Windows Server 2025 Kurulum Rehberi: Adım Adım

Windows Server 2025 kurulumu, Microsoft’un tarif ettiği sırayla dört işte biter: doğru sürümü ve kurulum seçeneğini seçmek, sunucuya sabit bir adres ve kalıcı bir ad vermek, saatini ve yamalarını doğrulamak, rolü ancak bunlardan sonra kurmak. Bu rehberdeki her adımı yeni lab sunucumuz dc01 üzerinde kurarak ölçtüm. Ekranlar, varsayılan değerler ve tuzaklar o makineden geliyor. Rehberin sonunda sunucu, Active Directory kurulumu gibi bir rolü almaya hazır.

Kurulum bitmiş bir sunucuyu, inşaatı yeni bitmiş bir belediye binasına benzetiyorum. Usta anahtarı teslim etmiştir ama kapıdaki tabela yuvası boştur, kapı numarası henüz verilmemiştir, duvar saati fabrikadan geldiği saat diliminde çalışır. Belediye daireleri, yani roller, ancak bina tabelasını, adresini ve saatini aldıktan sonra taşınır. Bu yazının bütün ayarları bu teslim anının işleridir.

Sunucuların kurulumunu, yamasını ve izlenmesini BT sistem yönetimi hizmetimizde nasıl yürüttüğümüzü ayrıca anlattık. Bu rehber, aynı işi kendi ekibinizle yapmak isteyenler içindir.

Windows Server Kurulumu Neden İlk Ayarlarla Biter?

Kurulum sihirbazı bittiğinde sunucu çalışır ama rol almaya hazır değildir, çünkü fabrika ayarları bir sunucu için yanlış değerlerle gelir. dc01’i kurduğum gece ilk girişte ölçtüklerim şunlardı:

1. Ad rastgele: sunucu WIN-50BBS3GQROM adıyla açıldı.
2. Adres DHCP’den: IP adresi modemin dağıttığı adresti.
3. Saat dilimi Pasifik: “Turkish (Türkiye)” biçimini seçmiş olmama rağmen kilit ekranı İstanbul’da 8 Ekim 00:25 iken “14:25, 7 Ekim” gösterdi.
4. Yamalar dokuz ay geride: ISO dosyasındaki güncellemeler 14 Ocak 2026 tarihliydi. Windows Update ise hiç denetlemeden “You’re up to date” diyordu.

Bu dört değerden biri yanlış kalırsa sorun rol kurulduktan sonra ortaya çıkar. Ad değişirse DNS kayıtları ve sertifikalar eski adı gösterir. Adres değişirse bağlanan istemciler sunucuyu bulamaz. Saat yanlışsa günlükler olayı yanlış saatte gösterir. Yama eksikse bilinen açıklar açık bir hizmetin içinde durur. Örnekteki binada bu, daireler taşındıktan sonra tabelayı ve kapı numarasını değiştirmeye benzer: herkesin adres defteri bir anda eskir.

Windows Server Kurulumu Nasıl Olmalı?

Doğru düzende rol en son gelir. Önce kurulum seçeneği baştan doğru seçilir ve sunucu sabit IP, kalıcı ad ve doğru saat dilimiyle yamalanır. Ardından yerleşik yönetici hesabı kilitlemeyle korunur ve Uzak Masaüstü yalnız yönetim ağına açılır.

Bu düzeni dört kaynak birlikte tarif ediyor:

1. Microsoft, Server Core kurulumunu önerir. Kurulumdan sonra Server Core ile Desktop Experience arasında geçiş yoktur.
   Microsoft Learn, Install options, Nisan 2025.
2. Microsoft’a göre ilk ve tek domain controller DNS olarak kendi IP adresini gösterir. Bir DC’ye internet servis sağlayıcısının DNS’i yazılmaz.
   Microsoft Learn, KB 825036, Şubat 2026.
3. Microsoft’un Security Baseline’ı en kısa parolayı 14 karakter ister, 3 hatalı denemede hesabı 15 dakika kilitler ve kilitlemeyi yerleşik Administrator hesabına da uygular.
   Microsoft Security Baseline, v2602.
4. Kâr amacı gütmeyen Center for Internet Security’nin (CIS) sertleştirme kılavuzu, yerleşik yönetici hesabının adının değiştirilmesini ve Uzak Masaüstü’nde Network Level Authentication açılmasını ister.
   CIS Windows Server 2025 Benchmark, v2.1.0.

Aşağıdaki tablo, fabrika ayarıyla olması gerekeni yan yana koyuyor. “Fabrika ayarı” sütunu dc01’de ölçtüğüm değerdir:

Tablonun son satırı, Uzak Masaüstü’nün neden açılırken değil açıldıktan sonra daraltıldığını gösteriyor. Bunu Uzak Masaüstü bölümünde ölçtüm.

Hangi Sürüm, Hangi Kurulum Seçeneği?

Sürüm lisansın, kurulum seçeneği yönetim biçiminin kararıdır ve ikincisi sonradan değiştirilemez. Windows Server 2025’te üç sürüm satılır:

Lisans çekirdek başınadır: sunucudaki bütün fiziksel çekirdekler lisanslanır ve sunucu başına en az 16 çekirdek sayılır. Standard’ın iki sanal makine hakkı katlanarak artırılabilir. Microsoft’un ABD liste fiyatlarıyla 16 çekirdekli bir sunucuda Datacenter yaklaşık 11 sanal makineden sonra Standard’dan ucuza gelir. Türkiye’deki kanal fiyatları farklıdır, hesabı kendi teklifinizle yapın. Ayrıntıları Microsoft lisanslama yazımızda anlattık.

