🖨 Microsoft представила в Windows 11 и Windows Server 2025 новый защищенный режим печати Protected Print Mode (WPP). WPP основывается на существующий протокол интернет-печати (IPP), который поддерживает только принтеры сертифицированные Mopria.

📚 Идея защищенного режима печати в том, что для печати на компьютер теперь не нужно устанавливать (и затем обновлять) сторонние драйвера (вендоров), код спулера и драйверов теперь не будет выполняться от имени SYSTEM. Это существенно повышает защиту Windows от угроз безопасности, связанных с классической системой печати Windows (в том числе от уязвимостей в сторонних драйверах и эксплуатации уязвимостей в самом Print Spooler).

⚠️ Недостатки защищенного режима печати:
🔹 Поддерживаются только современные принтеры, соответствующие сертификации Morphia
🔹 Возможны проблемы с нестандартными функциями принтера (двусторонняя печать, брошюровка и т.д.).

✅ Включить защищенный режим печати можно из панели Settings или через GPO. При включении все неподдерживаемые принтера будут автоматически удалены.

Защищенный режим печати (WPP) в Windows 11 и Windows Server 2025

⚠️ При установке обновлений Windows все рано или поздно натыкаются на различные ошибки. Ошибка представляет собой некий код в шестнадцатеричной системе в формате 0x80070422. К сожалению, Microsoft не утруждает себя сразу предоставлять текстовое описание ошибки. Действительно, нечего баловать пользователей 😀

✅ Не все знают, что большинство системных ошибок в Windows можно декодировать в более понятный текстовый вид с помощью встроенной утилиты certutil.exe. Например, для преобразования предыдущей ошибки в человеческий вид, нужно выполнить в командной строке:

certutil -error 0x80070422

Команда вернет более понятное описание:

ERROR_SERVICE_DISABLED

Error message text: The service cannot be started, either because it is disabled or because it has no enabled devices associated with it.

Теперь мы получили наводку о том, что этот код ошибки Windows Update cвязан с отключенной системной службой. Это сильно упрощает дальнейший траблшутинг. 👌

🖨Одной из распространённых проблем при использовании терминального сервера Windows (RDS), на который пробрасываются локальные принтеры с компьютеров пользователей, заключается в большом количестве неактивных TS портов печати от перенаправленных принтеров (Inactive TS Port), которые накапливаются со временем. Все это вызывает проблемы с производительностью RDSH хоста, пропаданию перенаправленных принтеров в сессиях пользователей и другим проблем со службой печати на терминале. Проблема плавающая и проявляется в первую очередь на RDS хостах с большим количеством сеансов (40+).

✅Для предотвращения таких проблем с печатью на терминальных серверах можно использовать следующие подходы:

🔹Пробрасывать с компьютера в RDP сессию пользователю только один принтер, назначенный по умолчанию (настраивается политикой). Это уменьшит количество создаваемых портов печати.
🔹С какой-то периодичностью скриптом очищать неактивные порты
🔹Регулярно перезагружать RDS хост. Это очищает TS порты печати.

Неактивные TS порты принтеров на RDS сервере

📏 По умолчанию при подключении к RDP сессии на Windows Server встроенным клиентом mstsc.exe, настройки масштабирования удаленного рабочего стола наследуются с компьютера клиента. Изменить настройки масштабирования в RDP сессии нельзя. Такое поведение может вызвать жалобы от пользователей с мониторами HiDPI (4к) на слишком мелкие (или наоборот слишком большие) шрифты, значки, тексты и другие элементы UI в окне удаленного рабочего стола.
✅ В Windows Server 2019,2016 можно отключить наследование настроек масштабирования с клиента с помощью параметра реестра IgnoreClientDesktopScaleFactor:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations" /f /v IgnoreClientDesktopScaleFactor /t REG_DWORD /d 1 

После этого можно задать параметры масштабирования в сессии пользователя через параметр LogPixels. Например, для 200% масштабирования нужно создать параметр со значением 192:

reg add "HKCU\Control Panel\Desktop" /f /v LogPixels /t REG_DWORD /d 192

🚫 В Windows Server 2022 и 2025 параметр IgnoreClientDesktopScaleFactor не работает (игнорируется), и параметры масштабирования рабочего стола DPI всегда берутся с клиента. Поэтому приходится на клиенте задавать настройки масштабирования, которые хорошо выглядят и на локальном компьютере, и в RDP сессии, либо использовать альтернативный RDP клиент.

