凌晨两点，香港机房内，我一边握着电筒找服务器背面的管理口，一边在 iDRAC 的虚拟控制台里挂载 ISO。那晚我才真正意识到：“少就是多” 不是一句空话——GUI 的每一块拼图、每一个能点击的按钮，都是潜在的攻击面和运维成本。下面这篇，既是那次上线后的复盘，也是后来多台香港节点的标准化落地过程。

目标与场景

• 业务：边缘节点承载 API / 反向代理 / 轻量 Web 服务（多为 .NET + IIS 或容器化工作负载），同时承担到内地和海外的低延迟回源。
• 地点：香港（数据中心延迟稳定、国际带宽充足）。

诉求：

• 将操作系统减到“只保留必要的骨架”；
• 缩小攻击面（更少的组件、更少的端口、更少的补丁）；
• 降低维护成本（更少的重启、更快的补丁、更容易的自动化）；
• 全过程可复制、可审计、可回滚。

基线架构与硬件配置

注：下面是一次常见的部署模板，你可以按需替换同档位硬件。

逻辑拓扑（文字版）
Internet ⇄ 边缘负载均衡（云/物理） ⇄ [HK Core 节点（本文）] ⇄ 内部回源（专线/VPN）
管理面：Admin 工位 → Windows Admin Center/PowerShell Remoting（5986/HTTPS） → 目标 Server Core

为什么选 Server Core？

• 组件少 = 暴露面少：没有 Explorer/Shell 生态，默认服务更少。
• 补丁小、重启少：我线上观测的月累计下载量，对比 GUI 版 ≈ 1.2–1.8GB，Server Core ≈ 0.3–0.8GB，月度维护窗口明显缩短（以我的节点为例）。
• 资源占用低：同硬件下，可多跑 15–30% 的轻量工作负载（取决于角色）。
• 强制“远程优先”的运维范式：逼着团队养成脚本化与配置即代码的习惯。

小提示：Windows Server 2019/2022 安装时即定型，不能在 GUI 与 Core 之间互转，所以一开始就选对版本。

装机前准备清单（必做）

• ISO：Windows Server 2022 Datacenter (Core) LTSC。
• 驱动：NIC/存储控制器离线驱动包（Server Core 没有设备管理器 GUI，救命的时候靠它）。
• 应答文件（可选）：unattend.xml 预设 Core 版本、分区与计算机名，减少手工环节。
• 基线脚本：一份 PowerShell 引导脚本（见文末“一键基线”），含网络、WinRM、补丁策略、安全基线。
• 访问凭据：跳板机到数据中心管理口的白名单、运维账户、证书。

安装与分区（iDRAC/iLO 虚拟介质）

KVM 挂载 ISO → 选择 Windows Server 2022 Datacenter: Server Core。

分区建议（UEFI）：

• EFI 500MB、MSR 128MB
• C: 80–120GB（系统）
• D: 剩余（数据/日志/补丁缓存）

首次启动：进入内置管理员，改复杂口令。

装 NIC/存储驱动（如需）：

pnputil /add-driver D:\drivers\*.inf /subdirs /install

SConfig 初始落地（5 分钟拿下“能管能通”）

Server Core 自带 sconfig 菜单很香：

1. sconfig → (2) 计算机名 → HK-API-01 → 重启
2. sconfig → (8) 网络设置 → 静态 IP / DNS（示例：10.10.10.21 / 10.10.10.10）
3. sconfig → (7) 远程桌面 → 仅限 NLA
4. sconfig → (5) Windows Update → 暂设“手动/下载通知”
5. sconfig → (9) 日期时间 → 设置时区 China Standard Time（香港同为 UTC+8）并配置 NTP

这里我更喜欢立刻切到 PowerShell 做可审计的配置。

最小化网络与 WinRM（HTTPS）

# 1) 基础网络（示例）
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 10.10.10.21 -PrefixLength 24 -DefaultGateway 10.10.10.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 10.10.10.10

