Windows Server 2025: novidades e quando migrar seus servidores

Por que o Windows Server 2025 merece atenção agora

O Windows Server 2025 está disponível desde novembro de 2024. É a versão LTSC (Long-Term Servicing Channel) mais recente da Microsoft, com suporte estendido até 2034. A Microsoft não costuma lançar versões de servidor todo ano. Por isso, cada versão nova costuma definir como a infraestrutura das empresas vai funcionar por quase uma década. Para quem administra servidores de arquivos, controladores de domínio, ERPs ou bancos de dados, este é o momento de planejar, e não apenas de observar.

O calendário de suporte também pesa. O suporte estendido do Windows Server 2016 termina em 12 de janeiro de 2027. A partir dessa data, esses servidores deixam de receber correções de segurança. O Windows Server 2012 e o 2012 R2 já estão fora do suporte, e quem os mantém depende de atualizações estendidas pagas, que também estão no fim. O Windows Server 2022, por sua vez, saiu do suporte principal em outubro de 2026: daqui em diante ele recebe só correções de segurança, sem novidades.

Na prática, um servidor sem atualização é uma porta aberta para ransomware e vazamento de dados. Também pode ser um problema de conformidade com a LGPD e com auditorias de clientes. Migrar deixou de ser uma questão de ter os recursos mais novos e virou uma questão de gestão de risco.

Se a sua empresa ainda tem servidores com Windows Server 2016 ou anterior, o prazo para planejar a migração com calma é agora. Migração feita às pressas, perto do fim do suporte, costuma sair mais cara e mais arriscada.

Hotpatch: atualizações de segurança sem reiniciar o servidor

Para muitas equipes de TI, a novidade mais concreta é o hotpatch. Antes, toda atualização mensal de segurança pedia reinicialização. Isso exigia janela de manutenção, aviso aos usuários e, muitas vezes, alguém trabalhando de madrugada. Com o hotpatch, a correção é aplicada direto na memória dos processos em execução, sem desligar o servidor.

O ciclo funciona em trimestres. Nos meses de linha de base (janeiro, abril, julho e outubro), o servidor recebe uma atualização cumulativa que exige reinicialização. Nos dois meses seguintes de cada trimestre, as correções chegam como hotpatch, sem reboot. O resultado são cerca de quatro reinicializações por ano no lugar de doze. Em ambientes com ERP, banco de dados ou serviços que atendem clientes o tempo todo, essa diferença é grande.

Há alguns requisitos técnicos e comerciais:

• Edições compatíveis: Windows Server 2025 Standard ou Datacenter.
• Conexão com o Azure Arc: o servidor local precisa estar registrado no Azure Arc, mesmo rodando no seu data center.
• Segurança baseada em virtualização (VBS): precisa estar habilitada no servidor.
• Assinatura: fora do Azure, o hotpatch é cobrado por núcleo/mês (preço de lista de referência da Microsoft na faixa de US$ 1,50 por núcleo). Na edição Datacenter: Azure Edition, usada no Azure e no Azure Local, ele já vem incluído.

Vale fazer a conta para o seu caso. Para servidores críticos, o custo da assinatura costuma ser menor que o custo de horas extras e de indisponibilidade. Para servidores de laboratório ou de baixa criticidade, o modelo tradicional, com reinicialização mensal, continua bastando.

SMB over QUIC e o novo padrão de segurança para arquivos

No Windows Server 2022, o SMB over QUIC só existia na edição Azure. No 2025, ele chega às edições Standard e Datacenter. Com ele, usuários remotos acessam pastas compartilhadas do servidor de arquivos de forma segura, pela internet, sem VPN. O tráfego vai pela porta UDP 443, sempre criptografado com TLS 1.3, e o servidor é autenticado por certificado.

Para escritórios com equipe híbrida, filiais pequenas ou profissionais que trabalham de casa, isso simplifica muito o acesso. Sai a VPN instável que derruba a conexão no meio de uma planilha. Entra um acesso direto ao compartilhamento, com controle de quais clientes podem se conectar (o recurso de controle de acesso do cliente SMB over QUIC). A VPN não precisa desaparecer, mas deixa de ser o único caminho.

A Microsoft também deixou o SMB mais rígido por padrão:

• Assinatura SMB obrigatória por padrão, o que dificulta ataques de retransmissão (relay).
• Limitador de tentativas de autenticação, que insere um atraso entre falhas de login e torna os ataques de força bruta muito mais lentos.
• Opção de bloquear NTLM em conexões SMB de saída, empurrando o ambiente para o Kerberos.

Esses padrões mais rígidos têm um efeito colateral: equipamentos e sistemas antigos podem parar de acessar compartilhamentos. Impressoras multifuncionais que digitalizam para pasta, NAS antigos e aplicações legadas que dependem de NTLMv1 são exemplos. O NTLMv1 foi removido no Windows Server 2025. Por isso, mapear esses casos antes da migração é obrigatório.

Active Directory renovado: mais escala e mais segurança

O Active Directory recebeu a maior atualização em anos. O Windows Server 2025 traz um novo nível funcional de domínio e de floresta. Ele também permite, de forma opcional, usar páginas de 32 KB no banco de dados do AD, no lugar das tradicionais 8 KB. Com isso, atributos com vários valores comportam muito mais entradas, um ganho importante para organizações grandes ou com muitos grupos. Os controladores de domínio também passaram a aproveitar melhor servidores com muitos processadores, graças ao suporte aprimorado a NUMA.