Размер шрифта и масштабирование экрана в RDP (RDS) сессии

🪟В новой статье мы собрали основные рекомендации, которые могут быть полезны при развертывании Windows Server в виртуальной машине на гипервизоре Proxmox VE.

✅ Были рассмотрены типовые настройки виртуального оборудования, установка драйверов VirtIO, а также другие аспекты, которые позволят добиться стабильности и быстродействия Windows ВМ в среде Proxmox.

Базовые рекомендации по развертыванию Windows в виртуальной машине Proxmox

⚙️ В свежем релизе Proxmox VE 8.4 появилась возможность монтировать общие директории с хоста в виртуальные машины через файловую систему VirtioFS. Это позволяет виртуальным машинам напрямую получать доступ к директориям и папкам на локальном хосте без использования сетевых протоколов типа SMB или NFS.

✅ Принцип работы довольно простой:

1️⃣Создаем на Proxmox общую папку в разделе Datacenter -> Directory Mappings
2️⃣ Добавляем виртуальное устройство в VirtioFS в ВМ
3️⃣ Монтируем общую директорию с хоста в ВМ. В гостевых Linux поддержка virtiofs есть на уровне ядра, а в Windows придется установить драйвер VirtioFS (входит в образ virtio-win-.iso) и утилиту WinFsp для монтирования файловой системы.

Как настроить общие папки в Proxmox для доступа из ВМ через VirtioFS

📚Get-ADUser это наиболее часто используемый администраторами PowerShell командлет для получения информации о пользователях Active Directory, значениях их свойств, таких как имена пользователей, email адреса, контактной информации, должностях, организациях, активности, членстве в группах, и т.д.

ℹ️ Использование командлета требует наличия установленного модуля RSAT.ActiveDirectory. Модуль по умолчанию установлен на контроллерах домена, и может быть установлен на рядовые сервера и рабочие станции из набора компонентов RSAT.

Вывести все учетные записи пользователей в домене:

Get-ADUser -filter * 

По умолчанию выводятся только значения 10 базовых свойств аккаунтов. Чтобы вывести значения других атрибутов, их нужно указать в параметре -Properties. Например, вывести все свойства пользователя:

Get-ADUser -identity aivanov -Properties * 

Вывести только определенные поля:

Get-ADUser -identity aivanov -Properties company, Department, title | Select Name, company, Department

С помощью гибких фильтров (-Filter) можно быстро выбрать всех пользователей, соответствующих критериям. Например, вывести список включенных аккаунтов, у которых не заполнены email адреса:

Get-ADUser -Filter {(mail -eq "null") -and (Enabled -eq "true")}|Format-Table

Список учетных записей с истекшим сроком действия пароля:

Get-ADUser -filter {Enabled -eq $True} -properties name,passwordExpired | where {$_.PasswordExpired}|select name,passwordexpired 

✅ В статье рассмотрены примеры типовых команд для выборки пользователей по различным критериям, выгрузки отчетов в CSV/TXT файлы

Get-ADUser: получаем информацию о пользователях Active Directory с помощью PowerShell

Оптимизация настроек профилей, загружаемых модулей и окружения для более быстрого запуска PowerShell

⏳ На разных компьютерах периодически встречаю проблему очень долгого запуска консоли PowerShell, вплоть до нескольких минут. Это влияет как на запуск самой командной оболочки powershell.exe/pwsh.exe, так и на время выполнения PowerShell скриптов (бывает критично для логон скриптов).