# 2) 启用安全的 WinRM HTTPS（5986）
Enable-PSRemoting -Force
$cert = New-SelfSignedCertificate -DnsName "hk-api-01.example.internal" -CertStoreLocation Cert:\LocalMachine\My
winrm create winrm/config/Listener?Address=*+Transport=HTTPS "@{Hostname=`"hk-api-01.example.internal`"; CertificateThumbprint=`"$($cert.Thumbprint)`"}"
Set-Item WSMan:\localhost\Service\AllowUnencrypted $false
Set-Item WSMan:\localhost\Service\Auth\Basic $false
New-NetFirewallRule -DisplayName "WinRM over HTTPS (5986)" -Direction Inbound -Protocol TCP -LocalPort 5986 -Action Allow

# 3) RDP 仅限 jump host 网段（可选）
New-NetFirewallRule -DisplayName "RDP from Jump" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 10.10.20.0/24 -Action Allow

只装“必须”的角色与功能（IIS 例子）

典型 API/静态站点最小集：HTTP 栈 + 日志 + 基础诊断，无 GUI 管理器。

# IIS 最小功能集
Install-WindowsFeature Web-Server, Web-Common-Http, Web-Default-Doc, Web-Static-Content, Web-Http-Errors, Web-Http-Logging, Web-Request-Monitor, Web-Filtering

# 可选：反向代理/重定向
Install-WindowsFeature Web-Http-Redirect

# .NET 运行时（若跑 ASP.NET 经典/框架）
Install-WindowsFeature NET-Framework-Features

# ASP.NET Core 站点：安装 Hosting Bundle（离线包放 D:\pkg）
Start-Process "D:\pkg\dotnet-hosting.exe" -ArgumentList "/quiet /norestart" -Wait

注意：不要顺手 -IncludeManagementTools，Core 没有 GUI 管理器，改用 Windows Admin Center 或 appcmd/PowerShell。

存储：数据盘镜像与日志分盘

# 查看可池化磁盘
Get-PhysicalDisk -CanPool $true

# 创建存储池与镜像虚拟盘（数据盘）
$pool = New-StoragePool -FriendlyName "NVMePool" -StorageSubsystemFriendlyName "Storage Spaces*" -PhysicalDisks (Get-PhysicalDisk -CanPool $true)
New-VirtualDisk -StoragePoolFriendlyName $pool.FriendlyName -FriendlyName "DataMirror" -ResiliencySettingName Mirror -UseMaximumSize -ProvisioningType Fixed
$vd = Get-VirtualDisk -FriendlyName "DataMirror" | Get-Disk
Initialize-Disk $vd.Number -PartitionStyle GPT
New-Partition -DiskNumber $vd.Number -UseMaximumSize -DriveLetter D | Format-Volume -FileSystem NTFS -NewFileSystemLabel "DATA"

日志单独放 D:\logs，为 IIS/应用配置独立配额与轮转。

安全基线：把“能关的”都关了

1) 关闭 SMBv1 / 打印服务 / WebDAV 等陈旧组件

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

Stop-Service Spooler -PassThru | Set-Service -StartupType Disabled
Set-Service WebClient -StartupType Disabled  # WebDAV Client，如无需求

2) 仅开放所需端口（80/443/5986），并做源地址限制

# 关闭所有入站（默认阻止），按需放行
Set-NetFirewallProfile -Profile Domain,Public,Private -DefaultInboundAction Block -DefaultOutboundAction Allow

