התקנת Windows Server 2025: המדריך המלא מא׳ עד ת׳ — מדיה, מהדורות, Core מול Desktop והגדרה ראשונית

התקנה של Windows Server היא אחת מהפעולות שאיש סיסטם עושה לא הרבה פעמים בשנה — ודווקא בגלל זה היא כל כך קריטית. ההחלטות שאתם מקבלים בעשר הדקות של אשף ההתקנה (מהדורה, מצב התקנה, סכמת מחיצות, שם השרת) הן ההחלטות שאי אפשר לשנות אחר כך בלי להתקין מחדש. במדריך הזה של מכללת נטמי נעבור שלב-שלב על התקנה נקייה של Windows Server 2025, נסביר מה עומד מאחורי כל בחירה, ונסיים בהגדרה ראשונית ובחיזוק אבטחתי — בדיוק כמו שעושים בסביבת פרודקשן.

מה חדש ב-Windows Server 2025 ולמה זו לא עוד גרסה

מאז 2012 אשף ההתקנה של Windows Server כמעט לא השתנה. ב-2025 מיקרוסופט סוף סוף רעננה אותו: מסכים חדשים, הורדת עדכוני התקנה מהאינטרנט עוד לפני שמתחילים, ומסך סיכום שמאפשר לבדוק את הבחירות לפני שהדיסק נמחק. מתחת למכסה המנוע השינויים גדולים יותר — hotpatching (עדכוני אבטחה בלי אתחול), שיפורי Storage Spaces Direct, SMB over QUIC, Active Directory עם רמות פונקציונליות חדשות ו-Delegated Managed Service Accounts, ואינטגרציה עמוקה יותר עם Azure Arc.

• ▸Hotpatching — התקנת עדכוני אבטחה ללא reboot (בתצורות נתמכות)
• ▸SMB over QUIC — גישה מאובטחת לשיתופי קבצים דרך 443/UDP בלי VPN
• ▸Active Directory: רמת פונקציונליות חדשה + dMSA לניהול חשבונות שירות
• ▸Pay-as-you-go — רישוי לפי שימוש דרך Azure Arc, לצד רישוי perpetual מסורתי
• ▸אשף התקנה מחודש עם הורדת עדכונים ומסך סיכום לפני ביצוע

שלב 1: דרישות חומרה — המינימום הרשמי מול המציאות

מיקרוסופט מפרסמת דרישות מינימום נמוכות מאוד, אבל חשוב להבין שהן המינימום כדי שהמערכת תעלה — לא כדי שהיא תעבוד. שרת שאמור להריץ Domain Controller, DNS, DHCP וקובץ שיתוף ידרוש הרבה מעבר לכך. הכלל בשטח: 2 ליבות ו-4GB RAM זה רצפה לשרת תשתית קטן, ו-8–16GB זה הסטנדרט האמיתי לכל שרת פרודקשן.

• ▸מעבד: 1.4GHz 64-bit (x64) — בפועל כדאי מעבד מודרני עם תמיכה ב-SLAT לווירטואליזציה
• ▸זיכרון: 512MB ל-Server Core, 2GB ל-Desktop Experience — בפועל 8GB ומעלה
• ▸אחסון: 32GB מינימום — בפועל 80–120GB לדיסק מערכת, ודיסק נפרד לדאטה
• ▸Firmware: UEFI עם Secure Boot — חובה בפועל לכל התקנה חדשה
• ▸TPM 2.0: נדרש ל-BitLocker, Credential Guard ותכונות אבטחה מתקדמות
• ▸רשת: כרטיס רשת אחד לפחות, ורצוי שניים ב-Teaming לשרתים קריטיים

טעות קלאסית של מתחילים: להתקין שרת על דיסק יחיד ולשים עליו גם מערכת, גם דאטה וגם לוגים. ביום שבו הדיסק מתמלא — כל השרת נופל, כולל ה-Domain Controller.

שלב 2: מאיפה משיגים את המדיה ואיך יוצרים USB בוטבילי

אפשר להשיג את Windows Server 2025 משלושה מקורות עיקריים: Microsoft Evaluation Center (גרסת הערכה ל-180 יום, מצוינת למעבדה), פורטל הרישוי הארגוני (VLSC / Microsoft 365 admin) עבור לקוחות עם הסכם, או מדיה של יצרן החומרה (Dell, HPE, Lenovo) שלעיתים כוללת דרייברים משולבים. שימו לב: אתר ההערכה מציע גם קובץ VHDX מוכן — פתרון מעולה למי שמתקין ישירות תחת Hyper-V ורוצה לדלג על אשף ההתקנה.

