLS 1.3 шифрует RDP-сессии по умолчанию — никакой дополнительной настройки. Для терминального доступа требуются RDS User CAL в дополнение к стандартным CAL. Server 2022 поддерживает улучшенный UDP-транспорт для RDP — плавность интерфейса выше примерно на 30% по сравнению с Server 2019 на нестабильных каналах.

Как защитить DNS-трафик в региональном офисе на 25 сотрудников? Офис подключен к центральной сети через MPLS. Локальный DC обслуживает аутентификацию при обрыве канала. DNS over HTTPS (DoH) на Server 2022 шифрует DNS-запросы между клиентами и сервером. Провайдер не видит, какие домены запрашивают сотрудники. Перехват невозможен. DNS hijacking на уровне маршрутизатора становится бессмысленным — запросы идут внутри HTTPS-туннеля. Настройка DoH выполняется через групповую политику. Server 2022 также поддерживает DNS over TLS (DoT) на порту 853.

Web-сервер IIS для корпоративного портала. Внутренний портал на ASP.NET 6 для 500 сотрудников: электронный документооборот, заявки, согласования. IIS 10.0 на Server 2022 работает с HTTP/2 и TLS 1.3 из коробки. HTTP/2 мультиплексирует запросы в одном соединении — загрузка страницы с 50 элементами происходит обычно за 0.8 секунды вместо 2.5 на HTTP/1.1. Server 2022 поддерживает .NET 6/7/8 через хостинговую модель in-process для IIS — производительность как правило на 20% выше по сравнению с out-of-process.

300 рабочих станций нуждаются в централизованных обновлениях. WSUS на Server 2022 обслуживает их все. Обновления скачиваются из Microsoft Update один раз и раздаются внутри сети. Экономия интернет-канала: 2 ГБ обновлений вместо 600 ГБ (300 ПК по 2 ГБ каждый). Secured-core server защищает сам WSUS от компрометации. HVCI (Hypervisor-protected Code Integrity) блокирует запуск неподписанного кода в ядре. VBS (Virtualization-based Security) изолирует критичные процессы в защищенном контейнере гипервизора.

Проверенные конфигурации оборудования

Server 2022 Standard тестировался на следующих серверных платформах:

SMB over QUIC: файловый доступ без VPN

Среди нововведений Server 2022 SMB over QUIC выделяется особенно. Протокол инкапсулирует SMB-трафик в QUIC (RFC 9000), который работает поверх UDP на порту 443. Традиционный SMB использует TCP/445 — этот порт заблокирован большинством провайдеров и корпоративных фаерволлов. UDP/443 открыт везде, где работает HTTPS.

Как это работает технически. Клиент Windows 11 инициирует QUIC-соединение с сервером на UDP/443. Происходит TLS 1.3 handshake — обмен сертификатами и установка зашифрованного канала за 1 RTT (один round-trip). Внутри QUIC-туннеля работает стандартный SMB 3.1.1. Приложения не замечают разницы: сетевые диски, UNC-пути, групповые политики — все функционирует идентично классическому SMB.

Требования к развертыванию. На сервере нужен TLS-сертификат — подходит сертификат от внутреннего CA (Active Directory Certificate Services) или публичный сертификат. Настройка SMB over QUIC выполняется через Windows Admin Center или Server Manager. На фаерволле открывается входящий UDP/443. На клиенте Windows 11 22H2+ подключение к серверу происходит автоматически через QUIC, если TCP/445 недоступен.

Преимущества перед VPN. Нулевая настройка на стороне клиента — не нужен VPN-клиент, токен или сертификат на каждой машине. QUIC устойчив к потере пакетов: при 5% потерь SMB over QUIC теряет около 10% скорости, классический SMB over TCP — 50%. На мобильном интернете (LTE/5G) разница между QUIC и TCP становится особенно заметной. Переключение между Wi-Fi и LTE происходит без разрыва соединения — QUIC использует Connection ID вместо привязки к IP-адресу.

Ограничения. SMB over QUIC доступен только на Server 2022 Standard и Datacenter. Клиент должен работать на Windows 11. Windows 10 не поддерживает QUIC на стороне клиента. macOS и Linux пока не поддерживают SMB over QUIC.

Secured-core server: защита от firmware-атак

Многоуровневая защита. Secured-core server объединяет аппаратное и программное обеспечение в единый барьер. Цель — предотвратить атаки на прошивку сервера (firmware attacks), которые не обнаруживаются стандартным антивирусом и переживают переустановку ОС.

HVCI (Hypervisor-protected Code Integrity) использует гипервизор Hyper-V для проверки каждого драйвера и модуля ядра перед загрузкой. Неподписанный или модифицированный код не получает доступ к ядру. Включение и проверка статуса HVCI выполняется через Windows Security Center или через групповую политику Device Guard.