# HTTP/HTTPS
New-NetFirewallRule -DisplayName "HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

3) Windows Defender 与 ASR（攻击面削减）

# 确保 Defender 存在（Server 2022 默认有）
Get-MpComputerStatus | Select AMServiceEnabled,AntispywareEnabled,AntivirusEnabled

# 关键 ASR 规则示例（1 = Block，按需取舍）
$rules = @(
"56a863a9-875e-4185-98a7-b882c64b5ce5", # 阻止 LSASS 凭据窃取
"d4f940ab-401b-4efc-aadc-ad5f3c50688a", # 阻止 Office 启动子进程
"5beb7efe-fd9a-4556-801d-275e5ffc04cc"  # 阻止不受信脚本
)
Set-MpPreference -AttackSurfaceReductionRules_Ids $rules -AttackSurfaceReductionRules_Actions (1,1,1)

4) 账户与远程

启用 NLA；RDP 只对跳板网段开放；禁止剪贴板/驱动映射（组策略）。

部署 LAPS（本地管理员口令定期轮换）。

禁用未用本地账户，强制复杂口令策略。

补丁与重启：更小更快，也要可控

“环形”更新策略

Ring 0（预生产）：1 台 Core 节点先吃补丁；

Ring 1（生产）：观察 24–48 小时无异常，再批量推送；

与业务配合出 每月固定维护窗（香港凌晨 02:00–04:00）。

PSWindowsUpdate 自动化（离线导入也行）

# 首次（连网）安装模块
Install-Module PSWindowsUpdate -Force

# 仅安全/关键补丁
Get-WindowsUpdate -Category Security, CriticalUpdates -AcceptAll -Install -AutoReboot

实测：Core 的 月度平均重启 1 次 就能覆盖大多数安全更新，GUI 节点往往更多。

可观测性与合规

# 安全/系统日志扩容
wevtutil sl Security /ms:2048
wevtutil sl System   /ms:1024

# Windows Event Forwarding（WEF）指向订阅服务器（简）
wevtutil cs /c:wec.example.internal

# IIS 日志：按天切割、压缩、保留 30 天
appcmd set config -section:system.applicationHost/sites /siteDefaults.logFile.directory:"D:\logs\iis" /commit:apphost

Windows Admin Center（WAC）+ PowerShell：GUI 该有的地方有

• WAC 安装在管理工作站，把 Core 加进去做证书、IIS、文件、注册表、事件查看。
• 日常操作以 PowerShell Remoting 为主；WAC 做偶发的可视化确认。
• 管理口证书用企业 CA 或 ACME 自动签发，省去浏览器红锁。

一键基线引导脚本（节选）

放 D:\bootstrap\baseline.ps1，装完系统执行一次，日志落到 D:\logs\bootstrap.log。

$ErrorActionPreference = "Stop"
Start-Transcript -Path "D:\logs\bootstrap.log" -Append

# 0. 基本信息
$dnsName = "hk-api-01.example.internal"
$jumpCIDR = "10.10.20.0/24"

# 1. WinRM HTTPS
Enable-PSRemoting -Force
$cert = New-SelfSignedCertificate -DnsName $dnsName -CertStoreLocation Cert:\LocalMachine\My
winrm create winrm/config/Listener?Address=*+Transport=HTTPS "@{Hostname=`"$dnsName`"; CertificateThumbprint=`"$($cert.Thumbprint)`"}"
Set-Item WSMan:\localhost\Service\AllowUnencrypted $false
Set-Item WSMan:\localhost\Service\Auth\Basic $false
New-NetFirewallRule -DisplayName "WinRM 5986" -Direction Inbound -Protocol TCP -LocalPort 5986 -Action Allow

# 2. 关闭遗留组件
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart
Stop-Service Spooler -ErrorAction SilentlyContinue; Set-Service Spooler -StartupType Disabled

# 3. 防火墙基线
Set-NetFirewallProfile -Profile Domain,Public,Private -DefaultInboundAction Block -DefaultOutboundAction Allow
New-NetFirewallRule -DisplayName "HTTP"  -Direction Inbound -Protocol TCP -LocalPort 80  -Action Allow
New-NetFirewallRule -DisplayName "HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow
New-NetFirewallRule -DisplayName "RDP Jump" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress $jumpCIDR -Action Allow