ליצירת USB בוטבילי צריך דיסק-און-קי של 8GB ומעלה. בכלי כמו Rufus בוחרים Partition scheme: GPT, Target system: UEFI (non-CSM) ו-File system: NTFS. אם קובץ ה-install.wim גדול מ-4GB (וב-2025 הוא כזה), אי אפשר להשתמש ב-FAT32 רגיל — או NTFS, או פיצול של הקובץ. מי שמעדיף לעבוד בלי כלים חיצוניים יכול לעשות את זה ב-PowerShell נטו:

# 1. איתור הדיסק-און-קי (זהירות! הפעולה מוחקת את כל התוכן)
Get-Disk | Where-Object BusType -eq 'USB'

# 2. אתחול, יצירת מחיצה ופרמוט ל-NTFS
Clear-Disk -Number 2 -RemoveData -Confirm:$false
Initialize-Disk -Number 2 -PartitionStyle GPT
New-Partition -DiskNumber 2 -UseMaximumSize -AssignDriveLetter |
    Format-Volume -FileSystem NTFS -NewFileSystemLabel "WS2025"

# 3. חיבור קובץ ה-ISO והעתקת התוכן אל הכונן
$iso = Mount-DiskImage -ImagePath "C:\ISO\WindowsServer2025.iso" -PassThru
$src = ($iso | Get-Volume).DriveLetter
Copy-Item -Path "$($src):\*" -Destination "E:\" -Recurse -Force
Dismount-DiskImage -ImagePath "C:\ISO\WindowsServer2025.iso"

# 4. בדיקת המהדורות הקיימות בתוך קובץ ההתקנה
Get-WindowsImage -ImagePath "E:\sources\install.wim"

שלב 3: Standard, Datacenter או Azure Edition?

זו אחת ההחלטות היקרות ביותר בהתקנה, והיא בעיקר עסקית ולא טכנית. Standard Edition מתאימה לרוב המוחלט של הארגונים: היא כוללת את כל תפקידי התשתית (AD DS, DNS, DHCP, File Server, IIS) ומעניקה זכות להריץ שתי מכונות וירטואליות של Windows Server על אותו מארח מורשה. Datacenter Edition מוסיפה זכויות וירטואליזציה בלתי מוגבלות, Storage Spaces Direct (S2D), Software Defined Networking ו-Automatic VM Activation — היא משתלמת בדרך כלל מעבר ל-6–7 מכונות וירטואליות על מארח. Azure Edition נתמכת רק בתוך מכונה וירטואלית ומיועדת לסביבות Azure/Azure Stack HCI.

כלל אצבע פרקטי: אם אתם מתקינים שרת בתוך VM — כמעט תמיד Standard. אם אתם מתקינים על מארח פיזי שיריץ הרבה VMs — חשבו Datacenter.

שלב 4: Server Core מול Desktop Experience

אשף ההתקנה של 2025 מציע כברירת מחדל את מצב Server Core — התקנה ללא ממשק גרפי מלא. Core צורך פחות זיכרון ודיסק, דורש פחות עדכונים ומצמצם משמעותית את משטח התקיפה: אין Explorer, אין דפדפן, אין רכיבי WPF. הניהול נעשה מרחוק דרך Windows Admin Center, PowerShell Remoting או RSAT. Desktop Experience, לעומת זאת, מספק את שולחן העבודה המוכר ו-Server Manager — הכרחי כשיש אפליקציה שדורשת GUI מלא או כשהצוות עדיין לא שולט ב-PowerShell.

וזו נקודה קריטית: ב-Windows Server 2025 אי אפשר לעבור בין Core ל-Desktop Experience אחרי ההתקנה. הבחירה הזו סופית עד להתקנה מחדש — בדיוק כמו בגרסאות 2016 ואילך.