VBS (Virtualization-based Security) создает изолированную область памяти, недоступную даже ядру ОС. В этой области хранятся учетные данные (Credential Guard), ключи шифрования и критичные процессы. Даже если атакующий получит права SYSTEM, он не доберется до данных в VBS-контейнере. Это аппаратная изоляция на уровне гипервизора, а не программная песочница.

Hardware Root of Trust — цепочка доверия начинается с аппаратного компонента (TPM 2.0 или Pluton). Во время каждой загрузки сервер проверяет: прошивка UEFI не модифицирована, загрузчик подписан Microsoft, ядро целостно. Если любой компонент изменен — загрузка блокируется. Это защищает от буткитов и руткитов, которые внедряются до загрузки ОС.

Требования к оборудованию: процессор с поддержкой VBS (Intel VT-x с EPT или AMD-V с RVI), TPM 2.0, UEFI Secure Boot, DMA-защита (Intel VT-d или AMD-Vi). Серверы Dell PowerEdge, HPE ProLiant и Lenovo ThinkSystem с маркировкой «Secured-core» поддерживают все компоненты из коробки.

DNS over HTTPS и TLS 1.3: сетевая безопасность

DNS over HTTPS (DoH) шифрует DNS-запросы внутри HTTPS-соединения на порту 443. Стандартный DNS работает по UDP/53 в открытом виде — любой на пути трафика видит, какие домены запрашивает сервер. DoH устраняет эту уязвимость.

Server 2022 поддерживает DoH на стороне DNS-сервера (incoming) и на стороне клиента (outgoing). Для входящего DoH DNS-сервер принимает зашифрованные запросы от клиентов. Для исходящего DoH сервер отправляет рекурсивные запросы к вышестоящим DNS через HTTPS. Настройка обоих режимов выполняется через Windows Admin Center или через DNS Manager.

DNS over TLS (DoT) — альтернативный вариант шифрования на выделенном порту 853. DoT проще для корпоративных фаерволлов: можно разрешить порт 853 для DNS и заблокировать нешифрованный UDP/53. DoH сложнее фильтровать, потому что он использует тот же порт 443, что и обычный HTTPS.

TLS 1.3 включен по умолчанию в Server 2022. Handshake за 1 RTT вместо 2 RTT в TLS 1.2 — установка соединения быстрее примерно на 50%. Удалены устаревшие шифры (RC4, DES, 3DES, MD5). Поддерживаются только AEAD-шифры: AES-128-GCM, AES-256-GCM, ChaCha20-Poly1305. Forward Secrecy обязателен. Даже компрометация серверного ключа не раскроет прошлые сессии.

Практическое влияние: IIS на Server 2022 с TLS 1.3 обслуживает HTTPS-запросы на 15-20% быстрее при первом подключении. RDP-сессии шифруются TLS 1.3 без дополнительной настройки. SMB 3.1.1 использует AES-256-GCM для шифрования данных в транзите.

Сравнение редакций Windows Server 2022

Per-core лицензирование: минимум 16 ядер на сервер, минимум 8 ядер на сокет. Для двухсокетного сервера с 12 ядрами на процессор нужна лицензия на 24 ядра (12+12). Для односокетного с 4 ядрами — все равно 16 (минимум). Hyper-Threading не считается — учитываются только физические ядра.

Для малого бизнеса до 25 пользователей без виртуализации — Essentials без затрат на CAL. Для плотной виртуализации свыше 4 ВМ или Software-Defined инфраструктуры — Datacenter. Для новых проектов с прицелом на будущее рассмотрите Server 2025 Standard с Hotpatch и Wi-Fi WPA3.

Системные требования

Server Core (без GUI) требует примерно на 30% меньше RAM, устанавливает на 40% меньше обновлений ежемесячно и перезагружается реже. Управление через Windows Admin Center (веб-интерфейс на порту 443) или RSAT с рабочей станции. Для Hyper-V хоста, файлового сервера, DNS/DHCP и WSUS лучше выбрать Server Core. Терминальный сервер RDS с полным рабочим столом требует Desktop Experience.

Для Secured-core server требуется оборудование с поддержкой VBS, TPM 2.0, Secure Boot и DMA Protection. Проверяйте совместимость на сайте производителя сервера: Dell PowerEdge R650/R750, HPE ProLiant DL360/DL380 Gen10 Plus, Lenovo ThinkSystem SR650 V2 сертифицированы для Secured-core.

Активация ключа Windows Server 2022 Standard

Через Server Manager. Откройте Server Manager — Local Server. Нажмите на ссылку «Not activated» рядом с Product ID. Введите 25-значный ключ в формате XXXXX-XXXXX-XXXXX-XXXXX-XXXXX. Нажмите Activate. Сервер связывается с серверами Microsoft и подтверждает лицензию за 10-30 секунд.

Телефонная активация. Для серверов в изолированных сетях без интернета. Откройте раздел активации в Параметрах системы, выберите активацию по телефону, укажите страну — Россия. Продиктуйте Installation ID оператору, получите и введите Confirmation ID.