# 4. IIS 最小集
Install-WindowsFeature Web-Server, Web-Common-Http, Web-Default-Doc, Web-Static-Content, Web-Http-Errors, Web-Http-Logging

# 5. Defender 与 ASR
$rules = @("56a863a9-875e-4185-98a7-b882c64b5ce5","d4f940ab-401b-4efc-aadc-ad5f3c50688a","5beb7efe-fd9a-4556-801d-275e5ffc04cc")
Set-MpPreference -AttackSurfaceReductionRules_Ids $rules -AttackSurfaceReductionRules_Actions (1,1,1)

# 6. 日志与目录
New-Item -ItemType Directory -Path D:\logs\iis -Force | Out-Null
wevtutil sl Security /ms:2048
wevtutil sl System   /ms:1024

Stop-Transcript

“攻防账本”：Core 与 GUI 的对比（我线上的观测）

非绝对值，仅为我维护的几组节点的稳定观测范围。

真实的“坑”与现场解法

WinRM 5986 被上游防火墙挡了
现象：WAC 加不上，PowerShell 远程连接超时。
解法：数据中心边界 ACL 放行 5986（管理网段→节点），并确认本机 New-NetFirewallRule 已生效。

时间漂移导致 Kerberos 失败
现象：加入域后偶发身份验证失败。
解法：统一 NTP（HK 池或内部 NTP），在 Core 用 w32tm /config ... 固化；时区设为 UTC+8。

IIS 日志爆盘
现象：日志默认在系统盘，几周后 C 盘告急。
解法：提前把日志改到 D:\logs\iis，按天切割 + 30 天保留 + 过期清理任务计划。

Core 上误装了多余功能
现象：图省事一股脑 Web-* 全装，补丁变大、重启变频。
解法：按站点功能列出白名单（上节“最小集”），定期 Get-WindowsFeature | ? InstallState -eq Installed 自查。

驱动缺失网络不起来
现象：装完看不到网卡。
解法：离线驱动包 必带，pnputil 手动导入；必要时在 WinPE 注入驱动重装。

证书链不全导致 WinRM/WAC 红锁
解法：在 Core 安装企业根证书到 LocalMachine\Root，或使用 ACME 客户端自动签证书。

维护脚本与日常操作备忘（高频命令）

# 查看已安装功能（自查最小化）
Get-WindowsFeature | ? InstallState -eq Installed

# 当前运行服务（过滤非核心）
Get-Service | ? Status -eq Running | Sort Name

# 快速体检
Get-ComputerInfo | Select CsName,OsName,OsVersion,OsInstallDate,WindowsInstallationType

# 仅装安全更新并重启
Get-WindowsUpdate -Category Security, CriticalUpdates -AcceptAll -Install -AutoReboot

# 应用池回收/站点绑定（IIS）
Import-Module WebAdministration
Get-WebAppPoolState -Name "defaultAppPool"
New-WebBinding -Name "Default Web Site" -Protocol https -Port 443 -IPAddress * -HostHeader api.example.com -SslFlags 1

成本模型（以单台节点月度口径估算）

结论：Core 把“人”的时间从点点点击里解放出来，长期 TCO 更低。

从“少”里长出来的确定性

那次上线后，我把螺丝刀收回包里，回头看着机柜里那台没有桌面、没有花里胡哨图标的机器，状态灯一闪一闪，很安静。我们没牺牲任何稳定性，反而用更少的组件、更加明确的边界，换来了更低的风险与更高的可复制性。
后来每当要在香港再点一台边缘节点，我就把这套流程拿出来复刻：ISO、驱动、baseline.ps1、最小功能集、三条防火墙规则、一次重启。运维工作该有的温度，不是把每一次上线都变成熬夜的战役，而是让每一次上线都成为一次 可预期的重复。

如果你也准备在香港上 Server Core，不妨直接把上面的清单按顺序走一遍，然后根据你们的业务做微调。少即是多，确定性才是最大的性能优化。