ويندوز سيرفر 2025 بعد عامين: هل يستحق الترقية الآن فعلاً؟

بعد عامين من الإطلاق، هذا ما أثبت فعلاً جدواه — وما يعنيه ذلك لجدول ترقيتك.

الإجابة المختصرة: نعم، إذا كنت لا تزال تعمل على ويندوز سيرفر 2022 أو إصدار أقدم، فإن الترقية إلى ويندوز سيرفر 2025 تستحق العناء — وحساب الجدوى تحسّن بشكل ملحوظ في الأشهر الأخيرة، وليس عند الإطلاق. اثنتان من أبرز ميزات هذا الإصدار — Hotpatching و"الجيل الجديد" من Active Directory — تعملان الآن في بيئات إنتاج حقيقية منذ وقت كافٍ للحكم عليهما بالنتائج لا بالشرائح التسويقية، وإحداهما أصبحت للتو أرخص بشكل جذري. أضف إلى ذلك أن دعم ويندوز سيرفر 2022 الرئيسي ينتهي في 13 أكتوبر 2026 — وهو تاريخ لم يعد بعيداً، بحسب توقيت كتابة هذا المقال.

قضيتُ الأسابيع الماضية أراجع سجلات التحديثات الرسمية من مايكروسوفت، وتغييرات الترخيص، وتقارير مسؤولي الأنظمة في المنتديات المتخصصة، لأجيب على سؤال يتكرر عليّ كثيراً: هل ترقية ويندوز سيرفر 2025 تستحق فعلاً مجهود الترحيل، أم أنها مجرد إصدار "تحسينات طفيفة" بغلاف تسويقي جديد؟ بعد التعمق فيما تغيّر منذ الإتاحة العامة في نوفمبر 2024 — بما في ذلك تراجع في التسعير لم تلحق به معظم المقالات المنشورة بعد — رأيي أن هذا الإصدار يستحق مكانه، لكن ليس بشكل موحّد عبر كل البيئات. في الأسطر التالية سأستعرض ما أثبت جدواه فعلاً، وما يبقى "مؤجّلاً" حالياً، وكيف تحسب عائد الاستثمار (ROI) الخاص ببيئتك تحديداً.

أنا مصطفى أمان، وفي مدونة وادي التكنولوجيا أكتب أدلة تقنية عملية لمسؤولي الأنظمة والشبكات، مبنية على تجربة حقيقية لا على إعادة صياغة صفحات مايكروسوفت. لنبدأ.

ويندوز سيرفر 2025 بعد عامين: أين يقف فعلياً الآن؟

أصبح ويندوز سيرفر 2025 متاحاً للجميع في 1 نوفمبر 2024. عند إطلاقه، ركّزت معظم التغطية الإعلامية على قائمة الميزات التي نشرتها مايكروسوفت في ورقة البيانات الرسمية: Hotpatching، و"الجيل الجديد" من Active Directory، و SMB over QUIC للإصدارات غير السحابية، وتقسيم كرت الشاشة (GPU Partitioning)، وتخزين NVMe أسرع. هذا ملخّص معقول ليوم الإطلاق، لكنه لا يخبرك أي شيء عملي عن مدى صمود هذا الإصدار بعد أن شغّلته مؤسسات حقيقية على أحمال عمل حقيقية لمدة عام ونصف.

إليك ما تغيّر في هذه الأثناء، وهو ما لم تُحدّثه معظم مقالات "ما الجديد" المنشورة:

