1. 从桌面到服务器Windows 运维的能力边界与学习主线Windows 运维这四个字在招聘网站上覆盖的范围其实大得吓人。同一个岗位名称有的公司在招只会重装系统、装打印机、配共享盘的桌面运维有的公司在招要管几十台 Windows Server、写 PowerShell 自动化巡检、还要对接云平台和容器环境的系统运维。我把 Win10 和 Win11 两套环境折腾了近三年从给同事修电脑一路做到批量脚本巡检这里把踩过的路、绕过的弯按我自己的理解重新梳理一遍。先说清楚这份笔记适合谁看。如果你刚入行手上只有一台装着 Win11 的笔记本想搞清楚运维到底在干什么或者你已经做了几年日常靠鼠标点来点去想让命令和脚本替你把重复活儿干掉再或者你原本是 Linux 方向突然被安排接管一批 Windows 机器不知道从哪下手——这份内容都对你有效。我不打算讲那些官网能查到的菜单路径而是讲清楚每一步为什么这么做以及我实际执行时遇到的意外情况。1.1 Win10 和 Win11 在运维视角下的差异到底在哪很多人觉得 Win11 就是换了个界面内核版本号从 10.0.19045 跳到 10.0.22000 之后日常使用没区别。这个判断在个人使用场景下基本成立但在运维场景里几个改动会直接影响你的操作习惯和工作量。第一个是右键菜单。Win11 默认把显示更多选项折叠了一层如果你像我一样大量依赖右键菜单里的某些工具项手动展开就成了每天的固定动作。更麻烦的是很多老的企业内部工具会往右键菜单里注册项在 Win10 上好好的到了 Win11 直接看不见。原因是 Win11 用了新的上下文菜单接口老式的注册表项被折叠到二级菜单里。解决办法有两个一是按 ShiftF10 直接调出完整菜单二是修改注册表恢复经典菜单具体键值我后面章节会写。第二个是任务栏和开始菜单的架构变化。Win10 上的任务栏自定义、工具栏、右键任务栏调出任务管理器在 Win11 上大面积失效。这对运维来说意味着那些依赖任务栏右键快速启动工具的野路子脚本在 Win11 上要重新设计。第三个是硬件门槛。Win11 强制要求 TPM 2.0 和安全启动这在批量装机时会变成实打实的阻碍。我手上有一批五年前的办公机CPU 型号在支持列表之外官方渠道装不了。这种情况要么走旁路检测要么就老老实实留在 Win10。我个人的建议是办公机没有特殊需求就别折腾生产环境强行绕过硬件检测后续系统更新出问题的概率会明显上升。对比项Win10Win11内核版本起点10.0.1024010.0.22000右键菜单经典全量菜单折叠式需展开硬件要求相对宽松强制 TPM 2.0 与安全启动终端工具需自行安装Windows Terminal 随系统虚拟化支持Hyper-V 完整Hyper-V 加 WSLg 图形支持更新节奏逐步收敛年度功能更新加月度补丁第四个差异是 WSL 的图形支持。Win11 的 WSL2 带 WSLg能直接跑 Linux 的图形程序对需要在 Windows 上做 Linux 相关验证的运维来说省掉了额外装虚拟机的功夫。Win10 虽然也能跑 WSL2但图形部分要自己折腾 X Server。1.2 一份可落地的技能图谱桌面运维、系统运维、云运维我见过太多人把运维当成一个整体去学结果学了一堆命令但不知道用在哪。比较靠谱的做法是按场景分层先明确自己现在在哪一层再往下走。桌面运维层核心对象是员工终端。技能点包括系统安装与镜像封装、驱动管理、外设与打印共享、办公软件部署、账户与权限、基础网络排查。这一层最考验耐心和沟通技术门槛不高但事情碎。很多人在这层待久了会焦虑觉得没技术含量其实不是这层积累的排错直觉是后面所有工作的基础。系统运维层核心对象是服务器和批量终端。技能点包括 Windows Server 角色配置、域控与组策略、PowerShell 自动化、日志审计、性能调优、备份恢复。这一层开始出现真正的技术分水岭能不能写脚本、能不能读懂日志、能不能把手工步骤变成可重复执行的任务直接决定你的效率上限。云与容器层核心对象是云主机和容器化应用。技能点包括云平台资源管理、虚拟机模板、容器运行时、编排工具、监控告警。这一层和前面的界限正在模糊很多企业把 Windows 应用直接搬到容器里跑运维需要懂 Docker 和 Kubernetes 的基本概念。再往上的自动化与智能化方向就是这几年提得比较多的自动化运维、云平台运维、行业专有领域的运维比如能源、制造行业里的设备侧运维。这些方向的共同点是数据量大、重复操作多最终都要落到脚本和平台上去解决。技能图谱的画法不复杂横轴是场景纵轴是深度先把自己目前的位置标出来再选一条线往下扎别同时铺开。2. 装机之后的第一件事标准化配置清单新机器到手或者系统重装完很多人第一反应是装软件。我的习惯是先把系统层面的基础配置做掉再装业务软件。原因很实在软件装完再改系统设置容易互相影响出问题时排查成本翻倍。下面这套清单是我这几年固定执行的你可以按需删减。2.1 驱动、电源与休眠先让系统跑顺驱动这块Win10 和 Win11 的自动更新已经比早些年强很多网卡、显卡、芯片组基本能自动识别。