凌晨 2:10，我站在将军澳机房冷风口前，手里捏着一块刚从事故服务器里拔下来的 NVMe。白色标签上贴着“财务-月结”。这台机器因为自恢复脚本误触发重启，业务没丢，但让我后背发凉的是：如果这块盘被谁顺手牵羊，里面的数据就是赤裸裸的。那晚之后，我主导把香港区的 Windows Server 2019 批量上了 BitLocker + TPM，同时把跨境数据链路做了端到端加密。下面这篇，就是我一次性执行到位、可复用的实操总结。

1.场景与目标

业务场景：

• 服务器所在地：香港机房（同城多机柜，跨境链路到深圳/上海/新加坡）。
• 系统：Windows Server 2019（含部分 Server Core）。
• 数据类型：账务、报表、客户影像。
• 访问方式：AD 域控、RDP 维护、SMB 文件共享、定时跨境同步。

安全目标：

• 静态数据（at-rest）：系统盘 + 数据盘全盘加密，密钥绑定 TPM 2.0。
• 传输数据（in-transit）：SMB 3.1.1 加密/签名，必要时主机间 IPsec。
• 恢复可靠：恢复密钥自动备份到 AD，离线密钥冷备。
• 可运维：重启无需人工介入（OS 盘采用 TPM-only 策略），例外场景可临时加 PIN。
• 可审计：状态可巡检、事件可追溯、性能影响可量化。

2.环境与参数（落地可照抄）

2.1 机房与硬件清单（样例）

注意：Intel PTT / AMD fTPM 也算 TPM 2.0，可用；生产更偏好离散 TPM 模块。

2.2 网络与目录

3.方案设计（我为什么这样做）

分层防护：

• 磁盘层：BitLocker 选 XTS-AES 256（默认 128 也可，安全审计常要求 256）。

密钥保护器：

• OS 盘：TPM-only（可无感重启）。
• 数据盘：TPM + 自动解锁（Auto-Unlock 依附 OS 盘保护链）。
• 需要更高启动防护时，用 TPM+PIN，但要确认机架有 iDRAC/iLO 远程可输 PIN，否则重启会卡。
• 密钥托管：自动备份到 AD（Computer 对象 BitLocker Recovery 选项卡可见），外加离线导出到金库（离线密钥 U 盘/密码库）。

传输层：

• SMB 3.1.1 强制加密（按共享或全局）。
• 跨境对接复杂或混合系统时，再叠加 主机到主机 IPsec。
• RDP/NLA + TLS1.2 以上，禁用过时套件。

4.上线前检查（别着急开干）

4.1 BIOS/UEFI 设置（以 Dell/HPE 为例）

开启 TPM（On/Enabled），TPM State: Enabled，TPM PPI Bypass 选择允许运维自动化。

UEFI 模式 + Secure Boot 打开。

磁盘控制器尽量 HBA/非缓存直通，避免奇怪的测量差异。

固件更新到厂商建议基线（特别是 TPM/BIOS/RAID）。

4.2 Windows 预检脚本（保存为 01-Precheck.ps1）

# 01-Precheck.ps1
$errs = @()

# 1) TPM 状态
$tpm = Get-Tpm
if (-not $tpm.TpmPresent) { $errs += "未检测到 TPM" }
elseif (-not $tpm.TpmReady) { $errs += "TPM 未就绪（需在 BIOS 初始化或 Initialize-Tpm）" }

# 2) 启动与分区
$sys = Get-Partition -DriveLetter C | Get-Disk | Select PartitionStyle,Number
if ($sys.PartitionStyle -ne 'GPT') { $errs += "建议使用 UEFI+GPT（当前 $($sys.PartitionStyle)）" }

# 3) Secure Boot
try {
  $sb = Confirm-SecureBootUEFI
  if ($sb -ne $true) { $errs += "Secure Boot 未启用" }
} catch { $errs += "此平台不支持 Secure Boot（可能非 UEFI）" }

# 4) BitLocker 状态
$bl = Get-BitLockerVolume -MountPoint 'C:' -ErrorAction SilentlyContinue
if ($bl -and $bl.ProtectionStatus -ne 'Off') { $errs += "C: 已加密，注意变更窗口与解锁链" }

# 5) AD 连接
$domain = (Get-CimInstance Win32_ComputerSystem).Domain
if ($domain -eq $env:COMPUTERNAME) { $errs += "未加入域，无法自动备份恢复密钥到 AD" }

if ($errs.Count) { $errs | ForEach-Object { Write-Warning $_ }; exit 1 }
Write-Host "预检通过，可以进入 GPO 与加密流程。" -ForegroundColor Green

5.GPO 准备（域控侧一次配置，处处生效）

在 GPMC 创建或编辑一个 OU 级 GPO，例如：GPO-BitLocker-2019.