Kurulum seçeneğinde Microsoft’un tavsiyesi Server Core’dur ve kurulum ekranı da bunu söyler: Core varsayılan seçili gelir ve altında “(Recommended)” yazar. Core daha küçük bir saldırı yüzeyi ve yaklaşık 4 GB daha az disk demektir. Bellek ihtiyacı ise 2025’te ikisinde de en az 2 GB’tır. Sahada küçük ve orta ölçekli işletmelerin sunucularının çoğu Desktop Experience ile kurulur, çünkü yöneticiler Server Manager ve konsollarla çalışır. Bu rehber de Desktop Experience ile ilerliyor.

Kararı kurulumda verin: Microsoft’un kendi sözüyle, kurulumdan sonra Core ile Desktop Experience arasında geçiş yoktur ve yeniden kurulum gerekir.

Evaluation Sürümü Ne Zaman Kullanılır?

Evaluation sürümü test ve lab içindir, canlıda bir domain controller için hiç kullanılmamalıdır. Kurallar şunlardır:

1. İndirme kayıtla yapılır. Microsoft Evaluation Center form doldurmadan indirmeye izin vermez.
2. İlk 10 günde internetten etkinleşmelidir, yoksa sunucu kendiliğinden kapanmaya başlar. İnternete kapalı bir lab’da bu süre önemlidir.
3. 180 gün çalışır ve bir kez uzatılır. dc01’de slmgr /dlv komutu “Remaining Windows rearm count: 1” döndürdü, yani en çok 360 gün.
4. Lisanslı sürüme DISM /Set-Edition ile geçilir. Önce DISM /online /Get-TargetEditions ile hangi sürüme geçilebildiğine bakılır.
5. Domain controller olmuş bir evaluation kurulumu lisanslı sürüme çevrilemez. Microsoft’un önerdiği yol, lisanslı sürümle ikinci bir DC kurup rolleri ona taşımaktır.

dc01 bir lab sunucusu olduğu için evaluation ISO dosyasıyla kuruldu. Canlıda aynı ISO’yla DC kurulursa beşinci madde geri dönüşü kapatır.

Kurulum Medyası Hazırlama

ISO dosyası lisans kanalınıza göre üç yerden gelir:

1. Microsoft Evaluation Center: evaluation sürümü, kayıtla.
2. Microsoft 365 yönetim merkezi: toplu lisans (Volume Licensing) sahipleri için. Eski Volume Licensing Service Center (VLSC) Nisan 2024’te kapandı ve indirmeler buraya taşındı.
3. Visual Studio abonelikleri: geliştirici abonelikleri için.

Evaluation ISO’su Türkçe gelmez: diller arasında İngilizce, Almanca, Fransızca gibi sekiz dil vardır. Kurulum dilini İngilizce seçmek zaten iyi bir tercihtir, çünkü hata mesajları ve olay kayıtları Microsoft’un belgeleriyle birebir eşleşir.

Fiziksel sunucuya kuracaksanız en az 8 GB’lık bir USB bellek gerekir. Microsoft kendi belgesinde PowerShell ile hazırlanan bir USB yöntemi verir. FAT32’nin 4 GB dosya sınırı yüzünden install.wim dosyası bölünür. Rufus da aynı işi yapar: bölüm düzeni GPT (UEFI) seçilir. Kurulumda “Windows cannot be installed to this disk” hatası çıkıyorsa bölüm düzeni ile BIOS modu uyuşmuyordur.

Windows Server 2025 Kurulumu Adım Adım

Kurulum sihirbazı 2025’te yenilendi ve eski rehberlerdeki bazı ekranlar artık yok. Ekranlar aşağıdaki sırayla gelir. Yalnız karar verdiğiniz sayfaları gösteriyorum.

Dil, Biçim ve Klavye

İlk ekranda üç ayar vardır:

1. Language to install: English (United States).
2. Time and currency format: Turkish (Türkiye). Bu ayar tarih, saat ve para biçimini Türkçe gösterir. Saat dilimini değiştirmez: dc01 bu ayarla da Pasifik saatiyle açıldı.
3. Keyboard or input method: biçimden kendiliğinden Turkish Q gelir.

Kurulum Seçeneği: Install Windows Server

Select setup option sayfasında iki seçenek vardır: Install Windows Server ve Repair my PC. Eski sürümlerdeki Upgrade seçeneği bu sayfada yoktur. Yerinde yükseltme, çalışan sistemin içinden setup.exe başlatılarak yapılır ve Microsoft domain controller’lar için yerinde yükseltme önermez.

Install Windows Server seçilir ve “I agree everything will be deleted including files, apps, and settings” kutusu işaretlenir. Kutu işaretlenmeden Next düğmesi açılmaz. Sayfanın altındaki Previous Version of Setup bağlantısı eski sihirbazı açar.

Perakende ya da toplu lisans ISO’larında bu sayfadan sonra Choose a licensing method sayfası gelir: ürün anahtarı ya da Azure aboneliğiyle kullandıkça öde. Evaluation ISO’su bu sayfayı atlar.

Sürüm Seçimi

Select Image sayfası dört seçenek sunar. Adında “Desktop Experience” geçmeyen seçenekler Server Core’dur. Varsayılan seçim Standard Evaluation (Core) gelir ve açıklamasında “(Recommended)” yazar. Lisansınıza uygun sürümün Desktop Experience satırını seçin.