但有两类驱动必须手动处理一是主板芯片组和电源管理相关自动装的版本往往偏旧二是打印机、扫描仪、行业专用外设自动识别率很低。我一般先去主板厂商官网下载芯片组驱动再去设备厂商官网找对应型号的驱动按芯片组、显卡、网卡、声卡、外设的顺序装。驱动装完一定要检查设备管理器里有没有带黄色感叹号的设备。这一步看起来废话但我见过太多机器因为一个PCI 简单通讯控制器没装驱动导致休眠唤醒异常查了半天才发现。电源和休眠是重灾区。Windows 默认开启的快速启动在某些主板上会和休眠文件冲突表现是关机后开机变成重启、或者关机后 USB 供电异常。关掉快速启动的方法是在控制面板的电源选项里找到选择电源按钮的功能点开更改当前不可用的设置取消勾选启用快速启动。这个操作我在批量装机脚本里也会自动执行用的是修改注册表的方式reg add HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Power /v HiberbootEnabled /t REG_DWORD /d 0 /f休眠文件hiberfil.sys默认占用物理内存的 40% 到 75%对系统盘紧张的机器很要命。如果不需要休眠功能直接用命令关掉powercfg -h off这条命令会同时关闭休眠和快速启动也会释放hiberfil.sys占用的空间。我一般在固态硬盘只有 256G 的办公机上必做这一步能腾出好几个 G。2.2 编码、环境变量与中文路径那些坑这一节是我最想单独拎出来讲的因为它坑过我不止一次。Windows 中文版默认的活动代码页是 GBK命令行里跑脚本输出中文经常变成乱码日志文件写到一半直接报错。解决办法是在脚本开头统一切换到 UTF-8chcp 65001 [Console]::OutputEncoding [System.Text.Encoding]::UTF8如果是批处理文件第一行加上chcp 65001 nul就能解决大部分乱码问题。但要注意chcp只影响当前控制台会话脚本里调用的外部程序如果自己不做编码处理还是会出问题。我遇到过用某个老工具导出 CSV中文列名全是问号最后是在脚本里显式指定输出编码才搞定。环境变量这块常见问题有两个。一是PATH太长被截断早期版本有 1024 字符限制装多了开发工具就会触发。现在系统层面限制放宽了但 PATH 里条目太多仍然会拖慢命令查找速度。我的做法是把不常用的路径从PATH里挪出去需要时用完整路径调用。二是用户变量和系统变量重名比如同时存在用户的JAVA_HOME和系统的JAVA_HOME谁生效取决于进程的上下文排查时非常绕。统一约定环境变量只放在系统层用户层不重复定义。中文路径的问题更隐蔽。很多开发工具、构建脚本、Docker 挂载路径对中文和非 ASCII 字符处理不好表现为找不到文件、路径解析失败但报错信息完全不指向中文路径。我的固定做法是系统盘下的开发目录一律用英文用户名也尽量用英文中文只出现在文档和数据文件里。这个约定看着死板但省掉的排查时间非常值。2.3 系统还原点与装机基线快照这一步很多人会跳过我的建议是别跳。系统刚装好、驱动装完、常用软件装齐、还没加入生产环境之前做一次基线快照。做法有两种一是用系统自带的还原点二是用镜像工具做完整备份。系统还原点的开启命令是Enable-ComputerRestore -Drive C:\ Checkpoint-Computer -Description Baseline_After_Drivers -RestorePointType MODIFY_SETTINGS还原点的好处是快、占用小缺点是只能还原系统和注册表相关的内容用户数据不包含在内。我一般把它作为系统配置改坏后快速回退的手段。如果是给一批机器做统一部署还原点就不够了需要完整镜像。这时候可以用 Windows 内置的dism加imagex或者用第三方封装工具。封装时要处理的细节包括卸载驱动残留、通用化Sysprep、清理临时文件、重置激活状态。Sysprep 的通用化命令如下C:\Windows\System32\Sysprep\sysprep.exe /generalize /oobe /shutdown执行完机器会自动关机这时候再进 PE 环境做镜像出来的镜像才能批量部署到不同硬件上。跳过 Sysprep 直接克隆出来的机器 SID 重复加入域或者做权限管理时会出各种奇怪问题这个坑我踩过返工了两天。3. 命令行工具箱把鼠标操作换成一行命令前面说的都是准备动作从这里开始进入正题。运维和普通用户的区别说到底是能不能批量、能不能重复、能不能记录。鼠标点击满足不了这三点所以命令行是必修课。我不是说图形界面没用而是图形界面适合探索命令行适合执行和沉淀。3.1 原生三件套CMD、PowerShell、Windows TerminalCMD 是老祖宗到现在还没被淘汰是因为大量遗留脚本依赖它。它的定位很明确简单、兼容性好、启动快。批处理能做的是文件操作、命令串联、简单的条件分支。我对它的态度是能看懂、能改但不主动用它写新东西因为字符串处理和错误处理的语法实在反人类。PowerShell 是主力。