• Hotpatching تحوّلت من ميزة مدفوعة إلى مجانية بالكامل. أُطلقت في البداية كاشتراك بسعر 1.50 دولار لكل نواة معالج شهرياً في يوليو 2025، وابتداءً من 19 مايو 2026، جعلتها مايكروسوفت مجانية لكل أجهزة ويندوز سيرفر 2025 المتصلة بخدمة Azure Arc — سواء Standard أو Datacenter، محلياً أو على أي سحابة أخرى. سأشرح لاحقاً لماذا هذا التغيير مهم، لأنه يزيل بهدوء أكبر اعتراض كانت تطرحه ميزانيات تقنية المعلومات على هذا الإصدار.
• دعم NVMe وصل لمرحلة الإتاحة العامة الكاملة في تحديث أكتوبر 2025 التراكمي (رقم التحديث KB5066835)، محققاً التحسّن الموعود في سرعة الـ IOPS بنحو 70% — رغم أنه لا يزال اختيارياً (Opt-in) وليس مفعّلاً افتراضياً.
• عداد دعم ويندوز سيرفر 2022 بدأ العدّ التنازلي فعلياً. ينتهي الدعم الرئيسي في 13 أكتوبر 2026. بعد هذا التاريخ، يستمر 2022 في الحصول على تحديثات أمنية فقط ضمن الدعم الممتد (حتى 14 أكتوبر 2031)، لكن دون ميزات جديدة أو إصلاحات غير أمنية — وهذا يغيّر توقيت قرار الترقية لأي مؤسسة لا تزال متردّدة.

لم يكن أي من هذا صحيحاً وقت إطلاق ويندوز سيرفر 2025. وهذه بالضبط الفجوة التي أريد سدّها هنا — معظم الأدلة العربية تتوقف عند قائمة ميزات يوم الإطلاق ولا تعود لتحديثها أبداً، ما يعني أن كثيراً مما هو متداول الآن قديم من ناحية التكلفة ومستوى النضج دون أن يشعر القارئ بذلك.

الميزات التي أثبتت جدواها فعلياً

كل إصدار من ويندوز سيرفر يأتي بقائمة ميزات طويلة، ومعظمها تفاصيل تراكمية لن تلمسها أبداً. لكن خمس ميزات في هذا الإصدار مختلفة تشغيلياً بشكل حقيقي عمّا سبقها — وكلها اختُبرت الآن خارج مختبرات مايكروسوفت نفسها.

1. Hotpatching (مجانية الآن)

تسمح Hotpatching لويندوز سيرفر 2025 بتطبيق تحديثات الأمان مباشرة على الكود قيد التشغيل في الذاكرة، دون الحاجة لإعادة تشغيل السيرفر. بدلاً من إعادة تشغيل شهرية مع كل "Patch Tuesday"، تحتاج السيرفرات لإعادة التشغيل فقط في أشهر أساسية محددة — يناير وأبريل ويوليو وأكتوبر — أي حوالي أربع مرات في السنة بدلاً من اثنتي عشرة مرة. فريق Xbox الداخلي في مايكروسوفت نفسه أشار إلى أن اعتماد هذه الميزة قلّص دورات التحديث من أسابيع إلى يومين تقريباً.

كانت هذه الميزة حكراً على إصدار Datacenter: Azure Edition قبل 2025. ما تغيّر مع هذا الإصدار أنها أصبحت متاحة للسيرفرات المحلية والهجينة عبر اتصال Azure Arc — ولمدة تقارب العام، جاء هذا الوصول بفاتورة حقيقية: 1.50 دولار لكل نواة معالج شهرياً. على سيرفر بـ 32 نواة، هذا يعني 576 دولاراً سنوياً. لأسطول من مئة سيرفر بـ 64 نواة، كانت مواقع الترخيص تقتبس أرقاماً تتجاوز 100,000 دولار سنوياً. هذا الرقم بالذات هو سبب أن كثيراً من مسؤولي الأنظمة كتبوا عن Hotpatching باعتبارها "فكرة جميلة، لكنها تقتل الميزانية" ومضوا قدماً.

المتطلبات لا تزال تستحق معرفتها قبل التخطيط لها: يحتاج السيرفر لأن يعمل بإصدار Standard أو Datacenter من ويندوز سيرفر 2025، متصلاً بـ Azure Arc، ومفعّلاً عليه Virtualization-Based Security (VBS)، وهذه بدورها تتطلب إقلاعاً آمناً عبر UEFI (Secure Boot). إن كنت تعمل على عتاد قديم لا يدعم Secure Boot، فهذا هو العائق الحقيقي أمامك الآن — وليس السعر.

بنية Azure Arc Gateway تتيح للشبكات الفرعية المقيّدة في المؤسسات التحقق من رموز Hotpatch دون اتصال مباشر بالإنترنت.