Ardından gelen lisans sayfasında Accept denir. Lisans metninin başında tanılama verisi anlatılır ve varsayılanın “Required” olduğu yazar. Birazdan bu varsayılanın ilk girişte başka geldiğini göreceğiz.

Disk Seçimi

Select location to install Windows Server sayfasında Windows’un kurulacağı disk seçilir. Birden fazla disk varsa işletim sistemi diskini boyutuyla tanıyın. Seçilen diskteki her şey silinir.

Disk listede görünmüyorsa Load Driver ile storage controller’ının sürücüsü yüklenir. Fiziksel sunuculardaki RAID denetleyicilerinde bu sık gerekir. dc01’in sanal NVMe diski sürücüsüz tanındı.

Ready to install sayfasında Install denir. Kurulum sırasında sunucu birkaç kez yeniden başlar ve müdahale gerekmez. Bitince Customize settings sayfasında yerleşik Administrator hesabının parolası belirlenir. Evaluation ISO’sunda Microsoft’un belgesinde anılan ikinci lisans ekranı çıkmadı.

İlk Girişte Tanılama Verisi

İlk girişte Send diagnostic data to Microsoft ekranı gelir. Bu ekran Include Optional seçeneğini seçili getirir. Oysa lisans metni varsayılanın “Required” olduğunu söylüyordu. Sunucu için Required only seçilip Accept denir.

Ardından Server Manager açılır ve üstünde Windows Admin Center ile Azure Arc’ı tanıtan bir pencere çıkar. “Don’t show this message again” kutusu işaretlenip kapatılabilir.

Windows Server İlk Yapılandırması

İlk yapılandırmanın bütün ayarları tek bir ekranda görünür: Server Manager’da sol menüden Local Server. Bu sayfadaki her mavi değer bir bağlantıdır ve o ayarın penceresini açar. Örnekteki binanın tabelası, kapı numarası ve duvar saati burada yan yana durur.

Sayfa 2025’te iki yeni satır taşıyor: Azure Arc Management ve Remote SSH Access. İkisi de kapalı gelir. Sıra şöyle olmalıdır: önce adres, sonra ad ve saat dilimi, ardından tek bir yeniden başlatma.

Sabit IP Adresi

Rol üstlenecek her sunucu sabit IP ile çalışır. DHCP’den adres alan bir sunucunun adresi kira bitince değişebilir. O zaman DNS kayıtları, sertifikalar ve sunucuya bağlanan her istemci yanlış adresi gösterir. IP adresi, alt ağ maskesi ve ağ geçidi kavramlarını IP adresi nedir yazımızda anlattık.

Local Server → Ethernet0 satırındaki bağlantı Network Connections penceresini açar. Win + R ile ncpa.cpl yazmak da aynı pencereye götürür. Bağdaştırıcıya sağ tıklanıp Properties, ardından Internet Protocol Version 4 (TCP/IPv4) → Properties açılır. Use the following IP address seçilip alanlar doldurulur:

1. IP address: sunucunun sabit adresi. Lab’da 192.168.1.10 yazdım.
2. Subnet mask: alt ağ maskesi. Tab’a basınca 255.255.255.0 kendiliğinden gelir.
3. Default gateway: ağın çıkış kapısı. Lab’da modemin adresi olan 192.168.1.1’i yazdım.
4. Preferred DNS server: sunucunun ad sorgularını soracağı DNS. Lab’da şimdilik yine modemin adresini yazdım.

Sunucu domain controller olacaksa DNS alanına şimdilik çalışan bir DNS yazın ve DC olarak promote etmeden önce dokunmayın. Promotion sihirbazı bu adresi DNS forwarder olarak alır ve ağ kartının DNS ayarını kendisi değiştirir. Sonrasını Active Directory kurulumu yazımızda anlattık.

IPv6’ya ayrıca bakın. dc01’de IPv4 DNS’ini elle yazdıktan sonra modemin IPv6 DNS adresi ve lan DNS soneki listede kendiliğinden kaldı:

Get-DnsClientServerAddress -InterfaceAlias Ethernet0

InterfaceAlias InterfaceIndex AddressFamily ServerAddresses
-------------- -------------- ------------- ---------------
Ethernet0                   4 IPv4          {192.168.1.1}
Ethernet0                   4 IPv6          {2a02:...::1, 2a02:...::1}

Bu satır sunucu domain üyesi ya da DC olduğunda sorun çıkarır: ad sorgusu iç DNS yerine modeme giderse domain adı dışarıdan cevaplanır. Bunu eski lab’ımda yaşadım. Yeni bir sunucuyu domain’e almak istediğimde domain çözülmedi. IPv4 DNS alanında DC’nin adresi yazılıydı, ama Windows modemden gelen IPv6 DNS’i tercih etti ve soru dışarı gitti. Katılma DNS_INFO_NO_RECORDS (0x0000251D) hatasıyla düştü, çünkü DC’yi gösteren _ldap._tcp.dc._msdcs kaydı bulunamadı. O sunucuda ağ kartındaki IPv6’yı kapatarak çözdüm:

Disable-NetAdapterBinding -Name "Ethernet0" -ComponentID ms_tcpip6

Kesinlikle IPv6 kullanmayacaksanız domain üyesi sunucuda aynı yolu seçebilirsiniz. Seçmeden önce şunları bilin:

1. Microsoft IPv6’yı kapatmayı önermez. Ağ kartından kaldırmayı desteklenmeyen bir yapılandırma sayar ve domain controller’da LDAP’ın UDP 389 üzerinden çalışmayı bırakabileceğini ayrıca yazar. Bu yüzden dc01’de IPv6 açık kaldı.
2. Sorunun kaynağı IPv6’nın kendisi değil, IPv6 DNS alanına modemden kendiliğinden gelen adrestir. Modemin IPv6 DNS dağıtımını kapatmak, IPv6’ya dokunmadan aynı sorunu çözer.
3. İlk DC’de bu satır promotion’la düzelir, ek DC’de düzelmez. dc01 DC olunca IPv6 DNS alanı kendiliğinden ::1 oldu. Ek DC ise promotion’dan önce domain’i bulmak zorundadır: dc02’de modemin IPv6 DNS’i buna engel oldu ve IPv6 DNS alanına ::1’i elle yazdım. Ayrıntısı Active Directory kurulumu yazımızda.

DNS’in çalışma mantığını DNS nedir yazımızda anlattık.

Bilgisayar Adı

Bilgisayar adı rol kurulmadan önce verilir. Microsoft domain controller’ın adının DC olarak promote etmeden önce, sertifika otoritesinin adının da AD CS kurulmadan önce verilmesini ister. Sonradan değiştirmek mümkündür ama ek adım gerektirir.

Local Server → Computer name bağlantısı System Properties penceresini açar. Win + R ile sysdm.cpl de aynı yere götürür. Computer description alanına sunucunun işini yazın. Sunucu listelerinde ve Active Directory’de bu açıklama görünür. Ardından Change ile ad değiştirme penceresi açılır:

1. Computer name: en çok 15 karakter. Harf, rakam ve tire kullanılır, yalnız rakamdan oluşan ad domain üyesinde kullanılamaz. Lab’da dc01 verdim.
2. Member of: şimdilik Workgroup kalır. Sunucuyu aynı pencereden domain’e katmak isterseniz ad değişikliği ve katılım tek yeniden başlatmada biter. Katılımın ön koşullarını bilgisayarı domain’e ekleme yazımızda anlattık.

OK dendiğinde “You must restart your computer” uyarısı gelir. Hemen yeniden başlatmayın, önce saat dilimini ayarlayın. İki iş tek yeniden başlatmada biter.

Saat Dilimi

Saat dilimini kurulum biçimi değil siz belirlersiniz. Microsoft’un kurulum belgesine göre dil İngilizce (ABD) seçilince saat dilimi Pasifik gelir. Biçimi Türkçe yapmak bunu değiştirmez.

Local Server → Time zone bağlantısı Date and Time penceresini açar. Win + R ile timedate.cpl de aynı yere götürür. Change time zone ile listeden (UTC+03:00) Istanbul seçilir.

Pencere değişikliğin ne yaptığını açıkça gösteriyor: “Current date and time: 7 Ekim 2026 Çarşamba, 14:41” satırının altında “New date and time: 8 Ekim 2026 Perşembe, 00:41” yazıyor. Saat dilimi on saat kaydığı için tarih de değişti. Örnekteki binada duvar saati doğru çalışıyordu, yalnız başka bir şehrin saatini gösteriyordu.

Yanlış saat dilimi tek başına Kerberos kimlik doğrulamasını bozmaz. Kerberos zaman damgalarını UTC ile taşır ve UTC saat doğruysa beş dakikalık sınır aşılmaz. Asıl tehlike, saati düzeltmek için saat dilimi yerine saatin kendisini ileri almaktır. O zaman UTC kayar ve Kerberos durur. Mekanizmayı Kerberos nedir yazımızda ölçümle anlattık. Yanlış saat dilimi günlükleri ve zamanlanmış görevleri yanlış saatte gösterir. Bir olayı incelerken bu yeterince zarardır.

Pencereyi kapatıp ad değişikliğinin beklediği yeniden başlatmayı yapın. Sunucu açıldığında ad ve adres şu komutlarla doğrulanır:

hostname
ipconfig
ping -n 2 8.8.8.8

dc01
...
   IPv4 Address. . . . . . . . . . . : 192.168.1.10
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 192.168.1.1
...
Reply from 8.8.8.8: bytes=32 time=15ms TTL=116
Reply from 8.8.8.8: bytes=32 time=14ms TTL=116

Satırlar sırayla şunu söylüyor:

1. dc01: yeni ad geçerli.
2. 192.168.1.10 ve 255.255.255.0: sabit adres yerinde.
3. Reply from 8.8.8.8: ağ geçidi doğru ve sunucu internete çıkıyor.

Saat Kaynağı (NTP)

Domain’e katılmamış bir sunucu saatini time.windows.com’dan alır. dc01’de ölçtüğüm değerler şunlardı:

w32tm /query /status

Stratum: 5 (secondary reference - syncd by (S)NTP)
ReferenceId: 0x14653909 (source IP:  20.101.57.9)
Last Successful Sync Time: 8.10.2026 00:47:19
Source: time.windows.com,0x8
Poll Interval: 7 (128s)

Satırlar sırayla şunu söylüyor:

1. Source: saat kaynağı time.windows.com, 0x8 bayrağıyla istemci modunda.
2. Last Successful Sync Time: son eşitleme saati. Güncel bir zaman görünüyorsa eşitleme çalışıyor.
3. Poll Interval: sunucu kaynağa 128 saniyede bir soruyor. Bu aralık 64 ile 1024 saniye arasında kendiliğinden ayarlanır.