它的核心优势是面向对象——命令返回的是对象不是纯文本你可以直接取属性、做筛选、做格式化输出不用像 CMD 那样靠字符串切割。举个例子要找出占用内存最多的前十个进程Get-Process | Sort-Object WorkingSet64 -Descending | Select-Object -First 10 Name, Id, {NameMemMB;Expression{[math]::Round($_.WorkingSet64/1MB,1)}}同一件事在 CMD 里要靠tasklist加一堆文本处理写起来痛苦得多。PowerShell 还分 Windows PowerShell 5.1 和 PowerShell 7 两个版本前者随系统自带后者要单独装。我的建议是装 PowerShell 7它对跨平台、性能和语法都有改进安装走包管理器一行搞定winget install --id Microsoft.PowerShell --source winget注意 PowerShell 7 和 5.1 是并存的命令名分别是pwsh和powershell。有些老模块只兼容 5.1这点心里要有数。Windows Terminal 是终端外壳不是解释器。它的价值在于多标签、多配置文件、分屏、可定制外观。Win11 自带Win10 需要从商店装。装了 Terminal 之后我会把 CMD、PowerShell 5.1、PowerShell 7、WSL 的配置都加进去用快捷键切换效率提升非常明显。3.2 包管理器 winget 与常用工具链安装手工下安装包的时代基本过去了。Windows 上的包管理器现在主要有三个方向官方的 winget、老牌的 Chocolatey、轻量的 Scoop。winget 的优势是系统内置、源相对规范、命令简单Chocolatey 的包最全适合企业批量部署Scoop 把软件装在用户目录不需要管理员权限适合受限环境。我日常用 winget 就够了。几个高频安装命令winget install --id Git.Git -e --source winget winget install --id Microsoft.VisualStudioCode -e winget install --id Notepad.Notepad -e winget install --id 7zip.7zip -e winget upgrade --allwinget upgrade --all这条命令我每周跑一次把装过的软件统一升级。但要注意生产机器上不建议无脑升级尤其是运行时和数据库客户端这类对版本敏感的工具升级前先确认兼容性。Git 的安装在 Windows 上有个细节值得说。安装向导里有一步问换行符如何处理三个选项分别是 Windows 风格、跨平台风格、不转换。如果你只在 Windows 上用选第一个如果要和 Linux 仓库交互选第二个。选错的表现是提交时整个文件显示被修改其实只是换行符变了。安装完执行一次全局配置git config --global core.autocrlf true git config --global core.quotepath false git config --global init.defaultBranch maincore.quotepath false这条能让 Git 正确显示中文文件名不加的话中文路径会显示成一串转义字符。3.3 Sysinternals运维人手一份的瑞士军刀微软官方出的这套工具我愿称之为 Windows 排障最强外挂。它不是一个软件是几十个小工具按需取用。几个必装的Process Explorer任务管理器的加强版能看到进程树、句柄、加载的 DLL、命令行参数。排查这个端口被谁占了、这个文件被哪个进程锁了用它一步到位。Process Monitor实时监控文件、注册表、进程、网络操作。找出某个程序在偷偷读哪个配置文件、写哪个注册表键全靠它。Autoruns比任务管理器的启动项管理全面得多登录项、计划任务、服务、驱动、浏览器插件都能看到。清理流氓自启动的首选。TCPView列出所有 TCP 和 UDP 连接比netstat直观能直接看到进程名。PsExec远程执行命令可以在目标机器上以系统权限运行程序做批量运维时很好用。安装可以直接走包管理器winget install --id Microsoft.Sysinternals -e装完在开始菜单会出现一个套件目录。我个人最常用的是 Autoruns 和 Process Monitor前者用来体检后者用来查疑难杂症。Process Monitor 的用法有个小技巧默认捕获所有事件数据量巨大正确做法是先加筛选条件比如只看某个进程名、只看文件操作、只看某个路径把范围缩小再看否则滚动的日志能把你眼睛看花。4. 故障排查核心战场事件日志与蓝屏排障能力是运维的分水岭。同一台机器出问题有人只会重装有人能定位到具体驱动版本。差距不在工具在于会不会读日志、会不会顺着线索往下走。这一章讲的是我最常用的两条线事件日志和蓝屏转储。4.1 事件查看器怎么读才不白读事件查看器一打开满屏都是记录新手直接懵。