⚙️ Измерить время чистого запуска оболочки powershell.exe в текущем профиле:

powershell -noprofile -ExecutionPolicy Bypass ( Measure-Command { powershell "Write-Host 1" } ).TotalSeconds 

Основные причины долгого запуска оболочки PowerShell:
🔹 Выполнение медленного кода из профилей пользователя, который загружается каждый раз при старте консоли
🔹 Большое количество установленных модулей, которые загружаются автоматически
🔹Проверка внешних списков отозванных сертификатов (CRL) установленных модулей (проблема встречается на изолированных от интернета компьютерах)

✅ Долго запускается консоль PowerShell или PS1 скрипты

🔑 Пользователь Active Directory (AD) при стандартной политике паролей не должен иметь пустой пароль, так такая политика задает обязательное требования на минимальный размер пароля и требования к сложности. Однако, если у учетной записи установлен флаг PASSWD_NOTREQD (пароль не требуется), то на такую учетную запись политика паролей не распространяется, и теоретически можно задать такому аккаунту пустой пароль.

⚠️ Включить флаг PASSWD_NOTREQD вручную может администратор или пользователь, которому делегированы права на управление аккаунтами. Поэтому необходимо контролировать наличие флага у учетных записей, и не допускать его наличие у привилегированных акантов.

✅ Вывести всех пользователей AD с включенным флагом PasswordNotRequired:

Get-ADUser -Filter {PasswordNotRequired -eq $true} -properties PasswordNotRequired | ft SamAccountName,enabled, PasswordNotRequired

Active Directory: поиск пользователей без пароля (PasswordNotRequired)

📚 Командлет Invoke-Command позволяет выполнять команды и запускать скрипты на одном или нескольких удалённых компьютерах одновременно (posh аналог psexec 💪). Он используется в рамках PowerShell Remoting, который базируется на службе Windows Remote Management (WinRM) и протоколе WS-Management, обеспечивая защищённое удалённое управление Windows-системами.

Возможности:
🔹 Позволяет выполнить команды на множестве компьютерах параллельно
🔹 Поддержка запуска нагрузки в фоновом режиме (-AsJob), не блокируя консоль
🔹 Поддерживает постоянные сессий PowerShell
🔹 В PowerShell Core (6+) может использовать SSH для подключения

Например, проверить состояние службы Windows Update на двух удалённых серверах

Invoke-Command -ComputerName Server01, Server02 -ScriptBlock { Get-Service wuauserv }

✅ Командлет Invoke-Command удобно использовать для выполнения массовых действий на множестве компьютеров: выполнение обновлений, проверок состояния служб, сбора логов, и других задач администрирования и мониторинга рабочих станций и серверов.

Запуск команд и скриптов на удаленных компьютерах через Invoke-Command

⚙️ На серверах с установленной Windows Server (разных версий) в доменной сети после перезагрузки можно встретить, что тип сети сам меняется с доменной (domain) на частную (private). Это может вызывать проблемы с доступностью сервера/служб, если к нему применяются кастомные доменные правила файервола.

⚠️ Проблема возникает, если при загрузке хост вовремя не получил ответа от DNS сервера, указанного в настройках сетевого адаптера. Поэтому такая проблема особо характерна для контроллеров домена, где в предпочтительных DNS прописан он сам. Поэтому в настройках DC нужно в качестве preferred DNS указывать другой DC, а в качестве альтернативного – себя. И не перезагружать все DC одновременно 😊

Либо подпирать такой случай костылем:

🔹 В версиях Windows Server 2016/2019 проблема решалось отложенным запуском службы NlaSvc (Network Location Awareness Service), так чтобы она запускалась после DNS.
🔹 В Windows Server 2025 служба NlaSvc по умолчанию отключена, поэтому в качестве костыля можно добавить в автозагрузку PowerShell скрипт, который ждет запуска службы DNS и перезапускает сетевой адаптер:

do {$status = (Get-Service dns)} until ($status.Status -eq 'Running'); Get-NetAdapter -Physical | Restart-NetAdapter

📚 Слетает доменный тип сети при перезагрузке Windows Server

💡 Основные утилиты и команды для проверки состояния ваших контроллеров домена Active Directory и репликации

📚 В статье подробно рассмотрены ключевые методы и инструменты для комплексной диагностики состояния контроллеров домена Active Directory и процессов репликации. Описаны стандартные утилиты Windows Server, dcdiag, repadmin, replmon, а также возможности PowerShell для мониторинга и выявления ошибок в инфраструктуре AD.