البيئات المعزولة (Air-Gapped) وغير المتصلة: حقيقة Azure Arc التي يجب معرفتها

رغم أن مجانية Hotpatching مكسب ضخم للإعدادات الهجينة القياسية، إلا أنها تطرح عقبة معمارية في البيئات المقيّدة بشدة أو المصنّفة أو المعزولة تماماً عن الإنترنت (Air-Gapped). لأن التحقق من ترخيص Hotpatch وتنسيق كتالوج التصحيحات يعتمدان على تواصل دوري مع Azure Resource Manager عبر Azure Arc، فإن السيرفرات المعزولة بالكامل عن حركة المرور الصادرة لا يمكنها استخدام Hotpatching "من الصندوق" مباشرة.

لمعالجة هذا، قدّمت مايكروسوفت Azure Arc Gateway (مع دعم Private Endpoints لـ Arc)، والذي يتيح لفرق تقنية المعلومات في المؤسسات تجميع كل حركة الإدارة الصادرة عبر خادم وكيل واحد محكَم السيطرة، أو نقطة خروج (Egress) مخصصة. هذا يعني أن سيرفرات ويندوز سيرفر 2025 الإنتاجية لديك لا تحتاج اتصالاً مباشراً بالإنترنت للاستفادة من التحديث دون إعادة تشغيل — تحتاج فقط للوصول الشبكي إلى بروكسي Arc Gateway الداخلي الخاص بك.

لكن، بالنسبة للشبكات المعزولة بشكل صارم (مثل أنظمة SCADA الصناعية، أو البيئات الدفاعية الحساسة، أو قواعد البيانات المالية المعزولة تماماً بدون أي منفذ صادر)، تبقى Hotpatching غير متاحة. في هذه السيناريوهات عديمة الاتصال تماماً، يجب على مسؤولي الأنظمة الاستمرار في الاعتماد على WSUS التقليدي أو حزم التحديثات التراكمية دون اتصال (والتي لا تزال تتطلب إعادة التشغيل). فهم هذا الفارق مبكراً يمنع أخطاء معمارية أثناء التخطيط للترحيل.

2. الجيل الجديد من Active Directory

"الجيل الجديد من Active Directory" يبدو كلغة تسويقية لمجموعة تغييرات ضيقة النطاق نسبياً، لكنها مفيدة فعلاً — لم تشهد AD تحديثاً بنيوياً بهذا الحجم منذ ويندوز سيرفر 2016. التغيير الجوهري هو أن قاعدة بيانات AD يمكنها الآن استخدام صفحات بحجم 32 كيلوبايت بدلاً من الحد الأقصى 8 كيلوبايت الذي كان موجوداً منذ الأيام الأولى لخدمة الدليل. عملياً، هذا يرفع السقف الذي يمكن أن يحمله السمة (Attribute) الواحدة من بيانات — بزيادة تقارب 2.6 ضعف عدد المدخلات لكل سمة متعددة القيم — وهذا يهم بشكل خاص المؤسسات الكبيرة التي تدير مجموعات أمان ضخمة أو امتدادات مخطط (Schema) مزدحمة.

إلى جانب زيادة حجم الصفحة، يضيف ويندوز سيرفر 2025:

• دعم تشفير LDAP بمعيار TLS 1.3، مما يتيح لك التخلص تدريجياً من مجموعات التشفير القديمة الأضعف.
• كلمات مرور افتراضية أقوى لحسابات الأجهزة. حسابات الكمبيوتر الجديدة لم تعد تحصل على كلمات مرور افتراضية يمكن التنبؤ بها — تولّد AD الآن كلمات عشوائية طويلة بدلاً منها، وهذا يغلق ثغرة هجومية منخفضة الجهد كانت موجودة لسنوات.
• أدوات مدمجة لإصلاح وتشخيص كائنات AD، تهدف لتقليل حاجة المسؤولين لأدوات خارجية فقط لإيجاد وإصلاح كائن تالف أو يتيم (Orphaned).
• دعم Kerberos لخوارزميات AES-SHA256/384، مما يعزز المصادقة إلى ما هو أبعد من مجموعة الخوارزميات الأقدم.