Server 2025, saati TLS bağlantılarından tahmin eden Secure Time Seeding özelliğini kapalı getirir (UtilizeSslTimeData değeri 0). Microsoft bunu yalnız bu sürüm için böyle yapıyor. Saat tek kaynaktan, NTP’den gelir.

Sunucu domain’e katılınca saatini domain hiyerarşisinden alır ve buradaki ayar kendiliğinden değişir. Domain controller olunca da değişir: dc01 forest’in ilk DC’si olduktan sonra w32tm /query /source artık Local CMOS Clock yazdı ve event log’a 12 numaralı Time-Service uyarısı düştü. Üstünde başka DC olmayan sunucu saati kendi donanım saatinden alıyordu. Bu yüzden forest’in ilk DC’si saatini dış ya da iç bir NTP kaynağından alacak biçimde ayrıca yapılandırılır.

Adımlarını Active Directory kurulumu yazımızda anlattık. Kurumun saat düzenini NTP nedir, ayrı bir zaman sunucusunu Linux NTP sunucusu kurulumu yazılarımızda anlattık.

Kaynağı elle vermek gerekirse komut şudur. Hizmetin adı w32time’dır, w32tm komut aracının adıdır:

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /update
net stop w32time && net start w32time
w32tm /resync

Windows Update: “You’re up to date” Yazısına Güvenmeyin

Sunucu rol almadan önce güncellenir, çünkü kurulum ISO dosyası her zaman eskidir. dc01’in ISO dosyası Ocak 2026 tarihliydi, sunucu ise Ekim 2026’da kuruldu.

Win + R ile control update yazınca Windows Update açılır. dc01’de ilk açılışta ekran “You’re up to date” diyordu. Oysa sunucu güncellemeleri henüz hiç denetlememişti: Local Server sayfasında “Last checked for updates: Never” yazıyordu.

Check for updates dediğimde ekran değişti: “Your device is missing important security updates”. Listede 2026-09 güvenlik güncellemesi (KB5122871), .NET güncellemesi ve Defender imzaları vardı.

Güncellemeler bitince ekran Restart now ister. Canlıda yeniden başlatmayı bakım saatine bırakın.

Komut satırı yolu da vardır ama sanıldığı gibi değil. Server 2025’te Windows Update için kurulu bir PowerShell modülü yok: dc01’de ne Microsoft’un WindowsUpdateProvider modülü ne de PSWindowsUpdate vardı. Microsoft’un yerleşik yolu SConfig’tir ve Desktop Experience’ta da çalışır:

SConfig

Açılan menüde 6 (Install updates) seçilir, ardından güvenlik ve kalite güncellemeleri için 1 girilir. İnternette sık önerilen PSWindowsUpdate ise Microsoft’un değil, PowerShell Gallery’deki bir topluluk modülüdür. Kullanacaksanız bunu bilerek kullanın.

Temel Güvenlik Sıkılaştırma

Sunucu ağa bağlandığı anda saldırı yüzeyi oluşur. Rol kurulmadan önce üç iş yapılır:

1. Yerleşik yönetici hesabı korunur.
2. Parola ve kilitleme kuralları sıkılaştırılır. DC olacak sunucuda bu iş promotion’dan sonraya kalır.
3. Uzak Masaüstü yönetim ağıyla sınırlanır.

Sıkılaştırma Neden Kurulumdan Sonra Yapılır?

Kurulum sihirbazı bu ayarların hiçbirini sormaz, ama sıranın asıl sebebi dc01’de ölçtüğüm iki davranıştır:

1. Kimliğe dokunan ayar açık oturumu bozar. Yerleşik hesabın adı oturum açıkken değişince aynı oturumda güvenlik duvarı komutu ve Defender güncellemesi 0x80070534 ile düştü (teşhisi aşağıda). Ad, IP ve saat oturduktan sonra yapılan sıkılaştırma tek bir oturum kapatma ya da yeniden başlatmayla biter.
2. Sunucu DC olacaksa local policy yerini domain policy’ye bırakır. Kurulumda net accounts 10 hatalı denemede kilitleme gösteriyordu. dc01 DC olduktan sonra geçerli olan Default Domain Policy’de kilitleme eşiği 0’dı, yani kilitleme kapanmıştı. Promotion’dan önce local policy’ye yazılan parola ve kilitleme kuralı DC’de geçerli kalmaz.

Yerleşik Administrator Hesabı

Yerleşik Administrator hesabı her Windows’ta aynı adla ve aynı güvenlik tanımlayıcısıyla (SID) gelir. Kaynaklar onu farklı biçimde korur:

1. CIS 2.3.1.3 yeniden adlandırmayı ister. CIS’in kendi gerekçe metni de değerin sınırlı olduğunu söylüyor: hesabın SID’i herkesçe bilinir ve bazı araçlar adı değil SID’i kullanarak giriş dener.
2. Microsoft’un Server 2025 temel çizgisi hesabı yeniden adlandırmaz. Onun yerine yerleşik Administrator dahil 3 hatalı denemede 15 dakikalık kilitleme koyar.
3. Windows LAPS yerleşiktir. Server 2025’te kurulum gerektirmez. Domain üyesi sunucuda yerel yönetici parolasını düzenli değiştirip Active Directory’de saklar, DC’de DSRM parolasını yönetir. Domain’e katılmamış sunucuda çalışmaz. Kurulumunu LAPS kurulumu rehberinde anlattım.