6.应用后 gpupdate /force。

域控装好 BitLocker Recovery 管理组件后，可在 计算机对象 → 属性 → BitLocker Recovery 看到密钥。

启用 BitLocker（操作系统盘）

6.1 一键脚本（02-Enable-OS.ps1）

# 02-Enable-OS.ps1
# 1) 添加恢复密码保护器（先拿到离线密钥）
$osVol = Get-BitLockerVolume -MountPoint 'C:' -ErrorAction SilentlyContinue
if (-not $osVol) { $osVol = Get-BitLockerVolume }

$kp = Add-BitLockerKeyProtector -MountPoint 'C:' -RecoveryPasswordProtector
$rid = $kp.RecoveryPasswordProtector.Id
Write-Host "恢复保护器: $rid" -ForegroundColor Cyan

# 2) 启用 BitLocker（TPM-only，无需人工输入）
Enable-BitLocker -MountPoint 'C:' -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3) 备份恢复信息到 AD
Backup-BitLockerKeyProtector -MountPoint 'C:' -KeyProtectorId $rid

# 4) 立即开始加密
Resume-BitLocker -MountPoint 'C:'

# 5) 查看进度
Get-BitLockerVolume -MountPoint 'C:' | Select MountPoint,EncryptionMethod,VolumeStatus,EncryptionPercentage,ProtectionStatus

UsedSpaceOnly 可让初次加密更快（对新装系统极友好）；老系统建议完整加密。

6.2 验证

manage-bde -status C:
(Get-BitLockerVolume -MountPoint 'C:').KeyProtector | FL

看到 Protection Status: Protection On、加密方法为 XTS-AES 256 即成功。

重启一次验证无需人工干预即可回到登录界面。

7.启用 BitLocker（数据盘、集群、虚拟化）

7.1 数据盘（固定驱动器）

# 启用
Enable-BitLocker -MountPoint 'E:' -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector
# 自动解锁（跟随 OS 盘）
Enable-BitLockerAutoUnlock -MountPoint 'E:'
# 再补一个恢复密码保护器并备份
$kp = Add-BitLockerKeyProtector -MountPoint 'E:' -RecoveryPasswordProtector
Backup-BitLockerKeyProtector -MountPoint 'E:' -KeyProtectorId $kp.RecoveryPasswordProtector.Id

7.2 Failover Cluster / CSV（要点）

用 集群名对象（CNO） 作为 AD 保护器主体：

Add-BitLockerKeyProtector -MountPoint 'C:' -AdAccountOrGroupProtector -AdAccountOrGroup 'CORP\ClusterName$'

CSV 卷加密要在所有节点一致窗口内推进，避免 Failover 时进程挂起。

维护前 Suspend-BitLocker -MountPoint <drive> -RebootCount 1，避免固件更新触发 PCR 变化导致恢复流程。

7.3 虚拟化场景（在 VM 内加密）

Hyper-V：用 vTPM（需 Host Guardian Service 或受信主机），再在客体 Windows 里启 BitLocker。

8.跨境传输安全（SMB 加密 + 可选 IPsec）

8.1 SMB 3.1.1 加密（推荐，配置简单）

按共享开启（更细粒度）：

# 新建共享且强制加密
New-SmbShare -Name "FinanceShare" -Path "E:\Finance" -FullAccess "CORP\FinanceAdmins" -ChangeAccess "CORP\FinanceUsers" -EncryptData $true

# 已有共享改为加密
Set-SmbShare -Name "FinanceShare" -EncryptData $true

# 可选：默认要求 SMB 加密（所有新共享）
Set-SmbServerConfiguration -EncryptData $true -Force

# 验证会话是否加密
Get-SmbSession | Select-Object ClientComputerName,Encrypted

客户端需支持 SMB 3.0+（Win8/2012 起都支持），跨境链路即便跑在 VPN 上，SMB 自带加密也能抵御中间人对文件层的窥探。

8.2 主机到主机 IPsec（异构/合规更严时使用）

证书比预共享密钥更稳健；下例为机器证书认证（简化示意）。

# 目标对端：203.0.113.0/24
$remote = "203.0.113.0/24"
# 要求进出都加密
New-NetIPsecRule -DisplayName "HK<->CN Encrypt" -InboundSecurity Require -OutboundSecurity Require `
  -RemoteAddress $remote -AuthenticationMethod Certificate -Protocol Any

生产请结合现有 PKI，细化加密套件、SA 生命周期、PFS 组等参数，并先小范围验证再放量。

8.3 TLS/RDP 加固（一次性固化）

# 强制仅启用 TLS 1.2（注意：可能影响老客户端）
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" -Force | Out-Null
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" -Name "Enabled" -Value 0 -PropertyType "DWord" -Force | Out-Null
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" -Force | Out-Null
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" -Name "Enabled" -Value 0 -PropertyType "DWord" -Force | Out-Null
# 确保 TLS1.2 打开
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -Force | Out-Null
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -Name "Enabled" -Value 1 -PropertyType "DWord" -Force | Out-Null

