Windows Server 2025, şirket içi veri merkezlerinde çalışmaya devam eden Microsoft altyapıları için güvenlik, Active Directory, Hyper-V, depolama ve Azure Arc entegrasyonu açısından önemli yenilikler getiriyor. İlk duyuru döneminde bu yazıda özellikle Active Directory güvenlik gelişmelerini değerlendirmiştim. Ürün artık yayımlandığı için bu kez yalnızca özellik listesini değil, sistem yöneticilerinin geçiş planında dikkat etmesi gereken noktaları da ele almak istiyorum.
Microsoft bir yandan Azure ve Azure Local yatırımlarını artırırken diğer yandan klasik Windows Server platformunu geliştirmeye devam ediyor. Her iş yükünün Azure üzerinde çalışması gerekmiyor; kritik olan, veri merkezi ve bulut sistemlerini güvenlik ve yönetim açısından tutarlı bir mimaride birleştirebilmek.
Daha önce hazırladığım Windows Server 2022 yenilikleri yazısını da karşılaştırma için inceleyebilirsiniz. Windows Server 2025, 2022 ile güçlenen güvenlik yaklaşımını Active Directory, kimlik doğrulama ve ağ protokollerine daha fazla taşıyor.
Windows Server 2025 ile öne çıkan yenilikler
- Active Directory Domain Services (AD DS) ve AD LDS için yeni güvenlik ve ölçeklenebilirlik yetenekleri
- Kerberos, LDAP ve makine hesabı yönetiminde güvenlik iyileştirmeleri
- Uygun donanımlarda Credential Guard ve modern güvenlik korumaları
- Hyper-V üzerinde GPU Partitioning ve gelişmiş sanallaştırma olanakları
- SMB over QUIC, SMB güvenlik denetimleri ve dosya erişiminde yeni seçenekler
- NVMe depolama optimizasyonları ve Storage Replica sıkıştırması
- Azure Arc üzerinden yönetim, lisanslama seçenekleri ve uygun sunucularda Hotpatch
Active Directory yenilikleri: Kimlik altyapısı daha güvenli
Kerberos ve güçlü şifreleme
Windows Server 2025, Kerberos tarafında RFC 8009 kapsamındaki AES-SHA256 ve AES-SHA384 algoritmalarına destek ekliyor. RC4 ise artık kullanılmaması gereken eski algoritmalar arasında değerlendiriliyor. Bunun anlamı tüm eski istemcilerin bir anda problemsiz çalışacağı değildir: mevcut servis hesaplarını, SPN yapılandırmalarını, cihaz bağımlılıklarını ve Kerberos şifreleme tiplerini incelemeden RC4 kullanımını topluca kapatmak kesintilere yol açabilir.
PKINIT uygulamasındaki algoritma esnekliği de kimlik doğrulamanın daha modern kriptografik seçeneklerle ilerlemesini sağlıyor. Özellikle sertifika tabanlı oturum açma kullanan ortamlarda istemci, etki alanı denetleyicisi ve sertifika altyapısı birlikte değerlendirilmelidir.
LDAP güvenliği, TLS 1.3 ve gizli öznitelikler
LDAP üzerinden hassas bilgilerin işlenmesinde korumalar güçlendirildi. Gizli (confidential) özniteliklerle ilgili belirli LDAP ekleme, arama ve değiştirme işlemleri şifrelenmemiş bağlantılar üzerinden gerçekleştirilemiyor. LDAP, desteklenen Schannel yapılandırmalarında TLS 1.3 ile de çalışabiliyor.
Burada önemli ayrım şu: LDAP signing/sealing, LDAP channel binding ve LDAPS aynı şey değildir. Yeni Active Directory dağıtımlarının varsayılan güvenlik davranışlarını, daha eski bir ormandan yükselttiğiniz etki alanı denetleyicilerine otomatik olarak uygulandığını varsaymamalısınız. LDAP signing ve channel binding denetim kayıtlarını inceleyerek uyumsuz cihazları tespit edin; sonra zorlayıcı politikaları devreye alın.
Name/SID lookup ve makine hesabı parolaları
LSA Name/SID lookup yönlendirmesi eski Netlogon secure channel yaklaşımı yerine Kerberos ve DC Locator mekanizmalarını kullanabiliyor. Uyumluluk için belirli geri dönüş yolları bulunsa da eski istemcilere bağımlılıklar geçiş planında test edilmelidir.
Yeni etki alanı denetleyicilerinde makine hesabı için varsayılan parolaların rastgele oluşturulması ve bilgisayar hesabı adıyla aynı varsayılan parolanın engellenmesi de dikkat çeken iyileştirmeler arasında. Önceden hazırlanmış bilgisayar hesaplarıyla çalışan otomasyonların bu yeni davranışla uyumluluğunu doğrulayın.