Lab’da hesabı yeniden adlandırdım. Kilitlemenin nasıl sıkılaştırıldığını bir sonraki bölümde anlatıyorum. Yeniden adlandırmak için Win + R ile lusrmgr.msc açılır. Users altında Administrator’a sağ tıklanıp Rename seçilir ve yeni ad yazılır. Lab’da sistemkusuadm adını verdim.

Hesap Administrators grubunun üyesi kalır, yetki kaybı olmaz. Genel sekmede Password never expires kutusu yerleşik hesapta işaretli gelir. Parolanın değişmesini LAPS ya da parola yöneticiniz üstlenir.

Yeniden adlandırdıktan sonra oturumu kapatıp açın. dc01’de adı oturum açıkken değiştirdim ve sonucunu ölçtüm: oturum eski adla açık kaldı, aynı oturumda iki iş düştü. Teşhisini 0x80070534 bölümünde anlattım.

Parola ve Hesap Kilitleme

Domain’e katılmamış bir sunucuda parola kuralları yerel güvenlik ilkesindedir. dc01’de fabrika ayarı şuydu:

net accounts

Minimum password length:                              0
Lockout threshold:                                    10
Lockout duration (minutes):                           10
Lockout observation window (minutes):                 10

Kilitleme 10 denemede açık geliyor. Bu, Microsoft’un Ekim 2022’den beri yeni kurulumlara koyduğu varsayılandır. En kısa parola uzunluğu ise 0’dır. Microsoft’un temel çizgisi ve CIS 1.1.4 en az 14 karakter ister. Domain’e katılmayacak tek bir sunucu için komut şudur:

net accounts /minpwlen:14 /lockoutthreshold:3 /lockoutduration:15 /lockoutwindow:15

Yerleşik Administrator hesabının da kilitlenmesi için yerel güvenlik ilkesinde Account lockout policy → Allow Administrator account lockout açılır. Bu kilit yalnız ağdan ve Uzak Masaüstü’nden gelen girişleri durdurur. Konsoldan giriş kilit süresinde de çalışır, yani acil durum yolu açık kalır.

Sunucu DC olacaksa bu komutu çalıştırmayın, çünkü promotion’dan sonra domain policy geçerli olur. Kural DC olduktan sonra Group Policy Management’ta Default Domain Policy → Edit → Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies altına yazılır. dc01’de kilitlemeyi orada 3 deneme ve 15 dakikaya çektim. Eşiği 3 yazınca Windows süreler için 10 dakika önerdi ve Allow Administrator account lockout’u kendiliğinden açtı.

Uzak Masaüstü (RDP) Yapılandırması

Uzak Masaüstü kapalı gelir. Açıldığında güvenli giriş zaten açıktır ama kapsam açık değildir. Local Server → Remote Desktop bağlantısı ya da sysdm.cpl → Remote sekmesinde Allow remote connections to this computer seçilir.

Allow connections only from computers running Remote Desktop with Network Level Authentication kutusu dc01’de bağlantı kapalıyken bile işaretliydi. Network Level Authentication (NLA), oturum ekranı açılmadan önce kimlik doğrulamayı zorunlu kılar. CIS 18.10.57.3.9.4 bunu ister ve bu kutu işaretli kalmalıdır. RDP’nin nasıl çalıştığını RDP nedir yazımızda anlattık.

Bağlantıya izin verince Windows bir uyarı gösterir: “You chose to enable Remote Desktop Connection for all network connections on this computer”. Güvenlik duvarında üç kural açılır ve üçü de bütün profillerde, bütün adreslere açıktır. Yani RDP, Public profil dahil her ağdan erişilebilir hâle gelir.

Kapsamı daraltmak için Win + R → wf.msc → Inbound Rules açılır. Filter by Group → Filter by Remote Desktop ile üç kural listelenir. Her birinin Properties → Scope sekmesinde Remote IP address altında These IP addresses seçilir ve yönetim ağı eklenir. Lab’da 192.168.1.0/24 ağını ekledim.

Aynı iş üç kurala birden tek komutla yapılır:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 192.168.1.0/24
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter | Format-Table InstanceID,RemoteAddress

InstanceID                    RemoteAddress
----------                    -------------
RemoteDesktop-UserMode-In-UDP 192.168.1.0/255.255.255.0
RemoteDesktop-Shadow-In-TCP   192.168.1.0/255.255.255.0
RemoteDesktop-UserMode-In-TCP 192.168.1.0/255.255.255.0

Bu rehberin önceki sürümü bunun yerine New-NetFirewallRule ile yeni bir izin kuralı eklemeyi öneriyordu. Bu hiçbir şeyi kısıtlamaz: Windows Firewall’da izin kuralları birleşir, açık duran hazır kurallar her adrese izin vermeye devam eder. Kısıtlama hazır kuralların kendi kapsamında yapılır.

Windows Defender Firewall

Windows Defender Firewall açık gelir ve kapatılmaz. Microsoft güvenlik duvarını kapatmayı desteklemez, çünkü IPsec kuralları ve önyükleme filtreleri de onunla birlikte devre dışı kalır. Varsayılan davranış, gelen bağlantıyı bir kural izin vermedikçe engellemek, gideni serbest bırakmaktır.

wf.msc açılınca üç profil görünür: Domain, Private ve Public. dc01’de etkin profil Public’ti, çünkü Windows tanımadığı her ağı Public sayar. Domain profili, sunucu domain’e katılıp bir DC bulunca kendiliğinden devreye girer ve elle seçilemez.