من واقع ما لاحظته في نقاشات مجتمعات مسؤولي الأنظمة، لا شيء من هذا يتطلب إعادة هيكلة على مستوى الغابة (Forest) بالكامل — ترفع مستوى وظيفة النطاق والغابة، وأي متحكّم مجال جديد على 2025 يحصل تلقائياً على هذه المزايا. المتحكمات الحالية لا تحصل تلقائياً على حجم صفحة 32 كيلوبايت — هذا شيء تخطط له عند ترقية متحكمات جديدة أو إعادة بنائها.

3. SMB over QUIC للجميع

تتيح ميزة SMB over QUIC للعملاء الوصول إلى خادم ملفات عبر الإنترنت بشكل مشفّر وآمن، دون الحاجة لـ VPN تقليدي — مفيدة للفروع والموظفين عن بُعد الذين يصلون إلى مشاركة ملفات مركزية. كانت هذه الميزة موجودة في ويندوز سيرفر 2022، لكن فقط في إصدار Datacenter: Azure Edition، وهو ما لم تلمسه معظم الشركات المحلية. يجلبها ويندوز سيرفر 2025 إلى إصداري Standard و Datacenter بالكامل، ويضيف تحكماً في وصول العملاء، بحيث تستطيع تقييد الشهادات المسموح لها بالاتصال بدلاً من الوثوق بأي عميل يملك شهادة صالحة.

متطلبات الإعداد محددة: يحتاج خادم الملفات لشهادة TLS تحمل اسماً بديلاً للموضوع (SAN) مطابقاً لاسم النطاق الكامل (FQDN) الذي سيستخدمه العملاء، وتفتح منفذ UDP/443 الصادر بدلاً من كشف منفذ TCP/445 مباشرة للإنترنت — وهذا وحده تحسين أمني ملموس مقارنة بالطريقة التي عرّضت بها كثير من المؤسسات الصغيرة مشاركات ملفاتها تاريخياً للعاملين عن بُعد. إن كان فريقك يحافظ على بنية VPN (سواء site-to-site أو للعملاء) لمجرد وصول الموظفين عن بُعد إلى مشاركة ملفات، فهذا يستحق نظرة جادة قبل تجديد ترخيص الـ VPN القادم.

يمرّر SMB over QUIC حركة الملفات المشفّرة عبر UDP/443 مع التحقق من شهادات TLS 1.3، بدلاً من كشف منفذ TCP/445 للخارج.

4. Storage Spaces Direct (S2D) و ترشيد ReFS الأصلي

للبنية التحتية فائقة التقارب (HCI) ومسؤولي التخزين، يقدّم ويندوز سيرفر 2025 تحسينات جوهرية على Storage Spaces Direct (S2D) ونظام الملفات المرن ReFS تؤثر مباشرة على اقتصاديات التخزين. تاريخياً، كان ترشيد الملفات المكررة (Deduplication) على ويندوز سيرفر مقتصراً على البيانات الباردة أو أقراص NTFS التقليدية، ما يجعله غير مناسب لأقراص الأجهزة الافتراضية الحيّة (ملفات VHDX) العاملة على عناقيد Hyper-V نشطة.

يغيّر ويندوز سيرفر 2025 ذلك بدمج ترشيد وضغط ReFS على مستوى الكتلة (Block-Level)، مُحسَّناً خصيصاً لأحمال عمل المحاكاة الافتراضية النشطة. في نشر العناقيد الواقعية، هذا يوفّر ما بين 50% و60% من مساحة التخزين على مستودعات أقراص Hyper-V الافتراضية، دون التسبب في تراجع الأداء الذي عانت منه محركات الترشيد القديمة. عند دمج ذلك مع تحسّن الـ IOPS بنسبة 70% من مسار تخزين NVMe الأصلي المُحسَّن، تحقق عناقيد S2D العاملة على 2025 كثافة IOPS أعلى بشكل ملحوظ لكل عقدة (Node).