Active Directory 32 KB veritabanı sayfa boyutu
Windows Server 2025 ile Active Directory veritabanında 32 KB sayfa biçimine geçiş seçeneği geldi. Yeni etki alanı dağıtımları 32 KB kapasitesine uygun veritabanı biçimiyle oluşturulabilse de önceki sürümlerle uyumluluk için başlangıçta 8 KB simülasyon modunda çalışabilir. Mevcut bir etki alanı denetleyicisini yükseltmek ise eski veritabanını kendiliğinden 32 KB biçimine dönüştürmez.
Çok önemli: 32 KB sayfa özelliğini etkinleştirmek orman genelinde bir değişikliktir; tüm etki alanı denetleyicileri uygun duruma gelmeden uygulanmamalıdır. Etkinleştirme geri alınabilir basit bir ayar değildir ve önceki 8 KB yedekleriyle kurtarma planını etkiler. Bu nedenle yalnızca ölçeklenebilirlik gereksinimi ve kapsamlı kurtarma planı bulunan ortamlarda değerlendirilmelidir.
Yeni forest ve domain functional level
Windows Server 2025 yeni Active Directory forest ve domain functional level seçenekleri sunuyor. Ancak yeni bir Windows Server 2025 DC eklemek, functional level seviyesini otomatik olarak yükseltmez. Mevcut DC sürümleri, replikasyon sağlığı, uygulama uyumluluğu ve yedekleme stratejisi tamamlandıktan sonra ayrıca planlanmalıdır.
Credential Guard ve varsayılan korumalar
Credential Guard, Windows Server 2025 üzerinde koşulları karşılayan sistemlerde varsayılan olarak etkinleştirilebiliyor. Bu durumun her fiziksel veya sanal sunucuda aynı şekilde gerçekleşeceği varsayılmamalı; sanallaştırma tabanlı güvenlik (VBS), UEFI, Secure Boot ve rol uyumluluğu değerlendirilmelidir. Özellikle kimlik doğrulama bileşenleri ve eski güvenlik yazılımları bulunan sunucularda pilot test önemlidir.
Hyper-V: GPU Partitioning ve ölçeklenebilirlik
Hyper-V tarafında GPU Partitioning (GPU-P), uygun fiziksel GPU kaynaklarının birden fazla sanal makine arasında donanım destekli bölümlere ayrılmasını sağlıyor. Windows Server 2025 üzerinde GPU bölümlendirmesiyle çalışan sanal makineler için koşullara bağlı canlı taşıma (live migration) desteği bulunuyor. Ancak desteklenen GPU, sürücü, sunucu yapılandırması ve küme gereksinimleri sağlanmadan bu özelliğin çalışacağı düşünülmemeli.
Yeni sürüm, büyük sanallaştırma ortamları için Hyper-V ölçeklenebilirlik sınırlarını da genişletiyor. Bu üst sınırlar her kurulumda elde edilecek pratik kapasite anlamına gelmez; donanım üreticisi desteği, NUMA mimarisi, kapasite planlaması ve uygulama profili belirleyici olmaya devam ediyor.
SMB over QUIC, dosya sunucuları ve ağ güvenliği
Daha önce yalnızca belirli Azure Edition senaryolarında kullanılan SMB over QUIC sunucu yeteneği, Windows Server 2025 Standard ve Datacenter sürümlerinde de kullanılabiliyor. Uygun sertifika ve ağ yapılandırmasıyla internet gibi güvenilmeyen ağlar üzerinden şifreli SMB erişimi sağlamak mümkün. Bu özellik tek başına yapılandırmasız ve koşulsuz bir VPN alternatifi olarak görülmemeli.
SMB imzalama ve şifreleme desteğini karşılamayan istemcileri belirlemek için ek denetim olanakları, SMB bağlantıları için alternatif port seçenekleri ve daha kısıtlayıcı dosya paylaşımı güvenlik duvarı kuralları da bulunuyor. Özellikle eski NAS cihazları, tarayıcılar ve uygulama sunucuları için uyumluluk testleri önemli.
Depolama: NVMe, Storage Replica ve ReFS
Windows Server 2025, NVMe depolama işlemlerinde daha yüksek verim ve daha düşük işlemci kullanımı hedefleyen iyileştirmeler sunuyor. Storage Replica tarafında sıkıştırma, replikasyon trafiğinde aktarılan veri miktarını azaltabiliyor. ReFS blok klonlama gibi yetenekler de uygun iş yüklerinde kopyalama işlemlerini hızlandırabiliyor.
Bu kazanımların gerçek etkisini ölçmek için yalnızca üretici sunumlarına güvenmek yerine mevcut depolama altyapısında IOPS, gecikme, CPU kullanımı ve replikasyon süresini yükseltme öncesi ve sonrasında karşılaştırın.