我的做法是只看三个地方Windows 日志下的系统、应用程序、安全。系统日志关注内核、驱动、服务应用程序日志关注业务软件安全日志关注登录和权限。安全日志要特别说一句它是审计的核心。默认情况下登录审核是关闭的需要手动开启。开启路径是本地安全策略里的审核策略或者用命令auditpol /set /subcategory:Logon /success:enable /failure:enable开启之后登录成功记录事件 ID 4624登录失败记录 4625账户被创建是 4720日志被清除是 1102。这几个 ID 在做安全排查时是必看的。比如你发现某台机器频繁出现 4625说明有人在尝试暴力猜密码需要立刻检查来源 IP 和账户锁定策略如果出现 1102说明日志被人为清空过这本身就是异常信号。系统日志里几个高频 ID 也值得记住。ID 41 表示系统未正常关机就重启通常是断电或硬件问题ID 6008 是意外关机ID 1001 是蓝屏的 BugCheck 记录里面会写停止代码ID 7000 和 7001 是服务启动失败ID 51 是分页操作错误往往指向磁盘。这些 ID 不用背但知道去哪查能省大量时间。提示事件查看器的日志默认有大小上限超出后会覆盖旧记录。生产机器建议把系统日志和安全日志的上限调大系统日志至少 128MB安全日志看合规要求一般不低于 256MB。调整在日志属性里就能改不需要重启。4.2 蓝屏与驱动故障转储分析流程蓝屏是 Windows 运维绕不开的话题。Win10 和 Win11 的蓝屏界面已经比 XP 时代友好很多会给一个停止代码比如IRQL_NOT_LESS_OR_EQUAL、SYSTEM_SERVICE_EXCEPTION、PAGE_FAULT_IN_NONPAGED_AREA。光看代码不够真正有用的是内存转储文件。系统默认会在C:\Windows\Minidump下生成小转储文件前提是启动和故障恢复里的转储设置没被关掉。检查方式Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl | Select-Object CrashDumpEnabled, MinidumpDirCrashDumpEnabled为 3 表示小转储7 表示自动内存转储。生产环境我一般设成小转储文件小、方便收集。拿到.dmp文件后用 WinDbg 分析。基本流程是打开 dump 文件加载符号执行!analyze -v。命令行的用法是windbg -z C:\Windows\Minidump\010124-12345-01.dmp -c !analyze -v; q输出里重点看MODULE_NAME、IMAGE_NAME、FAILURE_BUCKET_ID这几行。如果是某个第三方驱动的名字那基本可以锁定问题源头去设备厂商官网换版本或者直接卸载。如果是ntoskrnl.exe或ntfs.sys这类系统组件先别急着怀疑系统坏了大概率是内存条、硬盘或者超频导致硬件排查优先于软件。我在实际处理中总结出一条经验蓝屏反复出现且每次的失败模块都不一样九成是硬件或者底层驱动问题尤其是内存和电源。这种时候与其反复重装系统不如先跑一次内存测试再检查电源和散热。4.3 由于其配置信息(注册表中的)不完整或已损坏 这类报错的修复思路这条报错完整表述是由于其配置信息注册表中的不完整或已损坏Windows 无法启动这个硬件设备后面通常跟着错误代码 19 或代码 39。这是我遇到的最典型的注册表类驱动故障值得单独讲清楚。它的成因是设备在注册表里的配置项损坏常见于三种场景装过某个过滤驱动后卸载不干净残留了UpperFilters或LowerFilters键值系统优化软件误删了类 GUID 下的键驱动换了版本但旧注册项还在。设备管理器里能看到设备带黄色感叹号属性页显示上述报错。处理思路分三步。第一步是确认设备对应的类 GUID。以最常见的存储控制器和光驱为例在设备管理器里找到出问题的设备右键属性切到详细信息页属性选类 Guid记下那串值。第二步是打开注册表编辑器定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{对应的类GUID}在这个键下找UpperFilters和LowerFilters两个多字符串值。这两个值里存的是加载在该类设备上的过滤驱动名称。把可疑项删掉或者把整个值的名称临时改一下比如改成UpperFilters_bak做回退测试然后重启。第三步是验证。重启后如果设备恢复正常说明确实是过滤驱动残留。如果错误代码还在就要考虑用系统文件检查修复sfc /scannow DISM /Online /Cleanup-Image /RestoreHealth这两条命令的区别是sfc检查系统文件完整性DISM负责修复组件存储。顺序不能反因为sfc的修复源就是组件存储存储坏了它修不动。如果两条都跑完还不行就得考虑用pnputil重装驱动具体在下一节讲。注意改注册表之前一定先导出备份。选中要修改的键右键导出存成.reg文件。改坏了双击导入就能还原。