إضافة إلى ذلك، جرت مراجعة شاملة لمرونة العناقيد الممتدة (Stretched Cluster) في S2D بدورات إصلاح تلقائي أسرع وتحكم دقيق في نطاق ترددي للمزامنة. إذا كانت مؤسستك تقيّم البقاء محلياً أو الانتقال إلى Azure Stack HCI، فإن تحسينات S2D الأصلية هذه تمنح عناقيد ويندوز سيرفر Datacenter فائقة التقارب التقليدية عمراً افتراضياً أطول بكثير في بيئة المؤسسات.

ترشيد ReFS على مستوى الكتلة يوفّر أكثر من 50% من سعة التخزين على أحجام CSV الحيّة في عناقيد Hyper-V.

5. الحاويات وPodman وأدوات DevOps السحابية

رغم أن الحوسبة بالحاويات (Containerization) تُنسب عادة لتوزيعات لينكس، يمثّل ويندوز سيرفر 2025 أكثر إصدار نضجاً من مايكروسوفت لأحمال عمل Windows Containers ونشر Kubernetes الهجين. في الإصدارات السابقة، انتُقدت صور حاويات ويندوز الأساسية (Server Core و Nano Server) بسبب حجمها الكبير على القرص وبطء سحبها مقارنة بحاويات Linux Alpine.

في ويندوز سيرفر 2025، تقلّص حجم صور الحاويات الأساسية بنسبة تصل إلى 30%، ما يقلّص بشكل ملحوظ أوقات الإقلاع البارد وخطوط أنابيب النشر CI/CD. والأهم أن مايكروسوفت أضافت دعماً أصلياً لـ Podman إلى جانب Docker CE، مانحةً مسؤولي الأنظمة إدارة حاويات متوافقة مع معيار OCI ودون الحاجة لخدمة خلفية دائمة (Daemonless)، مباشرة من الصندوق. هذا يتيح للفرق المهتمة بالأمان تشغيل حاويات بصلاحيات محدودة (Rootless) دون الحاجة لخدمة Docker خلفية مستمرة.

لمسؤولي Kubernetes الذين يديرون عناقيد بأنظمة تشغيل مختلطة، يقدّم ويندوز سيرفر 2025 حاويات HostProcess محسّنة، ودعماً أفضل لتمرير كرت الشاشة (GPU Pass-through) داخل حاويات ويندوز. هذا يتيح تشغيل نماذج استدلال الذكاء الاصطناعي وخطوط أنابيب تعلّم الآلة مباشرة على عُقد عاملة تعمل بويندوز، ما يقلّص الفجوة بين قدرات لينكس وويندوز كمضيف للحاويات.

إدارة حاويات Podman الأصلية وبنية عُقد Kubernetes من نوع HostProcess في ويندوز سيرفر 2025.

إذا كنت تدير عناقيد Hyper-V وتفكّر في نقلها أو موازنتها مع Hypervisor آخر، فمقارنتنا بين VMware و Proxmox نقطة انطلاق جيدة قبل اتخاذ قرار الترقية — لأن سلوك تمرير GPU والـ Live Migration يختلف حسب طبقة المحاكاة الافتراضية التي تعتمدها.

ويندوز سيرفر 2025 مقابل ويندوز سيرفر 2022: ما الذي تغيّر فعلياً؟

إليك الجدول الذي يهمّك فعلاً للتخطيط، وليس قائمة المقارنة الكاملة المكوّنة من 40 بنداً التي ستجدها في ورقة بيانات مايكروسوفت الرسمية:

تراخيص CAL أيضاً مرتبطة بالإصدار — رخصة CAL لويندوز سيرفر 2022 لا تمنحك وصولاً لسيرفر 2025، لذا فإن ترقية الإصدار تعني تخصيص ميزانية لتراخيص وصول عميل (CAL) جديدة إلى جانب تراخيص النسخة الأساسية، وليس ترخيص السيرفر وحده.

متى ترقّي الآن ومتى يمكنك الانتظار؟

"هل نرقّي؟" ليس سؤالاً بإجابة نعم/لا واحدة تنطبق بنفس الطريقة على كل بيئة. إليك كيف أقسّم القرار بناءً على ما تشغّله فعلياً اليوم.