Na segurança, as mudanças são significativas:

• Criptografia LDAP por padrão após a autenticação, e suporte a TLS 1.3 nas conexões LDAP seguras.
• Contas de serviço gerenciadas delegadas (dMSA): um novo tipo de conta para substituir contas de serviço antigas com senha fixa, um dos alvos favoritos de atacantes.
• Windows LAPS aprimorado: gerenciamento automático da conta de administrador local, suporte a frases-senha e detecção de restauração de imagem, que evita que um snapshot antigo traga de volta uma senha já trocada.
• Credential Guard habilitado por padrão em hardware compatível, protegendo credenciais armazenadas em memória.

Um ponto prático para quem vai migrar: para promover um controlador de domínio com Windows Server 2025, a floresta precisa estar pelo menos no nível funcional Windows Server 2016. Ambientes que ainda operam em níveis 2008 R2 ou 2012 precisam passar por uma etapa prévia de elevação. Essa etapa exige aposentar controladores antigos e validar a replicação.

Atualizar o Active Directory não é só instalar um servidor novo e promover. É revisar contas de serviço, políticas de senha, dependências de NTLM e a saúde da replicação. Bem feito, é a oportunidade de deixar a identidade da empresa muito mais segura.

Licenciamento: o que muda no Windows Server 2025

O modelo básico continua o mesmo: licenciamento por núcleo físico, com mínimo de 8 núcleos por processador e 16 núcleos por servidor, mais as CALs (licenças de acesso de cliente) para usuários ou dispositivos. A edição Standard dá direito a duas máquinas virtuais por licença completa do host. A Datacenter permite VMs ilimitadas e inclui recursos como o Storage Spaces Direct. Atenção às CALs: usuários que acessam servidores 2025 precisam de CALs da versão 2025, e as antigas não cobrem a versão nova. O mesmo vale para as CALs de Remote Desktop Services.

A grande novidade comercial é o pagamento conforme o uso (pay-as-you-go) via Azure Arc. Em vez de comprar a licença perpétua de uma vez, a empresa pode conectar o servidor ao Azure Arc e pagar pelo Windows Server por núcleo, na fatura do Azure, enquanto o servidor estiver em uso. Esse modelo atende bem projetos temporários, ambientes sazonais ou empresas que preferem custo operacional mensal a investimento inicial.

Para decidir entre os modelos, considere:

• Horizonte de uso: servidores que vão rodar cinco anos ou mais tendem a sair mais baratos com licença perpétua ou contrato de volume.
• Software Assurance: quem tem SA ganha direitos de mobilidade e benefícios híbridos no Azure (Azure Hybrid Benefit).
• Virtualização: com muitas VMs no mesmo host, a Datacenter quase sempre compensa em relação a várias licenças Standard.
• Hotpatch: se for usar, inclua o custo mensal por núcleo no orçamento.

Quando migrar e como a Duk pode ajudar

A resposta curta: migre agora se tiver servidores com Windows Server 2016 ou anterior. Planeje para os próximos 12 a 24 meses se estiver no 2019. Avalie caso a caso se estiver no 2022, que tem suporte estendido até 2031 e não exige pressa, embora já tenha saído do suporte principal. Outro bom momento é a troca de hardware: servidor novo com sistema operacional antigo é desperdício de ciclo de vida. O Windows Server 2025 também permite atualização in-place a partir do 2012 R2, saltando até quatro versões. Mesmo assim, para servidores críticos, uma instalação limpa com migração de funções costuma ser o caminho mais seguro.

Um roteiro de migração bem feito costuma seguir estas etapas:

1. Inventário: listar todos os servidores, funções (AD, DNS, DHCP, arquivos, impressão, RDS, banco de dados), versões e datas de fim de suporte.
2. Compatibilidade de aplicações: confirmar com fornecedores de ERP, sistemas contábeis, antivírus e backup se a versão 2025 é homologada.
3. Mapeamento de dependências legadas: identificar uso de NTLMv1, SMB sem assinatura, contas de serviço com senha fixa e equipamentos antigos.
4. Definição de licenciamento: escolher entre licença perpétua, contrato de volume ou pay-as-you-go via Azure Arc, e dimensionar as CALs.
5. Ambiente de testes: validar a migração em laboratório ou em VMs isoladas antes de mexer na produção.
6. Backup verificado: garantir cópias restauráveis e testadas de tudo antes de cada etapa.
7. Migração por fases: começar por servidores menos críticos, depois controladores de domínio e, por último, sistemas centrais, sempre com plano de retorno.
8. Endurecimento pós-migração: ativar hotpatch, LAPS, dMSA e as políticas de segurança novas que fizerem sentido para o ambiente.

A Duk Informática & Cloud atende mais de 550 empresas e tem mais de 18 anos de experiência em infraestrutura Microsoft. Como Microsoft Gold Partner, conduzimos migrações de Windows Server de ponta a ponta: do inventário e da revisão do licenciamento à migração do Active Directory, sempre com backup validado e o mínimo de impacto na operação. Para quem quer modernizar sem investir em hardware próprio, também oferecemos hospedagem dos servidores no nosso data center em Alphaville, com gestão híbrida pelo Azure Arc e suporte 24/7 com SLA.

Se a sua empresa ainda depende de servidores perto do fim do suporte, ou quer aproveitar recursos como hotpatch e SMB over QUIC, fale com a Duk. Fazemos uma avaliação do seu ambiente e entregamos um plano de migração claro, com prazos, custos e riscos mapeados antes de qualquer mudança.