我见过有人直接删键结果把整个类 GUID 删没了最后只能重装系统。5. 网络运维从端口占用到内建抓包网络问题是运维日常里占比最高的投诉来源。网断了网站打不开共享盘访问不了背后可能是 DNS、路由、防火墙、端口占用中的任何一个。这一章按排查顺序讲从最快能上手的命令开始。5.1 快速定位网络问题的命令链条我给自己定了一套固定顺序基本能覆盖八成问题。第一步看本机地址和网关ipconfig /all Get-NetIPConfiguration重点看 IPv4 地址、默认网关、DNS 服务器是否正常。如果地址是 169.254 开头的说明 DHCP 没拿到地址问题在链路层或 DHCP 服务。第二步测连通性。先 ping 网关再 ping 外网 IP最后 ping 域名。这样能把问题切分成三段网关不通是本地网络问题网关通但外网 IP 不通是出口或路由问题IP 通但域名不通是 DNS 问题。DNS 单独验证nslookup www.example.com Resolve-DnsName www.example.com第三步查路由表route print Get-NetRoute -AddressFamily IPv4看有没有异常路由条目比如被某些虚拟化软件塞进去的路由把流量引到了错误的地方。我遇到过装了某个虚拟化工具之后所有外网访问都走虚拟网卡最后是在路由表里发现了多余的默认路由。第四步查端口占用。这是最高频的场景Get-NetTCPConnection -LocalPort 8080 -ErrorAction SilentlyContinue | Select-Object LocalAddress, LocalPort, State, OwningProcess拿到OwningProcess之后Get-Process -Id PID | Select-Object Name, Path如果习惯用 CMD等价命令是netstat -ano | findstr :8080再用tasklist | findstr PID查进程名。5.2 hosts 文件、DNS 缓存与网络位置排查hosts文件在C:\Windows\System32\drivers\etc目录下没有扩展名。它的优先级高于 DNS很多人改过之后忘了删导致域名解析结果和预期不一致。排查时先用记事本以管理员身份打开看一眼有没有残留的映射。系统自带的 DNS 缓存也要记得清ipconfig /flushdns Clear-DnsClientCache这两条效果一样跑一条就够。清理的时机是在改了 DNS 设置或 hosts 之后否则旧记录还在缓存里改了也没用。网络位置也是个容易忽略的点。Windows 把网络分成公用和专用两种公用网络下防火墙规则更严格文件共享、远程桌面这类功能会被挡住。装完系统第一次连网时如果随手选了公用之后共享盘访问不了很可能就是这个原因。检查方式Get-NetConnectionProfile如果NetworkCategory显示Public而你需要共享改成PrivateSet-NetConnectionProfile -InterfaceAlias 以太网 -NetworkCategory Private防火墙规则这块排查时先临时确认是不是它拦的用Test-NetConnection指定端口Test-NetConnection -ComputerName 192.168.1.100 -Port 445如果返回TcpTestSucceeded : False而目标机器上服务确实在跑那基本就是防火墙。查规则Get-NetFirewallRule -Enabled True -Direction Inbound | Where-Object DisplayName -like *文件*5.3 pktmon 内建抓包实操以前 Windows 上抓包要装 Wireshark 或者 Npcap现在系统自带了一个叫pktmon的工具从 Win10 1809 开始就有了。它的好处是不用装第三方驱动在企业受限环境里特别实用。基本流程是先启动捕获复现问题再停止并转换格式pktmon start --etw -c --comp nics -f C:\temp\capture.etl # 复现问题比如访问某个服务 pktmon stop pktmon etl2pcap C:\temp\capture.etl -o C:\temp\capture.pcap生成的.pcap文件可以用 Wireshark 打开分析。如果你想直接在命令行看实时统计用pktmon start --capture加pktmon counters组合。这个工具的价值在于它抓的是驱动层的包能看到防火墙处理之前的数据。排查请求到底有没有发出去目标有没有回包这类问题时比在应用层猜要可靠得多。我用它定位过一次跨网段访问超时的问题最后发现是中间设备的 MTU 不匹配大包被静默丢弃小包能通——这种问题不抓包根本看不出来。提示pktmon需要管理员权限运行。抓包文件可能包含敏感内容生产环境用完记得删除别留在磁盘上。6. 