رقّي الآن (أو خطّط له بجدية)

• لا تزال تعمل على ويندوز سيرفر 2022 ونوافذ إعادة التشغيل نقطة ألم حقيقية. مجانية Hotpatching وحدها قد تبرّر تكلفة الترحيل إذا كانت مؤسستك تعمل بشكل شبه دائم — تقليل اثنتي عشرة دورة إعادة تشغيل إلزامية إلى أربع فقط مكسب تشغيلي حقيقي، وليس مجرد بند في قائمة الميزات.
• تدير مجموعات أمان AD كبيرة أو بيئات مزدحمة بامتدادات المخطط وواجهت حدود حجم السمات من قبل، ولو بشكل غير مباشر (بطء التماثل، سقف عضوية المجموعات). حجم الصفحة 32 كيلوبايت يزيل سقفاً ربما لم تكن تدرك أنك تصطدم به.
• مؤسستك ملتزمة بمعايير امتثال — مالية، صحية، أو أي جهة خاضعة لتدقيق يركّز تحديداً على إصدارات TLS وخوارزميات المصادقة. دعم LDAP لـ TLS 1.3 وتشفير Kerberos الأقوى من النوع الذي يظهر مباشرة في قائمة تدقيق الامتثال.
• مؤسستك هجينة بالفعل مع Azure Arc، أو تخطط لذلك. صُمّم ويندوز سيرفر 2025 بوضوح مع Arc كنسيج رابط، وستحصل على قيمة أكبر من قصة Hotpatching والمراقبة مقارنة بمنشأة محلية بحتة.
• تحتاج أحمال عمل مسرَّعة بكرت الشاشة — استدلال الذكاء الاصطناعي على الحافة، خطوط تعلّم الآلة، أو تطبيقات أعمال ثقيلة الرسوميات — حيث تقسيم GPU عبر الأجهزة الافتراضية قدرة لا يملكها ويندوز سيرفر 2022 أصلاً.
• تدير عناقيد Hyper-V أو مستودعات Storage Spaces Direct (S2D) وتحتاج ترشيد ReFS الحيّ على مستوى الكتلة لاستعادة أكثر من 50% من سعة القرص على مخازن VHDX النشطة.
• تشغّل Windows Containers أو عُقد Kubernetes هجينة وتريد أدوات Podman الأصلية المتوافقة مع OCI، وصوراً أساسية أصغر بنسبة 30%، وتمرير GPU داخل الحاويات.

يمكنك الانتظار بشكل معقول

• تعمل على ويندوز سيرفر 2022 دون نقاط ألم عاجلة ودون موعد امتثال ملزم. لديك مهلة حتى أكتوبر 2026 لتحديثات الميزات، وحتى 2031 للتصحيحات الأمنية — هناك مساحة زمنية حقيقية، وليس حافة هاوية.
• عتادك لا يدعم Secure Boot أو Virtualization-Based Security. جزء كبير من القيمة الرئيسية لإصدار 2025 — بما فيها Hotpatching — يعتمد على VBS. إذا كان ذلك يعني تحديث عتاد على أي حال، فمن المنطقي دمج ترقية نظام التشغيل مع دورة تحديث العتاد المخطَّطة القادمة بدلاً من التسرّع بها.
• تشغّل برمجيات أعمال متخصصة بقائمة توافق ضيقة ومختبَرة لم تعتمد ويندوز سيرفر 2025 بعد. مطاردة نظام التشغيل قبل مصفوفة دعم المورّد طريقة مضمونة لتنتهي في إعداد غير مدعوم للمنتجين معاً.

حساب العائد على الاستثمار: الأمان والوقت الإداري، لا الميزات فقط

عندما أتحدث مع مسؤولي أنظمة يزنون هذه الترقية، يتمحور النقاش دائماً تقريباً حول الميزات. لكن الحجة الأقوى هي الوقت والمخاطر — وهما الشيئان اللذان يظهران فعلياً في تبرير الميزانية.

وقت دورة التصحيح. الانتقال من اثنتي عشرة دورة تصحيح تتطلب إعادة تشغيل سنوياً إلى أربع فقط تخفيض ملموس وقابل للقياس في نوافذ التوقف المخطَّطة. إذا كانت مؤسستك تدير عمليات ضبط تغيير حول كل إعادة تشغيل — جدولة، إبلاغ أصحاب المصلحة، تخصيص فريق لنافذة خارج ساعات العمل — فإن تقليص ذلك من شهري إلى ربع سنوي ساعات حقيقية مستردة، مضاعفة عبر كل سيرفر في أسطولك. والآن بعد أن أصبحت Hotpatching نفسها مجانية على أجهزة 2025 المتصلة بـ Arc، التكلفة الوحيدة المتبقية هي جهد الإعداد الأولي لـ Arc، وهو غالباً مهمة تُنجز مرة واحدة.

الوضع الأمني. كلما طبّقت سيرفراتك تصحيحات الأمان بشكل أسرع ودون تعطيل، كلما صغرت نافذة تعرّضك للثغرات المُفصح عنها حديثاً. أضف إلى ذلك كلمات مرور افتراضية أقوى لحسابات الأجهزة، وTLS 1.3 لـ LDAP، وتحسينات Kerberos، وستكون قد أغلقتَ عدة مسارات هجوم منخفضة الجهد كانت موجودة في بيئات AD لسنوات — ليس عبر إضافة أدوات جديدة، بل عبر تغيير الإعدادات الافتراضية.

تكاليف ESU المتجنَّبة. إذا تركتَ ويندوز سيرفر 2022 يتجاوز تاريخ انتهاء الدعم الممتد عام 2031 دون خطة ترحيل، فأنت أمام رسوم برنامج Extended Security Update (ESU) — جسر مدفوع أمني فقط تزداد تكلفته كلما تأخرتَ. الترحيل بجدولك الزمني الخاص، بدلاً من تحت ضغط الموعد النهائي، هو دائماً تقريباً المسار الأرخص — مشابه تماماً لما شهدناه مع برنامج ESU الخاص بويندوز 10 على مستوى المستخدمين.

لا شيء من هذا يُغني عن نموذج تكلفة صحيح لبيئتك المحددة — عدد السيرفرات، عدد الأنوية، مزيج CAL، وتوقيت تحديث العتاد كلها تحرّك الرقم بشكل جوهري. لكن اتجاهياً، تحسّنت قصة العائد على الاستثمار لهذا الإصدار بشكل ملموس منتصف 2026، ويستحق الأمر إعادة تشغيل حساباتك إذا كنت قد أجّلت القرار العام الماضي بسبب تكلفة اشتراك Hotpatching.

خطة الترقية: ما الذي أتحقق منه أولاً

قبل أن تلمس متحكّم مجال إنتاجي، اتبع هذه القائمة — بالترتيب الذي سأعمل به فعلياً، وليس تفريغاً أبجدياً للميزات:

1. جرد العتاد بحثاً عن دعم UEFI Secure Boot و VBS. إذا كانت Hotpatching هي دافعك الرئيسي، فهذا هو الشرط الذي يعتمد عليه كل شيء آخر. السيرفرات الفعلية القديمة قد تحتاج تحديث Firmware، أو في بعض الحالات، لا تكون مؤهَّلة إطلاقاً. أداة التحقق من حالة Secure Boot و TPM بضغطة واحدة توفّر عليك التنقّل بين قوائم لوحة التحكم للتأكد بسرعة.
2. تأكّد أن مصفوفة توافق برمجيات أعمالك تذكر صراحة دعم ويندوز سيرفر 2025، وليس مجرد تعليقات منتدى بصيغة "يُفترض أن يعمل".
3. شغّل ADPREP (forestprep/domainprep) من وسائط 2025 قبل إدخال أول متحكّم مجال على 2025، وخطّط لرفع مستوى الوظيفة بشكل منفصل عن ترقية المتحكّم نفسه.
4. خصّص ميزانية CAL كبند منفصل عن ترخيص السيرفر — فهي مرتبطة بالإصدار ويسهل نسيانها حتى يكشفها تدقيق الامتثال.
5. جرّب أولاً على سيرفر ملفات أو تطبيقات غير حرج للتحقق من إعداد Azure Arc وتسجيل Hotpatch قبل النشر على مستوى الأسطول بالكامل.
6. جدول متحكمات المجال في آخر القائمة، لا في أولها. تعرّف على النظام في الأدوار الأقل خطورة قبل لمس السيرفرات التي، إن حدث خطأ ما، تُسقط المصادقة معها.

إذا كانت سيرفراتك تعمل حالياً داخل Hyper-V أو كنت تزن تغيير Hypervisor مع هذه الترقية، يستحق الأمر قراءة مقارنتنا بين VMware و Proxmox أولاً — لأن تقسيم GPU والـ Live Migration يتصرفان بشكل مختلف حسب طبقة المحاكاة الافتراضية، ومن الأسهل حسم ذلك قبل ترقية نظام التشغيل لا بعده.

وبما أن جاهزية Secure Boot و TPM تتحكم في عدة ميزات من إصدار 2025، فإن دليلنا الشامل حول الفرق بين BIOS و UEFI نقطة بداية سريعة لفهم أين تجد هذه الإعدادات بالضبط دون البحث في خمس قوائم مختلفة.

Confirm-SecureBootUEFI
# True  = العتاد جاهز لـ VBS وHotpatching (بعد ربطه بـ Azure Arc)
# False = تحقق من إعدادات UEFI أو أن العتاد يدعم Secure Boot أصلاً

أخطاء أراها متكررة عند هذه الترقية

1. افتراض أن Hotpatching لا تزال مدفوعة. رأيتُ هذا الاعتراض المتعلق بالتكلفة متكرراً في خيوط المنتديات ومقترحات الميزانية الداخلية بتاريخ لاحق لمايو 2026 — وهو ببساطة معلومة قديمة. تحقق مجدداً من التسعير الحالي مباشرة من توثيق Azure Arc الرسمي قبل استبعادها.
2. معاملة تحديث مخطط AD كعمل اختياري ثانوي. حجم الصفحة 32 كيلوبايت وتحسينات AD الأخرى تسري فقط بأثر لاحق — تشغيل ADPREP ورفع مستويات الوظيفة ليس تلقائياً، وتجاهله يعني أن متحكمات المجال الجديدة لن تمنحك فعلياً الفائدة التي رقّيت من أجلها.
3. ترقية متحكمات المجال قبل التحقق من توافق التطبيقات. AD هو المكان الوحيد الذي تكون فيه عقلية "سنصلحها في الإنتاج" أغلى خطأ في هذه القائمة. جرّب كل شيء آخر أولاً.
4. نسيان أن CAL مرتبطة بالإصدار. شراء ترخيص سيرفر نظيف مع الاحتفاظ بتراخيص CAL قديمة فجوة امتثال ترخيص تنتظر أن يكتشفها التدقيق.
5. كشف SMB over QUIC بشكل خاطئ. الهدف الكامل هو استبدال كشف TCP/445 المباشر بـ UDP/443 والثقة القائمة على الشهادات — ترك المنفذ 445 مفتوحاً "احتياطاً" يُلغي الفائدة الأمنية التي رقّيت من أجلها في المقام الأول.
6. افتراض أن Hotpatching تعمل دون Arc Proxy Gateway في الشبكات المعزولة. الشبكات المؤسسية غير المتصلة يجب أن توجّه حركة الإدارة عبر نقطة نهاية Azure Arc Gateway؛ وإلا فشل التحقق من الرمز وتعود السيرفرات لتحديثات تقليدية تتطلب إعادة تشغيل.
7. تجاهل ترشيد ReFS على أحجام Hyper-V CSV. تخطّي إعداد ترشيد ReFS على مستوى الكتلة على مخازن المحاكاة الافتراضية النشطة يفوّت استعادة أكثر من 50% من سعة القرص عبر مستودعات الأجهزة الافتراضية.

الأسئلة الشائعة

هذه أكثر الأسئلة التي يطرحها القرّاء وهم يزنون هذا القرار بالذات. إن لم يكن سؤالك هنا، اتركه في التعليقات وسأضيفه.