שלב 5: אתחול מהמדיה וחלוקת הדיסקים

מחברים את ה-USB (עדיף ליציאת USB בגב המכונה), נכנסים ל-Boot Menu של הלוח (F8 באסוס, F12 בגיגהבייט, F11 ב-MSI, F12 בדל, F9 ב-HPE) ובוחרים באפשרות שמתחילה ב-UEFI. אם השרת עולה ל-Windows הקיים במקום למדיה — כמעט תמיד מדובר בסדר Boot שגוי או ב-Fast Boot פעיל ב-BIOS. במסך הראשון בוחרים שפה, פורמט זמן ומקלדת. חשוב: את השפה של מערכת ההפעלה משאירים English (United States) בשרתי פרודקשן, ורק את ה-Regional Format מתאימים לישראל — כך פלטי שגיאה ופקודות תואמים לתיעוד הרשמי.

בשלב חלוקת הדיסקים בוחרים את הדיסק, מוחקים מחיצות ישנות (Custom Install) ומאפשרים ל-Windows ליצור את המחיצות האוטומטיות: EFI System Partition, MSR ו-Recovery. אם השרת לא מזהה את הדיסק בכלל — זו כמעט תמיד בעיית דרייבר לבקר ה-RAID; טוענים אותו דרך Load Driver מתוך דיסק-און-קי נוסף. לחלוקה ידנית מדויקת אפשר לפתוח Shift+F10 ולעבוד ב-diskpart:

DISKPART> list disk
DISKPART> select disk 0
DISKPART> clean
DISKPART> convert gpt

REM מחיצת EFI
DISKPART> create partition efi size=200
DISKPART> format quick fs=fat32 label="System"

REM מחיצת MSR
DISKPART> create partition msr size=128

REM מחיצת מערכת ההפעלה - 100GB
DISKPART> create partition primary size=102400
DISKPART> format quick fs=ntfs label="OS"
DISKPART> assign letter=C

DISKPART> list volume
DISKPART> exit

שלב 6: OOBE — סיסמת Administrator וטלמטריה

לאחר האתחולים האוטומטיים מגיע שלב ה-OOBE. השרת מבקש סיסמה למשתמש Administrator המקומי. זו הסיסמה שתשמור על השרת עד שיצטרף לדומיין — אורך של 14 תווים לפחות, ייחודית לכל שרת, ושמורה בכספת סיסמאות ארגונית ולא בקובץ Excel. אחר כך בוחרים את רמת הטלמטריה; בסביבות ארגוניות בוחרים Required בלבד.

שלב 7: הגדרה ראשונית עם sconfig

sconfig הוא כלי קונפיגורציה טקסטואלי שקיים בכל מהדורה ומצב של Windows Server — גם ב-Core וגם ב-Desktop Experience (מריצים sconfig.cmd מ-CMD מורם הרשאות). דרכו מגדירים שם מחשב, כתובת IP, DNS, הצטרפות לדומיין, עדכונים, אזור זמן, הפעלת רישוי ו-Remote Desktop. סדר העבודה הנכון: שם ← רשת ← עדכונים ← מפתח רישוי ← דומיין. שימו לב לניואנס חשוב: אם השרת מיועד להיות Domain Controller, יש להזין ולהפעיל את מפתח הרישוי לפני ה-Promotion — אחרי כן לא ניתן לשנות אותו.

מי שמעדיף לעבוד ישירות ב-PowerShell (וזו הדרך שאנחנו מלמדים בקורס), אלה הפקודות שמחליפות את כל התפריטים של sconfig:

# שם השרת לפי קונבנציה ארגונית
Rename-Computer -NewName "NETME-DC01" -Restart:$false

# איתור האינדקס של כרטיס הרשת
Get-NetAdapter | Format-Table Name, ifIndex, Status, LinkSpeed

# כתובת IP סטטית + Gateway
New-NetIPAddress -InterfaceIndex 5 `
    -IPAddress 192.168.10.10 -PrefixLength 24 `
    -DefaultGateway 192.168.10.1

# שרתי DNS
Set-DnsClientServerAddress -InterfaceIndex 5 `
    -ServerAddresses 192.168.10.10,8.8.8.8

# אזור זמן ושעון
Set-TimeZone -Id "Israel Standard Time"
w32tm /resync /force

# הפעלת Remote Desktop
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' `
    -Name "fDenyTSConnections" -Value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

# הצטרפות לדומיין
Add-Computer -DomainName "netme.local" `
    -Credential (Get-Credential netme\svc_join) -Restart

שלב 8: עדכונים, דרייברים והפעלת רישוי

שרת חדש ללא עדכונים הוא שרת פגיע. מיד לאחר ההתקנה מתקינים את כל עדכוני האבטחה, ורק אחר כך מוסיפים תפקידים. בסביבת Core אין ממשק Windows Update גרפי, ולכן משתמשים במודול PSWindowsUpdate או ב-sconfig. את הדרייברים (בעיקר Chipset, NIC ו-RAID) מתקינים מחבילת היצרן — Dell OpenManage, HPE SPP או Lenovo XClarity.