虚拟化与容器在 Windows 上跑 Linux 和 Docker运维现在很难绕开容器。很多服务天然是 Linux 镜像而你的开发机是 Windows怎么把两边打通是必须解决的问题。Windows 给的路子有三条Hyper-V 虚拟机、WSL2、容器运行时。三条路各有适用场景。6.1 Hyper-V 与 WSL2 的取舍Hyper-V 是完整的虚拟化平台能跑各种操作系统的完整虚拟机适合需要独立内核、独立网络栈、能自由装驱动的场景。WSL2 是轻量级的 Linux 子系统底层也是虚拟机但做了大量集成优化启动快、文件互通方便、支持图形界面。选择标准很简单需要完整系统环境、要装服务、要模拟多机拓扑用 Hyper-V只是要一个 Linux 命令行环境跑脚本、编译、跑容器用 WSL2。WSL2 的安装现在很方便wsl --install wsl --list --online wsl --set-default-version 2装完默认是 Ubuntu可以换其他发行版。几个实用配置一是内存限制WSL2 默认会吃掉大量内存可以在用户目录下建.wslconfig[wsl2] memory8GB processors4 swap2GB localhostForwardingtrue二是文件互访Windows 访问 Linux 文件走\\wsl$\路径Linux 访问 Windows 盘挂在/mnt/c。但要注意跨文件系统读写性能很差项目代码尽量放在 Linux 侧别放在/mnt/c下编译速度能差好几倍。Hyper-V 和 WSL2 有一个冲突点启用 Hyper-V 后某些第三方虚拟机软件比如老版本的 VMware会跑不起来或者性能骤降。反过来也一样。这个坑在同时用多个虚拟化方案的机器上很常见解决办法是统一到一个平台或者用新版本软件。6.2 Docker Desktop 安装与离线部署的坑Windows 上跑 Docker 现在主流是 Docker Desktop它支持两种后端WSL2 和 Hyper-V。推荐用 WSL2 后端启动快、资源占用低。安装前先确认两件事一是虚拟化在 BIOS 里打开了二是 WSL2 已经装好并且设成默认版本。在线安装很简单winget install --id Docker.DockerDesktop -e装完启动第一次会问选哪种后端选 WSL2。之后在 WSL 里执行docker version能通就说明对接成功。离线安装是企业内网环境的高频需求。做法是提前在一台能联网的机器上下载安装包Docker Desktop Installer.exe拷贝到目标机器后静默安装Docker Desktop Installer.exe install --quiet --accept-license --backendwsl-2如果安装包本身也拿不到就只能走容器运行时的另一条路直接把 Docker 的静态二进制包解压手动注册成服务。这种方式配置复杂但完全不依赖安装器。核心步骤是把dockerd.exe和docker.exe放到一个目录注册服务dockerd --register-service Start-Service docker离线环境下还要解决镜像来源的问题。常规做法是在能联网的机器上docker pull然后docker save成 tar 包拷过去再docker loaddocker save -o myapp.tar myapp:1.0 docker load -i myapp.tar这套流程在隔离网络里是标配建议提前写好脚本别等到现场手忙脚乱。6.3 在 Windows 上把 Elasticsearch 和 Redis 做成服务Windows 上跑这些中间件最常见的坑是关掉命令行窗口服务就停了。解决办法是注册成 Windows 服务让它在后台持续运行。Elasticsearch 自带服务注册脚本。先把 JDK 准备好进入bin目录执行elasticsearch-service.bat install elasticsearch-service.bat start服务名默认是elasticsearch-service-x64。有几个参数必须在注册前改好一是 JVM 堆内存在config\jvm.options里设置-Xms和-Xmx默认值对开发机偏大建议设成物理内存的一半以内且两个值要相等避免运行时动态调整二是数据目录和日志目录别放在系统盘数据量涨起来很快。装服务之前建议先用命令行前台启动一次确认配置没问题、9200 端口能访问再注册成服务否则服务起不来排查很麻烦。Redis 在 Windows 上没有官方长期支持版本社区维护的版本可以用。下载后同样可以注册成服务redis-server --service-install redis.windows.conf --loglevel verbose redis-server --service-start配置文件里重点改三处port改端口、bind限制监听地址、requirepass设密码。默认配置不带密码、监听所有地址直接暴露在网络上风险很高这一点千万别图省事。