✅ Проверка здоровья контроллеров домена Active Directory и репликации

📈 Некоторый запущенные процессы могут сильно нагружать диск в Windows операциями ввода/вывода (до 100%), парализуя нормальную работу других приложений. В этой статье мы рассмотрим базовые инструменты Windows, которые можно использовать, чтобы найти процессы, который сильно нагружает дисковую подсистему.

🔸Task Manager и Process Explorer – могут вывести информацию об I/O процессов
🔸Resource Monitor – позволяет найти в какой именно файл идет активная запись/чтение
🔸 Счетчики производительности (Performance Counters) – можно получить информацию в реальном времени с помощью Performance Monitor (perfmon) или извлечь информацию счетчиков с помощью PowerShell. Например, вывести топ 10 процессов по дисковой активности:

Get-Counter '\Process(*)\IO Data Bytes/sec' | Select-Object -ExpandProperty CounterSamples | Sort-Object -Property CookedValue -Descending | Select-Object InstanceName, CookedValue -First 10 

✅ Ищем процессы, который сильно грузят диск в Windows

🎲В Windows 10 и 11 доступна функция использования случайных MAC-адресов при подключении к Wi-Fi сетям. Функция “Случайные аппаратные адреса” позволяет повысить сетевую анонимность, затруднить отслеживание устройства по уникальному аппаратному MAC адресу адаптера, что может быть особо актуально для общественных сетей.

При включении этой опции, Windows автоматически подменяет реальный MAC-адрес на рандомный при каждом подключении к Wi-Fi сети.

⚠️ В корпоративных сетях эта функция, наоборот, может вызывать головную боль для администраторов, если в сети используются политики доступа, основанный на MAC адресах (в том числе DHCP резервации).
✅ Отключить эту функцию можно вручную через панель Параметры, через реестр, или с помощью PowerShell скрипта (опция отключения рандомизации MAC адреса для Wi-FI в GPO отсутствует).

Включить/отключить рандомизацию MAC адреса для Wi-Fi подключений в Windows

📣 SysAdmin 2025: масштабная конференция для системных администраторов
Осенью в Москве пройдет конференция SysAdmin 2025 для системных администраторов, инженеров, специалистов поддержки и ИБ.

Доклады будут посвящены реальным практическим задачам в сферах:
🔸 Управление корпоративными рабочими местами Linux, Windows, macOS, смешанными средами
🔸Решения MDM/UEM/EMM
🔸Администрирование Apple
🔸Управление и мониторинг ИТ-инфраструктурой
🔸Информационная безопасность для системных администраторов;
🔸Миграция на Linux
🔸Организация работы ИТ отдела и поддержки

Заявляется 700+ гостей, ИТ-выставка, насыщенная программа, дружеская атмосфера, афтерпати с квизом и призами.
В общем, конференция будет интересной, можно будет познакомится с реальными кейсами компаний, узнать об актуальных инструментах и подходах в ИТ для сисадминов, задать вопросы и получить советы.

📅 Дата: 17 октября 2025
📍 Место: Москва, кластер «Ломоносов»
⏰ Формат: офлайн, всего один день
🎟 Участие: бесплатное, нужна предварительная регистрация на sysadminconf.ru

Есть возможность выступить со своим докладом (заявки на сайте или по почте [email protected])

#реклама
О рекламодателе

🛡Во встроенном Microsoft Defender Antivirus есть два способа автоматического обновления баз антивирусных сигнатур:

🔹 Через обновления Windows Update (обновление KB2267602, Security Intelligence Update for Microsoft Defender Antivirus). Обновление включает в себя как обновление движка, так и антивирусных баз
🔹Встроенный механизм Defender, который автоматически по расписанию напрямую проверяет наличие обновлений на серверах Microsoft

Эта PowerShell команда выведет последнюю дату обновления сигнатур и версию базы:

Get-MpComputerStatus | Select-Object AntivirusSignatureLastUpdated, AntivirusSignatureVersion|fl

Частота проверки обновлений и запланированное время (8 – указывает на ежедневное обновление сигнатур):

Get-MpPreference | Select-Object SignatureScheduleDay, SignatureScheduleTime

SignatureScheduleDay SignatureScheduleTime
-------------------- ---------------------
8 01:45:00

✅ В статье рассмотрены типовые проблемы, которые могут препятствовать автоматическому обновлению антивируса Defender в Windows и способ ручного обновления баз.

⚠️ Не обновляются базы антивируса Windows Defender

🛡 По умолчанию, начиная с Windows 11 22H2, на всех совместимых устройствах, соответствующих аппаратным требованиям (TPM 1.2 + UEFI + Secure Boot + CPU с расширенной виртуализацией) включается система защиты Credential Guard и Virtualization-Based security.

Credential Guard в Windows используется для защиты учетных записей от кражи и несанкционированного использования (в том числе атак Pass-the-Hash и Pass-the-Ticket). Защита Credential Guard реализуется за счет изоляции NTLM хэшей, билетов Kerberos и других секретов в защищенной виртуальной среде (контейнерах) на базе виртуализации (Virtualization-Based Security, VBS). отделённой от основной операционной системы. Доступ к этим секретам имеет только привилегированное системное программное обеспечение, прошедшее проверку и работающие внутри защищённой виртуальной среды.

⚠️ В редких случаях Credential Guard может вызывать проблемы с выполнением аутентификации в legacy приложениях.

Проверить, включен ли Credential Guard на компьютере:

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning

Если команда вернула 1, значит Credential Guard включен.

⚙️ Если на компьютере включен режим блокировки UEFI lock, отключение Credential Guard потребует физический доступ к устройству для подтверждения изменений в UEFI и загрузчик.

Как отключить/включить Credential Guard в Windows 11

🏖 Отпуск не повод останавливать развитие 

Пока кто-то загорает, вы можете прокачать навыки и поднять себе грейд — отдыхая и учась в удобном ритме.

Видеокурсы Слёрма со скидкой -50% по промокоду LETO2025

🧠 Самообучение, практика, проверка заданий и сертификат после каждого курса.

Акция до 31 июля.

➡️ Забирайте курсы и возвращайтесь из отпуска не только с загаром, но и с обновлённым стеком: забрать курсы по ссылке.

📁SMB (Server Message Block) это клиент-серверный протокол, широко используемый в локальных сетях Windows для общего доступа к файлам, принтерами и другими ресурсами. На данный момент в Windows поддерживается несколько версий SMB, причем SMBv1 является устаревшим, и по-умолчанию отключен в современных ОС из-за известных критических уязвимостей

⚠️Microsoft настоятельно рекомендует отключать SMBv1 и переходить на SMBv2 или SMBv3 для повышения безопасности и производительности сети.

📝Для сканирования сети с целью получения информации об устройствах с включенным SMB-сервером и поддерживаемым версиями протокола можно использовать nmap.

$ nmap -p445 --script smb-protocols 192.168.31.0/24 -Pn --open

Скрипт smb-protocols выполняет проверку следующих версия SMB:
🔹NT LM 0.12 (SMBv1)
🔹2.0.2 и 2.1 (SMBv2)
🔹 3.0, 3.0.2 и 3.1.1 (SMBv3)

⚙️ В статье рассмотрены основные версии (диалекты) протокола SMB, их поддержка в версиях Samba, почему нужно отключать SMBv1 и как правильно включить/отключить SMBv1, SMBv2 и SMBv3 в Windows.

Версии протокола SMB в Windows

🛡В Windows 11 24H2 появилась встроенная команда sudo для удобного повышения привилегий из командной строки. Ранее для запуска команд с повышенными привилегиями приходилось открывать отдельный экземпляр cmd/powershell, запущенный с правами администратора.

✅ Sudo позволяет повысить привилегии при запуске определенных программ команд из обычной (непривилегированной) командой строки. Например:

sudo net stop iphlpsvc

При попытке повысить привилегии через sudo появляется стандартное окно безопасности UAC, где пользователь должен подтвердить действие.

⚙️ По умолчанию поддержка sudo отключена. Включается в параметрах Windows ( Settings -> System -> For developers -> Enable sudo )

Режим запуска привилегированных процессов можно задать в настройках sudo. По умолчанию привилегированные команды запускаются в отдельном окне. Пользователь может переопределить стандартные настройки, или использовать параметр --inline, чтобы принудительно выполнить привилегированную команду в текущей консоли:

sudo --inline net stop iphlpsvc

Команда sudo в Windows