# RDP 仅允许 NLA
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Nam
监控与巡检（把状态发给你自己）
9.1 周期巡检脚本（03-Report-BitLocker.ps1）
$rows = Get-BitLockerVolume | ForEach-Object {
  [PSCustomObject]@{
    Host               = $env:COMPUTERNAME
    MountPoint         = $_.MountPoint
    VolumeType         = $_.VolumeType
    EncryptionMethod   = $_.EncryptionMethod
    EncryptionPercent  = $_.EncryptionPercentage
    ProtectionStatus   = $_.ProtectionStatus
    AutoUnlock         = $_.AutoUnlockEnabled
    KeyProtectors      = ($_.KeyProtector | ForEach-Object {$_.KeyProtectorType}) -join '+'
  }
}
$path = "C:\BitLocker-$(Get-Date -Format yyyyMMdd-HHmm).csv"
$rows | Export-Csv -Path $path -NoTypeInformation -Encoding UTF8
Write-Host "导出：$path"

# 也可通过 WinRM/HTTPS 或代理上传到 SIEM/日志系统

9.2 关键事件

Event ID 775/776（BitLocker 驱动器状态变化）

Event ID 4672/4624（特权登录）

Event ID 615/24588（SMB 会话/加密）

10.性能与压测（真实数据才有底气）

使用 diskspd（微软官方工具）在同一台 R740xd 上对比。

命令（示例）：

# 顺序读写 64K，4 线程，持续 60s
.\diskspd.exe -b64K -d60 -o32 -t4 -Sh -w50 -r0 C:\testfile.dat

# 随机 4K，QD32，持续 60s
.\diskspd.exe -b4K -d60 -o32 -t4 -Sh -w30 -r4K C:\testfile.dat

结果摘要（样例，单位为相对变化）：

有 AES-NI 的 CPU 上，BitLocker 的开销通常可控；启用 UsedSpaceOnly 首次加密更快，对 IO 峰值几乎无感。

11.常见坑与现场解决

12.回滚与应急

临时暂停（升级固件/驱动前）：

Suspend-BitLocker -MountPoint 'C:' -RebootCount 1

解锁离线卷（系统进不去时）：

使用 WinRE 或 PE：

manage-bde -unlock C: -RecoveryPassword <48位恢复密钥>
manage-bde -protectors -disable C:

彻底移除（仅限退役/重装）：

Disable-BitLocker -MountPoint 'C:'

13.变更实施模板（我上线用的清单）

• 工单审批 & 业务窗口确认。
• BIOS/UEFI 校验（TPM、Secure Boot、UEFI、固件版本）。
• 服务器入域，GPO 下发（加密方法、恢复到 AD）。
• 预检脚本通过（TPM Ready、GPT、网络/AD OK）。
• 启用 OS 盘 BitLocker（TPM-only + Recovery），备份到 AD。
• 启用数据盘 BitLocker + Auto-Unlock。
• 开启 SMB 加密（按共享），验证会话加密。
• 按需下发 IPsec 规则（先小范围试点）。
• TLS/RDP 加固（灰度到全量）。
• 重启验证自动解锁；巡检脚本落地；事件订阅接 SIEM。
• 压测取样（保留基线）；出具验收报告。

结语：把风险关在机柜里

再次走进香港机房时，我习惯先看机柜门的指纹锁，再看 iDRAC 告警。那晚之后，我们把风险关在机柜里：盘被偷也看不到数据，跨境链路被探针抓包也只是加密流。更重要的是，例行重启依旧“无感”，运维流程没被安全“绑手绑脚”。
安全不是堆功能，而是在你熟悉的运维节奏里，补上最后一道缺口。以上步骤和脚本，你照着做，就能在香港服务器上把 Windows Server 2019 的 BitLocker + TPM 与跨境传输加密，一次性地、工程化地落地。

附：命令速查（收藏）
# 查看总体状态
Get-BitLockerVolume | FT MountPoint,VolumeType,EncryptionMethod,ProtectionStatus,EncryptionPercentage -Auto

# OS 盘启用（TPM-only）
Enable-BitLocker -MountPoint 'C:' -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 数据盘启用 + 自动解锁
Enable-BitLocker -MountPoint 'E:' -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector
Enable-BitLockerAutoUnlock -MountPoint 'E:'

# 备份恢复密钥到 AD
$kp = Add-BitLockerKeyProtector -MountPoint 'C:' -RecoveryPasswordProtector
Backup-BitLockerKeyProtector -MountPoint 'C:' -KeyProtectorId $kp.RecoveryPasswordProtector.Id

# 维护前暂停一次
Suspend-BitLocker -MountPoint 'C:' -RebootCount 1

# SMB 加密（按共享）
Set-SmbShare -Name "FinanceShare" -EncryptData $true

如果你想，我也可以把上面的脚本合并成一键化工具，带日志/回滚和邮件告警，适配 Server Core 与 GUI 双环境。