注意把中间件做成服务之后配置文件路径要用绝对路径相对路径在服务模式下工作目录不同会导致读不到配置。这个问题我踩过服务启动成功但用的是默认配置端口和数据目录全是错的查了半天。7. 自动化运维让重复劳动交给脚本前面所有的命令操作本质上都还是一次做一台。运维的效率拐点出现在你会写脚本、会做批量执行的时候。这一章讲三个层次单机脚本、定时任务、远程批量。7.1 PowerShell 巡检脚本设计巡检脚本是每个运维都会写的东西。我第一版巡检脚本写得很糙把一堆命令简单堆在一起输出一大坨文本自己都不想看。后来改成了模块化结构输出改成结构化对象效果完全不一样。结构上分四块采集、判断、输出、记录。采集部分把要看的指标拿到手function Get-SystemHealth { $os Get-CimInstance Win32_OperatingSystem $cs Get-CimInstance Win32_ComputerSystem $disk Get-CimInstance Win32_LogicalDisk -Filter DriveType3 [PSCustomObject]{ ComputerName $env:COMPUTERNAME OSVersion $os.Caption LastBootTime $os.LastBootUpTime TotalMemGB [math]::Round($cs.TotalPhysicalMemory/1GB,1) FreeMemGB [math]::Round($os.FreePhysicalMemory/1MB,1) CpuLoadPercent (Get-CimInstance Win32_Processor | Measure-Object -Property LoadPercentage -Average).Average Disks ($disk | ForEach-Object { $($_.DeviceID) $([math]::Round($_.FreeSpace/1GB,1))GB free }) -join ; } }判断部分用阈值做筛选比如内存使用率超过 85%、C 盘剩余空间低于 15GB、CPU 持续高负载就标记为异常。输出部分用Format-Table或者导出 CSV方便归档对比。调度巡检脚本有一个很容易踩的坑脚本在控制台跑得好好的放进任务计划程序就出错。原因通常是工作目录、执行策略、权限三者不同。解决办法是在脚本开头显式设置工作目录任务里用-NoProfile和-ExecutionPolicy Bypass参数powershell.exe -NoProfile -ExecutionPolicy Bypass -File C:\Scripts\HealthCheck.ps17.2 任务计划程序与定时任务配置任务计划程序不只是图形界面命令行配置更利于批量部署。schtasks是最通用的方式schtasks /create /tn DailyHealthCheck /tr powershell.exe -NoProfile -ExecutionPolicy Bypass -File C:\Scripts\HealthCheck.ps1 /sc daily /st 09:00 /ru SYSTEM/ru SYSTEM表示用系统账户运行好处是不依赖用户登录机器开机就在跑。缺点是系统账户没有网络凭据访问网络共享会失败。需要访问网络的脚本要么用有权限的域账户要么在脚本里显式提供凭据。PowerShell 侧也有更现代的写法用Register-ScheduledTask$action New-ScheduledTaskAction -Execute powershell.exe -Argument -NoProfile -File C:\Scripts\HealthCheck.ps1 $trigger New-ScheduledTaskTrigger -Daily -At 9am $principal New-ScheduledTaskPrincipal -UserId SYSTEM -RunLevel Highest Register-ScheduledTask -TaskName DailyHealthCheck -Action $action -Trigger $trigger -Principal $principal触发器的选择有个细节如果脚本执行时间可能超过触发间隔默认设置会在上一个还没结束时又起一个导致任务堆积。解决办法是在任务设置里把如果任务已在运行则不再启动新实例打开。这个设置在图形界面里是如果任务已在运行则以下规则适用选不启动新实例。7.3 远程批量执行WinRM 与远程会话管一台机器和管一百台机器工作方式完全不同。Windows 原生的批量执行方案是 WinRM。目标机器上启用Enable-PSRemoting -Force然后本机执行Invoke-Command -ComputerName (Get-Content C:\Scripts\servers.txt) -ScriptBlock { Get-Service -Name Spooler | Select-Object PSComputerName, Status }-ComputerName支持传数组从文件读取机器列表是常规做法。这种方式的优势是并发执行、结果自动带机器名、不需要逐台登录。缺点是对网络和认证配置有要求跨域或者工作组环境需要额外配置信任。如果要在多台机器上安装软件、改配置Invoke-Command会有些力不从心。这时候可以考虑用 PowerShell Desired State Configuration或者直接用现成的自动化平台。不过在中小规模下Invoke-Command配合脚本分发已经够用。我现在的做法是把常用操作封装成函数写进一个模块放在共享目录里远程执行时先加载模块再调用维护起来方便。提示远程执行失败时先在本机用Test-WSMan -ComputerName 目标测一下 WinRM 是否可达。不通的话多半是防火墙规则、服务状态或者信任关系的问题按这个顺序查基本能定位。8. 踩坑实录与学习建议技术细节讲到现在差不多了最后分享一些不成体系但很有用的经验。这些东西官网上不会写都是实际干活时被问题按在地上摩擦之后攒下来的。8.1 常见问题速查表我把这些年在 Windows 运维里反复遇到、反复查资料的问题整理成一张表遇到相似现象时可以先对照看看。现象常见原因处理方向设备管理器黄色感叹号代码 19/39注册表过滤驱动残留或配置损坏清理 Class 下的 UpperFilters、LowerFilters再跑 sfc 和 DISM关机后重新开机变重启快速启动与主板电源管理冲突关闭 HiberbootEnabled关闭休眠中文输出乱码控制台代码页与脚本编码不一致chcp 65001统一脚本文件为 UTF-8任务计划里脚本报错手动跑正常工作目录、执行策略、权限不同用绝对路径加 -NoProfile 和 -ExecutionPolicy Bypass端口被占用但找不到进程进程以其他用户身份运行用 Get-Process 按 PID 查必要时用 Process Explorer 看句柄共享盘访问被拒网络位置是公用或凭据缓存错误改成专用网络清理凭据管理器里的旧记录Docker 启动失败WSL2 未就绪或虚拟化未开启检查 BIOS 虚拟化重装 WSL 内核更新包系统盘空间莫名减少还原点、休眠文件、更新缓存堆积调小还原点配额关闭休眠清理 SoftwareDistribution 缓存事件日志出现 1102日志被清空排查是否为异常操作检查审计策略与账户权限驱动目录体积巨大旧版本驱动残留在驱动存储区用 pnputil 枚举并按需清理旧版本驱动包驱动存储区那个问题值得展开一句。C:\Windows\System32\DriverStore\FileRepository目录下会累积历代驱动包有些机器能涨到几十个 G。清理方式是先用命令枚举pnputil /enum-drivers输出的每个条目有Published Name形如oem12.inf以及版本和提供商。确认某个是不再需要的旧版本后执行pnputil /delete-driver oem12.inf /uninstall /force/force参数是强制删除即使正在使用。要谨慎删错了会导致设备驱动丢失需要重装。稳妥做法是先用pnputil /export-driver把当前驱动全部导出一份备份再动手清理。8.2 面试与技能进阶的一些体会面试这块我面过也被人面过说几点实在的。Windows 运维岗的面试题通常分三类命令类、场景类、原理类。命令类问的是基础熟练度比如怎么查端口占用、怎么查进程、怎么写一个简单的批处理。这类题答不上来基本就凉了因为它是日常饭。场景类问的是思路比如用户反馈电脑很卡你怎么排查。这类题没有标准答案面试官看的是你有没有成体系的排查路径会不会一上来就重装。原理类相对少问的是为什么比如为什么 sfc 之前要先跑 DISM、为什么 Win11 的右键菜单变了。这类题答得好是加分项。我个人的学习建议有两条。第一把每次解决的问题都记下来记现象、记命令、记原因。三个月之后回头看你会发现自己的排查速度快了一倍因为很多问题都是重复的。第二别只在自己机器上练找几台空闲的虚拟机模拟多机环境把域控、共享、远程执行这些需要环境才能验证的东西跑一遍。只看文章是学不会的动手才会形成肌肉记忆。最后说一个小技巧。Windows 里有个命令sfc /scannow大家都知道但很少有人知道它的日志在哪里。日志在C:\Windows\Logs\CBS\CBS.log文件很大直接看会被淹没。更简单的方式是用 PowerShell 筛出关键行Select-String -Path C:\Windows\Logs\CBS\CBS.log -Pattern \[SR\].* | Select-Object -Last 50这个命令能直接看到修复了哪些文件、有没有无法修复的项比盯着扫描进度条干等有用得多。类似的隐藏用法还有很多遇到问题别急着搜怎么解决先想想系统把信息记在哪了往往能挖到别人没注意的细节。