# התקנת מודול עדכונים והרצת מחזור עדכון מלא
Install-PackageProvider -Name NuGet -Force
Install-Module PSWindowsUpdate -Force -Confirm:$false
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

# הזנת מפתח והפעלה
slmgr /ipk XXXXX-XXXXX-XXXXX-XXXXX-XXXXX
slmgr /ato
slmgr /dli

# בדיקת מצב המערכת לאחר ההתקנה
Get-ComputerInfo -Property WindowsProductName,OsVersion,CsName,OsHotFixes | Format-List

שלב 9: Hardening ראשוני לפני שהשרת נכנס לפרודקשן

לפני שמוסיפים תפקידים ומחברים את השרת לרשת הארגונית, יש רשימת פעולות שאסור לדלג עליה. הרבה אירועי סייבר שאנחנו מנתחים בקורסי הסייבר של נטמי מתחילים בדיוק כאן — בשרת שהוקם "רק לרגע" ונשאר בפרודקשן שנתיים.

• ▸שינוי שם והשבתה של חשבון Administrator המקומי המובנה
• ▸הפעלת BitLocker על דיסק המערכת (דורש TPM 2.0)
• ▸השארת Windows Defender פעיל והגדרת Attack Surface Reduction
• ▸כיבוי SMBv1 והפעלת SMB Signing
• ▸הגדרת Windows Firewall עם חוקים ספציפיים במקום כיבוי גורף
• ▸הפעלת Audit Policy מתקדם והעברת לוגים ל-SIEM
• ▸התקנת סוכן גיבוי ובדיקת שחזור בפועל — גיבוי שלא נבדק אינו גיבוי

תקלות נפוצות בהתקנה — ואיך פותרים אותן

• ▸"We couldn't find any drives" — חסר דרייבר לבקר RAID/NVMe. טוענים דרך Load Driver.
• ▸השרת לא עולה מה-USB — Secure Boot חוסם מדיה לא חתומה או שהמדיה נוצרה כ-MBR במקום GPT.
• ▸"Windows cannot be installed to this disk (GPT/MBR)" — אי-התאמה בין מצב ה-BIOS (Legacy/UEFI) לסכמת המחיצות.
• ▸ההתקנה נתקעת ב-Getting ready — לרוב עדכוני התקנה שנתקעים; מנתקים רשת ומריצים שוב ללא הורדת עדכונים.
• ▸אין רשת אחרי ההתקנה — דרייבר NIC חסר; מתקינים מחבילת היצרן דרך USB.
• ▸Add-Computer נכשל — כמעט תמיד DNS שגוי: השרת חייב להצביע ל-DNS הפנימי של הדומיין ולא לגוגל.

מהתקנה לתשתית: מה עושים ביום שאחרי

התקנת מערכת ההפעלה היא רק ההתחלה. השרת עדיין לא עושה כלום עד שתוסיפו לו תפקידים: Active Directory Domain Services ו-DNS לניהול זהויות, DHCP לחלוקת כתובות, File Services עם הרשאות NTFS ו-Share, Group Policy לאכיפת מדיניות, WSUS לניהול עדכונים ו-Hyper-V לווירטואליזציה. השלב הזה — מהשרת הריק ועד דומיין עובד ומאובטח — הוא בדיוק מה שמפריד בין טכנאי תמיכה לאיש סיסטם.

בקורס System Administrator של מכללת נטמי אתם לא צופים במצגות — אתם בונים סביבה מלאה במעבדה משלכם: מתקינים Windows Server 2025 מאפס, מקימים Domain Controller, מגדירים DNS ו-DHCP, בונים מבנה OU עם Group Policy, מנהלים הרשאות ושיתופים, כותבים סקריפטים ב-PowerShell לאוטומציה, ומתרגלים פתרון תקלות אמיתיות בדיוק כמו שתפגשו בראיון העבודה וביום הראשון בתפקיד. הקורס בעברית, כולל גישה לכל החיים לחומרי הלימוד והקלטות.

שרת שהותקן נכון בפעם הראשונה חוסך לכם עשרות שעות תחזוקה — ואת השיחה ההיא בשלוש לפנות בוקר.