Etkin profili komutla görmek için:

Get-NetConnectionProfile | Format-List Name,NetworkCategory

Rol kurulumları kendi kurallarını bu listeye kendisi ekler. Yeni bir kural yazmadan önce mevcut kuralın kapsamını daraltmak çoğu zaman yeterlidir.

Rol Yükleme

Windows Server üzerine kurulan her hizmet aynı sihirbazla gelir: AD DS, DHCP, DNS, File Server. Server Manager’da Manage → Add Roles and Features seçilir.

Sihirbazın ilk sayfası üç ön koşulu hatırlatır. Bu rehberin önceki bölümleri bu üçünü ele aldı:

1. The Administrator account has a strong password: yönetici hesabının güçlü bir parolası var.
2. Network settings, such as static IP addresses, are configured: sabit IP verildi.
3. The most current security updates from Windows Update are installed: güncel güvenlik güncellemeleri kurulu. dc01’de .NET ve Defender güncellemeleri kuruldu, Eylül güvenlik güncellemesi ise indirmede takıldı. Lab’da bununla devam ettim, canlıda rol kurmadan önce bu madde tamamlanır.

Installation Type sayfasında Role-based or feature-based installation seçilir. Diğer seçenek yalnız Remote Desktop Services altyapısı içindir. Server Selection sayfasında sunucu havuzunda yerel sunucu görünür, lab’da dc01 ve 192.168.1.10. Başka sunucuları Manage → Add Servers ile havuza ekleyip onlara da bu ekrandan rol kurabilirsiniz.

Server Roles sayfası Windows Server’ın bütün rollerini listeler. Bir rol seçildiğinde bağımlı özellikler kendiliğinden eklenir.

Buradan sonrası kurulacak role göre değişir:

1. Active Directory kurulumu: domain controller promotion, DNS ve ikinci DC.
2. Windows Server DHCP kurulumu: scope, rezervasyon ve failover.
3. Windows Server NPS kurulumu: RADIUS sunucusu.

Sihirbazın son sayfasındaki Export configuration settings bağlantısı seçimlerinizi bir XML dosyasına yazar. Aynı rolü başka sunuculara Install-WindowsFeature -ConfigurationFilePath ile aynı seçimlerle kurabilirsiniz.

PowerShell ile Aynı İş

Yukarıda ekranlardan yaptığım ayarların hepsi aşağıdaki birkaç satırla da yapılır. Değerler dc01’inkilerdir: adı dc01, adresi 192.168.1.10, saat dilimi İstanbul. Birden fazla sunucu kuruyorsanız ya da masaüstü olmayan Server Core ile çalışıyorsanız bu satırları kendi değerlerinizle çalıştırmanız yeter.

dc01’i ekranlardan kurduğum için bu satırlardan yalnız Set-NetFirewallRule’u sunucuda çalıştırdım, çıktısı Uzak Masaüstü bölümünde. Diğer satırları çalıştırmadım, her biri yukarıdaki bir ekranın yaptığı işi yapar.

Komutlardaki Ethernet0, dc01’in ağ kartının adıdır. Sizin sunucunuzda kartın adı Ethernet ya da Ethernet 2 olabilir. Doğru adı Get-NetAdapter komutunun Name sütunu gösterir.

# Sabit IP ve DNS
New-NetIPAddress -InterfaceAlias "Ethernet0" -IPAddress 192.168.1.10 -PrefixLength 24 -DefaultGateway 192.168.1.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet0" -ServerAddresses 192.168.1.1

# Saat dilimi
Set-TimeZone -Id "Turkey Standard Time"

# Uzak Masaustu: ac, NLA acik kalsin, kapsami daralt
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections -Value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 192.168.1.0/24

# Yerlesik yonetici hesabi
Rename-LocalUser -Name "Administrator" -NewName "sistemkusuadm"

# Bilgisayar adi, en sonda ve tek yeniden baslatmayla
Rename-Computer -NewName "dc01" -Restart

Sıra bilerek böyle: yerleşik hesabın adını değiştirdikten sonra aynı oturumda başka iş yapmadan yeniden başlatmak, bir sonraki bölümdeki tuzağı da kapatır.

Doğrulama: Sunucu Rol Almaya Hazır mı?

Rol kurmadan önce şu sekiz maddeyi kontrol edin. Her biri yukarıda ölçtüğüm bir değere karşılık gelir:

1. hostname yeni adı döndürüyor.
2. ipconfig sabit IPv4 adresini ve ağ geçidini gösteriyor.
3. Get-DnsClientServerAddress çıktısında beklemediğiniz bir IPv6 DNS adresi yok.
4. Get-TimeZone Turkey Standard Time döndürüyor, kilit ekranındaki saat doğru.
5. w32tm /query /status güncel bir Last Successful Sync Time gösteriyor.
6. Windows Update Check for updates sonrasında bekleyen güncelleme göstermiyor.
7. net accounts en kısa parolayı 14, kilitlemeyi açık gösteriyor.
8. Uzak Masaüstü kurallarının uzak adresi yönetim ağıyla sınırlı.

Bir madde tutmuyorsa sorun büyük olasılıkla bir sonraki bölümdeki hatalardan birinde ya da ilgili bölümün uyarısındadır.