Обновление редакции. Конвертация Evaluation-версии в полную лицензию выполняется через раздел активации в Server Manager — ввод ключа Standard без переустановки ОС. Обязательна перезагрузка.

Скачивание и установка

Официальный ISO доступен в Microsoft Evaluation Center. Evaluation-версия работает 180 дней с полным функционалом. После ввода лицензионного ключа Evaluation конвертируется в полную версию без переустановки.

Размер ISO: около 5.1 ГБ для Desktop Experience, 4.2 ГБ для Server Core. Установка на NVMe SSD занимает обычно 8-12 минут. На SATA HDD — 25-35 минут. Для установки по сети используйте Windows Deployment Services (WDS) или MDT.

Обновление с Server 2019. In-place upgrade поддерживается: Server 2019 Standard обновляется до Server 2022 Standard без переустановки. Запустите setup.exe с ISO Server 2022, выберите «Upgrade» и сохранение настроек. Процесс занимает 30-60 минут. Перед обновлением создайте полную резервную копию. Прямое обновление с 2016 до 2022 не поддерживается — требуется промежуточный шаг через 2019.

Доставка ключа

После оплаты ключ активации поступает на email в течение 60 секунд. Ключ также доступен в личном кабинете в разделе «Мои заказы». Формат ключа: 25 символов, 5 групп по 5 символов через дефис. Ключ бессрочный — лицензия не требует ежегодного продления. Одна лицензия активирует один физический сервер с правом запуска до 2 виртуальных машин Hyper-V.

Гарантия и поддержка

Если ключ не активируется — заменим на новый или вернем деньги. Обращайтесь в службу поддержки с номером заказа и скриншотом ошибки активации. Среднее время ответа — порядка 30 минут в рабочее время. Помогаем с установкой, активацией и базовой настройкой сервера.

Частые вопросы

Чем Standard отличается от Datacenter 2022?

Standard включает 2 виртуальные машины Hyper-V, Storage Replica на 1 том до 2 ТБ. Datacenter снимает ограничения на ВМ, добавляет Storage Spaces Direct, Shielded VMs и Software-Defined Networking. Для серверов с 3+ ВМ Datacenter выгоднее, чем стекирование лицензий Standard.

Сколько виртуальных машин можно запустить на Standard?

2 виртуальные машины Hyper-V на одну лицензию. Для третьей и четвертой ВМ нужна вторая лицензия Standard на тот же сервер. Контейнеры Windows (не Hyper-V) не ограничены количественно.

Нужны ли дополнительные CAL?

Да. Каждому пользователю или устройству, подключающемуся к серверу, нужна Windows Server CAL. Для терминального доступа (RDP) дополнительно требуются RDS CAL. Essentials не требует CAL, но ограничена 25 пользователями.

Можно ли обновиться с Server 2019 Standard до 2022 Standard?

Да. In-place upgrade поддерживается. Запустите setup.exe с ISO Server 2022, выберите upgrade с сохранением настроек. Все роли, данные и конфигурации сохранятся. Рекомендуется полная резервная копия перед обновлением.

Работает ли SMB over QUIC с Windows 10?

Нет. Клиентская часть SMB over QUIC доступна только в Windows 11 версии 22H2 и новее. Windows 10, macOS и Linux не поддерживают QUIC-подключение к файловым ресурсам. Для этих клиентов используйте классический VPN с SMB over TCP.

Как рассчитать количество ядерных лицензий?

Минимум 16 ядер на сервер, минимум 8 на сокет. Односокетный сервер с 6 ядрами — покупаете лицензию на 16 ядер (минимум). Двухсокетный с 12 ядрами на процессор — 24 ядра (12+12). Hyper-Threading не учитывается. Лицензии продаются пакетами по 2 или 16 ядер.

Подходит ли Standard для кластера Failover?

Да. Windows Server 2022 Standard поддерживает Failover Clustering до 64 узлов. Ограничение: каждый узел кластера требует собственную лицензию Standard. Storage Spaces Direct (S2D) для гиперконвергентной инфраструктуры доступен только в Datacenter.

Что такое Azure Arc и зачем он нужен на локальном сервере?

Azure Arc дает возможность управлять локальным сервером через портал Azure: мониторинг, политики безопасности, обновления, инвентаризация. Сервер остается в вашей серверной — данные не мигрируют в облако. Azure Arc бесплатен для базового управления. Полезен для компаний с гибридной инфраструктурой: часть серверов в офисе, часть в Azure.

Чем Server 2022 лучше Server 2025 Standard?

Server 2025 добавляет Hotpatch (обновления без перезагрузки), Wi-Fi WPA3, улучшенный Storage Spaces и SMB over QUIC для клиентов. Server 2022 более проверен в production — два года стабильной работы, совместимость с большинством корпоративных приложений подтверждена. Для консервативных сред выбирайте 2022, для новых проектов с прицелом на 10 лет — 2025.