Azure Arc ile Hotpatch: Her güncelleme yeniden başlatmasız değildir
Windows Server 2025 Standard ve Datacenter sunucularında, gerekli önkoşulları sağlayıp Azure Arc üzerinden etkinleştirildiğinde Hotpatch kullanılabiliyor. Hotpatch, uygun güvenlik güncellemelerinde yeniden başlatma ihtiyacını azaltır; bütün güncellemelerin yeniden başlatma gereksinimini ortadan kaldırmaz. Temel (baseline) güncellemeler ve belirli bakım senaryoları hâlâ yeniden başlatma gerektirebilir.
2026 itibarıyla Microsoft, uygun Azure Arc bağlantılı Windows Server 2025 sunucularında Hotpatch özelliğini ayrıca ücretlendirmeden sunuyor. Buna rağmen Azure bağlantısı, uyumlu işletim sistemi derlemesi, güvenlik önkoşulları ve yönetim politikaları kontrol edilmelidir. Azure Arc kullanılarak sunulan diğer hizmetlerin lisanslama koşulları Hotpatch ile aynı olmayabilir.
Windows Server 2022 ve 2025: Yönetici açısından karşılaştırma
| Alan | Windows Server 2022 | Windows Server 2025 |
|---|---|---|
| Active Directory | Mevcut ESE/functional level mimarisi | 32 KB sayfa seçeneği, yeni functional level ve kimlik güvenliği geliştirmeleri |
| Kerberos ve LDAP | Mevcut destek ve güvenlik politikaları | Ek güçlü Kerberos algoritmaları ve LDAP güvenlik iyileştirmeleri |
| Hyper-V | Yerleşik sanallaştırma ve küme özellikleri | GPU Partitioning senaryoları ve daha yüksek ölçek sınırları |
| SMB | Modern SMB özellikleri | Standard/Datacenter üzerinde SMB over QUIC sunucu desteği ve ek güvenlik denetimleri |
| Hotpatch | Sürüme/ortama bağlı yetenekler | Uygun Standard/Datacenter sunucularında Azure Arc ile etkinleştirme |
| Hibrit yönetim | Azure Arc entegrasyonu | Azure Arc yönetim ve lisanslama seçeneklerinin genişletilmesi |
Üretim ortamına geçmeden önce kontrol listesi
- İşletim sistemi sürümünün uygulama üreticileri ve donanım üreticisi tarafından desteklendiğini doğrulayın.
- Active Directory üzerinde
dcdiagverepadminçıktılarıyla replikasyon ve DC sağlığını ölçün. - Kerberos RC4 bağımlılıklarını, LDAP signing/channel binding uyumluluğunu ve sertifika kullanan uygulamaları envanterleyin.
- Yedeklerin yalnızca alındığını değil, test ortamında geri yüklenebildiğini doğrulayın.
- DC yükseltmesi, functional level değişikliği ve AD 32 KB sayfa etkinleştirmesini birbirinden ayrı projeler olarak planlayın.
- Hyper-V, SMB, storage ve güvenlik özelliklerini pilot sistemlerde deneyin.
- Hotpatch için Azure Arc, VBS ve güncelleme yönetimi önkoşullarını kontrol edin.
Hızlı doğrulama için PowerShell komutları
Aşağıdaki komutlar değişiklik yapmaz; makinenin sürümünü, Active Directory altyapısının durumunu ve temel güvenlik yapılandırmasını değerlendirmeye yardımcı olur. AD komutları için ilgili RSAT/Active Directory modülleri ve uygun yetki gerekir.
Get-ComputerInfo | Select-Object WindowsProductName, OsVersion, OsBuildNumber
Get-CimInstance Win32_OperatingSystem | Select-Object Caption, Version, BuildNumber
Get-CimInstance Win32_DeviceGuard | Select-Object -ExpandProperty SecurityServicesRunningActive Directory yönetim araçları yüklü bir sistemde:
Import-Module ActiveDirectory
Get-ADForest | Select-Object Name, ForestMode
Get-ADDomain | Select-Object DNSRoot, DomainMode
Get-ADDomainController -Filter * | Select-Object HostName, OperatingSystem, SiteEtki alanı denetleyicisinde, sorun giderme amacıyla:
dcdiag /q
repadmin /replsummaryBu komutlar tek başına üretime geçiş onayı vermez; sonuçları DNS, replikasyon, donanım ve uygulama bağımlılığı testleriyle birlikte değerlendirin.
Sonuç: Windows Server 2025 neden önemli?
Windows Server 2025 yalnızca görsel arayüz güncellemesi veya yeni Hyper-V kapasite sınırlarından ibaret değil. Benim için asıl önemli gelişme Active Directory güvenliği, güçlü kriptografik protokoller, modern SMB seçenekleri ve Azure Arc ile şirket içi sunucuların yönetimi arasındaki bütünlük. Ancak yeni bir özelliğin ürün tarafından desteklenmesi ile mevcut üretim ortamında varsayılan olarak etkin olması arasında fark var. Bu nedenle geçiş kararını özellikle güvenlik uyumluluğu, replikasyon sağlığı ve servis sürekliliği üzerinden vermek gerekiyor.