Windows Server Kurulumunda Sık Karşılaşılan Hatalar

Aşağıdaki üç hatayı lab’da gördüm. Her birinde hata metni, sebebi ve işe yarayan çözüm var.

0x80070534: No mapping between account names and security IDs

Bu hata, yerleşik Administrator hesabını oturum açıkken yeniden adlandırınca aynı oturumda çıkar. dc01’de hesabın adını sistemkusuadm yaptıktan hemen sonra iki iş düştü. Güvenlik duvarı komutu şu hatayı verdi:

Set-NetFirewallRule : No mapping between account names and security IDs was done.
    + FullyQualifiedErrorId : HRESULT 0x80070534,Set-NetFirewallRule

Aynı dakikada Defender imza güncellemesi “Install error - 0x80070534” ile düştü:

Sebep whoami çıktısında görünüyordu: oturum hâlâ dc01\administrator adıyla açıktı. O ad artık hiçbir hesaba karşılık gelmediği için, adı güvenlik tanımlayıcısına (SID) çeviren her işlem başarısız oluyordu. Oturumu kapatıp sistemkusuadm ile açınca aynı komut hatasız çalıştı ve Defender güncellemesi Retry ile kuruldu.

Çözüm tek cümledir: yerleşik hesabı yeniden adlandırdıktan sonra oturumu kapatıp yeni adla açın. Profil klasörü C:\Users\Administrator olarak kalır, bu normaldir.

The request to add or remove features on the specified server failed

dc01’e AD DS rolünü Add Roles and Features sihirbazıyla kurarken ilerleme %10 civarında kaldı. Dokuz dakika sonra sihirbaz şu hatayla durdu: “The request to add or remove features on the specified server failed.” Bildirimde başka ayrıntı yoktu.

Sebebi kesin değil. Sunucuda bekleyen bir yeniden başlatma yoktu, ama arka planda Windows Update bir güncellemeyi işliyordu. Rol kurulumu da güncelleme de aynı Windows hizmeti (TrustedInstaller) üzerinden yapılır. Aynı rolü iki dakika sonra PowerShell’le kurmak geçti:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Success Restart Needed Exit Code      Feature Result
------- -------------- ---------      --------------
True    No             Success        {Active Directory Domain Services, Group P...

Bu hatayı görürseniz önce Windows Update’in bir güncellemeyi kurup kurmadığına bakın. Kuruyorsa bitmesini bekleyin ya da rolü PowerShell’le kurun. Çıktıdaki Restart Needed: No, Microsoft’un AD DS rolü yeniden başlatma istemez notunu da doğruluyor.

DNS_INFO_NO_RECORDS (0x0000251D): Domain’e Katılırken Domain Bulunamıyor

Sunucuyu domain’e alırken katılma bu hatayla düşüyorsa, sunucu DC’yi gösteren _ldap._tcp.dc._msdcs kaydını bulamamıştır. Eski lab’ımda sebep IPv6’ydı: IPv4 DNS alanında DC’nin adresi yazılı olsa da Windows modemden gelen IPv6 DNS’i tercih etti. Teşhis için ipconfig /all çıktısındaki DNS Servers satırına bakın. Orada fe80:: ile başlayan ya da modeminizin IPv6 adresi görünüyorsa soru dışarı gidiyordur. Çözüm yollarını ve Microsoft’un uyarısını Sabit IP Adresi bölümünde anlattım.

Sonuç: Lab’da Beklenenden Farklı Çıkan Yedi Şey

dc01’i kurarken şu yedi şey beklediğimden farklı çıktı:

1. Türkçe biçim saat dilimini değiştirmedi. Sunucu Pasifik saatiyle açıldı, İstanbul’u elle seçtim.
2. Tanılama verisi varsayılanı lisans metniyle çelişti. Lisans “Required” diyor, ilk giriş ekranı Include Optional’ı seçili getiriyor.
3. Windows Update hiç denetlemeden “You’re up to date” dedi. Denetleyince bir aylık güvenlik güncellemesi eksik çıktı.
4. Evaluation sürümü bir kez uzatılabiliyor. slmgr /dlv “rearm count: 1” dedi. Bu rehberin önceki sürümündeki “5 kez” bilgisi bu derlemede tutmadı.
5. Uzak Masaüstü her adrese açıldı. NLA hazır geliyor, kapsam gelmiyor.
6. Modemin IPv6 DNS’i sabit IPv4 ayarına rağmen kaldı.
7. Yerleşik hesabın adını değiştirince aynı oturum bozuldu. Güvenlik duvarı komutu ve Defender güncellemesi 0x80070534 ile düştü, oturumu yenileyince düzeldi.

Girişteki benzetmeye dönersek: sunucu, anahtarı yeni teslim edilmiş belediye binasıydı. Tabela yuvasına adı (dc01), kapıya numarasını (192.168.1.10) taktık. Duvar saatini İstanbul’a çevirdik. Anahtarın kimde kalacağına da karar verdik: yerleşik hesabın adını değiştirdik ve onu kilitlemeyle korumanın yolunu gördük. Daireler, yani roller, artık taşınabilir. İlk daire genellikle Active Directory’dir. Kurduğunuz sunucunun yedeğini veri yedekleme ve felaket kurtarma yazımızdaki 3-2-1-1-0 kuralıyla planlayın. Sanallaştırma katmanını hypervisor nedir yazımızda anlattık. Windows Server’ın rolleri ve lisansı için Windows Server rehberimize dönebilirsiniz.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn