Windows Server Backup (WSB): настройка, расписание и восстановление

Я Семёнов Евгений, директор АйТи Фреш. За 15+ лет я восстановил из бэкапов несколько десятков серверов — в диапазоне от «файл потерял» до «гипервизор сгорел вместе с массивом». И каждый раз убеждаюсь: бесплатный Windows Server Backup закрывает 80% сценариев малого и среднего офиса. Не нужен Veeam ценой в полмиллиона, если у вас одна-две виртуалки и понятная политика RPO/RTO. В статье — рабочая методика, которую я ставлю клиентам с 30+ рабочими местами.

Что умеет и чего не умеет WSB

Штатный бэкап Windows Server — это простой VSS-ориентированный инструмент. Умеет делать полный и инкрементальный образ томов, System State, отдельные папки. Не умеет: гранулярное восстановление Exchange-почты, дедупликацию, репликацию на площадку, бэкап с тонких клиентов и расписание «5 раз в день». Если задача — восстановить сервер за 4 часа после краха — WSB справится. Если RTO 15 минут, репликация и тестовые запуски — смотрите Veeam.

Что бэкапить

Установка и первый запуск

Install-WindowsFeature Windows-Server-Backup -IncludeManagementTools

# Запуск консоли
wbadmin.msc

# Проверка версии модуля PowerShell
Get-Module -ListAvailable WindowsServerBackup

Установка занимает минуту и не требует перезагрузки. После этого открываю wbadmin.msc и создаю Backup Schedule. Всегда прячу WSB-консоль в любимую папку и накидываю ярлык в меню, чтобы быстро попадать без поиска.

Выбор хранилища

Три варианта, каждый со своими компромиссами:

• Внутренний HDD — быстрее всего, но при пожаре или шифровальщике в локальной сети данные уходят вместе с сервером.
• Внешний USB/SATA — отлично для малого офиса. Я физически отключаю диск после бэкапа на критичных системах, это спасло двух клиентов от ransomware в 2024.
• Сетевая шара SMB — самое популярное, но помните: WSB на шару пишет только полный бэкап, без инкрементов. Размер хранилища множится.

Расписание через PowerShell

# Создаём политику
$policy = New-WBPolicy

# Добавляем BMR + System State
Add-WBBareMetalRecovery -Policy $policy
Add-WBSystemState -Policy $policy

# Добавляем общие папки
$share = New-WBFileSpec -FileSpec "D:\Shares", "E:\1C-Data"
Add-WBFileSpec -Policy $policy -FileSpec $share

# Целевой диск
$target = New-WBBackupTarget -VolumePath "F:"
Add-WBBackupTarget -Policy $policy -Target $target

# Расписание ежедневно в 2:00
Set-WBSchedule -Policy $policy -Schedule 02:00
Set-WBPolicy -Policy $policy

# Проверка
Get-WBPolicy | Format-List

System State: без этого восстановление невозможно

System State — это набор критичных компонентов (AD, реестр, SYSVOL, сертификаты, IIS metabase). Без него BMR даёт рабочую ОС, но без AD-специфики. Я всегда включаю System State в ежедневный бэкап. Если у вас DC, это единственный штатный способ авторитативного восстановления AD объекта с помощью ntdsutil.

Инкременты и ретенция

WSB делает только один уровень инкрементов — между полным бэкапом и последней точкой. Старые инкременты удаляются автоматически, когда диск заполняется. Это удобно — не надо вручную настраивать ретенцию. Но есть нюанс: если диск мал, бэкап может не помещаться. Я всегда беру диск с запасом: размер данных × 1.5.

Настройка компактного режима:

# Сделать бэкап, использующий VSS differential (экономнее)
Set-WBVssBackupOption -Policy $policy -VssFullBackup

# Или наоборот — полный каждый раз без инкрементов
Set-WBVssBackupOption -Policy $policy -VssCopyBackup

Восстановление: три сценария

1. Отдельные файлы и папки

Через wbadmin.msc → Recover → Files and folders. Выбираем точку восстановления, указываем целевой путь. Занимает минуты. Для пользователя всё происходит прозрачно.

2. Откат System State (AD-объекты, политики)

wbadmin start systemstaterecovery -version:05/01/2026-02:00 `
  -backupTarget:\\backupsrv\wsb -quiet

# Авторитативное восстановление удалённого OU
ntdsutil
activate instance ntds
authoritative restore
restore subtree "OU=Sales,DC=corp,DC=example,DC=ru"
quit
quit

3. Bare-Metal Recovery

Загружаемся с установочного ISO Windows Server. System Image Recovery → указываем путь. Если данные на локальном диске — определяется автоматически. Если на сетевой шаре — выбираем Advanced → Install a driver (обычно не требуется) → Search for a system image on the network. Полное восстановление сервера занимает от 30 минут до 2 часов в зависимости от объёма данных и скорости дисков.

Мини-кейс: ransomware и восстановление за 3 часа

Январь 2026. Клиент — торговая компания, 38 рабочих мест. Ночью шифровальщик прошёл по файл-серверу и главному 1С. Админ обнаружил утром. WSB отрабатывала каждые сутки в 2:00 на внешний USB-диск, который я три месяца назад настроил физически отключаться при простое скриптом (usbdeview в Task Scheduler).

В 8:30 мы подключили ноутбук с админскими правами. USB-диск чистый, криптор до него не добрался. В 8:55 запустили BMR на файл-сервер, в 10:45 — System State на DC. К 12:00 все данные восстановлены из точки на 01:56 ночи. Потери — ~6 часов работы, безвозвратно уничтоженных файлов нет. Стоимость всего инцидента — 18 000 руб. работы команды. Без WSB клиент заплатил бы выкуп или потерял данные за всё время существования компании.

Проверка бэкапа — обязательна

Я всегда настраиваю ежемесячный тестовый restore на тестовую виртуалку. Без этого бэкап — это лотерея. Схема простая: создаю пустую Hyper-V VM, запускаю BMR из последней точки, проверяю загрузку и логин. Занимает час, спокойствие бесценное.

# Проверка целостности журнала WSB
wbadmin get versions
wbadmin get status
Get-WBJob -Previous 5 | Format-Table -AutoSize

Типовые ошибки

• Бэкап на тот же физический диск — при его смерти теряется всё.
• Не включён System State на контроллере домена.
• Хранилище на сетевой шаре домена — если DC упал, шара недоступна, бэкап не запускается.
• Нет тестового восстановления — обнаруживают проблему в момент аварии.
• Хранят только последнюю точку — забывают про скрытые повреждения (например, шифровальщик с задержкой).

WSB + внешнее копирование

Для 3-2-1 схемы WSB недостаточно. Я дополняю его robocopy на удалённый файл-сервер или Veeam Agent for Windows (он бесплатный для Endpoint-лицензии):

# Копирование WSB-каталога на удалённый сервер
robocopy "F:\WindowsImageBackup" "\\offsite\wsb-copy" /MIR /E /Z /R:2 /W:5 `
  /LOG:C:\Logs\robocopy-wsb.log /NP /TEE

# Запланированная задача ежедневно в 4:30

FAQ — частые вопросы о WSB

Что такое Windows Server Backup?

Штатная роль Windows Server для бэкапа файлов, System State и BMR.

Можно ли хранить WSB-бэкапы на сетевой шаре?

Да, но инкрементов нет, каждый раз полный архив.

Чем WSB отличается от Veeam?

WSB проще, бесплатен, но без репликации, CBT и гранулярного восстановления Exchange/SQL.

Как восстановить систему из bare-metal-бэкапа?

Загрузка с установочного ISO → Repair → System Image Recovery.

Сколько хранить бэкапы WSB?

Минимум 14 точек и правило 3-2-1.