拓冰网站定制 
1. 17763.2028 这串数字背后LTSC 2019 的定位与补丁水位先把这个标题拆开看。windows_10_enterprise_ltsc_2019 X64纯净版17763.2028这里面其实塞了三层信息产品线Windows 10 Enterprise LTSC 2019、架构x64、补丁水位17763.2028而纯净版三个字说的是镜像没有被动过手脚没有塞进第三方推广软件、没有预置激活工具、没有改过默认主页。对做企业桌面运维、工业控制机上位机、老服务器重装、虚拟机模板这一类活的人来说这套组合是有明确使用场景的不是随便选的。我接触 LTSC 这条线的时间比较早从 LTSB 2015 一路用到 LTSC 2021中间踩过的坑基本都跟它太干净了有关——干净到很多你以为理所当然的东西根本不存在。所以这篇文章不打算写成下载说明而是按我实际部署的流程走一遍从拿到镜像开始校验到拆开映像看里面到底有什么再到装机时驱动怎么塞、装完运行库怎么补、用起来会遇到什么问题。看完你应该能自己判断一个镜像能不能用、一个装机方案靠不靠谱。1.1 企业为什么愿意用一个不发新功能的系统LTSCLong-Term Servicing Channel的核心承诺只有两条功能冻结和支持周期长。它基于某一个 Windows 10 半年频道版本的内核把功能更新通道关掉之后只接收安全更新和少量可靠性修复。LTSC 2019 的内核对应的是 Windows 10 版本 1809也就是 build 17763。这件事对普通家用用户来说没什么吸引力但对下面几类场景几乎是刚需场景痛点在半年频道上的表现LTSC 2019 的价值工控机 / 上位机功能更新后串口驱动、组态软件异常系统行为几年不变验证一次管很久医疗、检测类仪器配套主机厂商软件只认证过某个内核版本认证结果长期有效不用反复重测企业办公固定工位每次大版本升级都要重新做兼容性验证免掉年度兼容测试的人力虚拟机模板 / 测试基线半年就得更新一次基础镜像基线镜像可以长期复用店里收银、前台一体机自动更新重启打断营业补丁节奏自己控注意表格里我写的是验证一次管很久不是永远不用管。这是个很容易被误解的点功能冻结不等于不打补丁。安全更新照样按月来你照样得安排窗口去装只是不会有那种把整个开始菜单、任务栏、设置面板全换一遍的大改。另外还有一个现实因素很多老硬件的驱动只在 1809 那个年代被完整验证过。比如一些 2013 到 2016 年间的阵列卡、网卡、专用采集卡厂商的 Windows 10 驱动最后一版停在 2018 年装到 22H2 上能不能用全看运气装到 LTSC 2019 上基本就是当年那个环境。这不是技术优劣问题是工程上的确定性偏好。1.2 17763.2028 处于哪个水位17763是 build 号.后面的数字是修订号Revision它随着每个月累积更新往上走。同一个 LTSC 2019 镜像修订号不同意味着出厂时已经内置了不同月份的补丁。17763.2028 这个水位大致落在 2021 年年中前后的月度安全更新附近具体对应哪一次更新建议以官方更新历史页面为准——因为同一个修订号在不同渠道上的发布日期可能被记录成不同的 KB。为什么要在意这个数字我列几个实际理由省补丁时间。拿到一个.2028的镜像比拿到.1RTM的镜像装完之后要补的安全更新少一年多的量。在离线内网环境里这个差别就是几十分钟和一整天的区别。避开早期缺陷。1809 这个版本在刚发布时出过用户配置文件相关的严重问题后续更新里陆续修掉了。修订号越靠后你踩到老坑的概率越低。判断镜像来源是否可疑。如果有人给你一个标着.2028、但文件大小比正常 ISO 小一半的镜像那基本可以确定是被裁过的得谨慎。我个人的选法是优先选接近当前补丁水位的镜像但不要迷信越新越好。有些第三方重打包的镜像为了追新把组件裁得很激进装完发现某个 .NET 功能开不起来回头补比从头装还费劲。1.3 拿到镜像先做三件事哈希、映像信息、启动环境体检镜像到手别急着刻盘先做三步验证这三步能挡掉九成的装到一半失败。第一算哈希。官方渠道的 ISO 一般会公布 SHA-256。Windows 下直接用 PowerShellGet-FileHash -Path D:\ISO\win10_ltsc2019_x64.iso -Algorithm SHA256算出的一长串字符跟公布值逐位比对。别用那些一秒钟出结果的哈希查看小工具我见过带捆绑的。第二看映像信息。挂载 ISO 后用 DISM 查 wim 里到底有几个索引、哪个是我们要的版本dism /Get-WimInfo /WimFile:D:\sources\install.wim正常的多版本 ISO 会有好几个索引专业版、企业版、教育版等。LTSC 的镜像通常索引很少可能就是 1 个或 2 个。如果索引列表里出现一堆你从没听过的名字说明这镜像被人重新打包过。第三检查启动环境。这一步最容易被跳过但它在老机器上极其关键dism /Mount-Wim /WimFile:D:\sources\boot.wim /Index:2 /MountDir:C:\mnt\boot dism /Get-Drivers /Image:C:\mnt\bootboot.wim里的索引 2 是安装程序本体所在的映像。如果你要装的机器硬盘挂在 RAID 卡上而这张卡在boot.wim里没有对应驱动那么安装程序连硬盘都看不到界面里会是一片空白你连下一步都点不下去。提前看清楚比在机房里抱着头想为什么强。提示挂载 wim 需要管理员权限挂载目录提前建好操作完成后一定要用dism /Unmount-Wim /MountDir:C:\mnt\boot /Discard卸载忘了卸载会导致后续操作报文件被占用重启才恢复。2. 拆开 install.wim所谓纯净版到底纯在哪纯净版这个词在圈子里已经被用滥了。有人指的是没有预装第三方软件有人指的是没有裁剪系统组件还有人指的是没有预置用户和应答文件。这三个含义完全不同风险也不同。我判断一个镜像纯不纯从来不看标题只看映像里实际装了什么。2.1 用 DISM 挂载映像直接看清单把 install.wim 挂起来然后看两个东西装了的更新包和装了的应用包。dism /Mount-Wim /WimFile:D:\sources\install.wim /Index:1 /MountDir:C:\mnt\install dism /Image:C:\mnt\install /Get-Packages /Format:Table dism /Image:C:\mnt\install /Get-ProvisionedAppxPackages第一条命令列出已经集成进映像的更新包。如果这里空空如也说明这是原始 RTM 级别的映像你装完要补的补丁量大得吓人如果里面有几十条Package_for_RollupFix之类的记录说明补丁是集成进去了。第二条命令列出预置的应用包就是那种装完第一次登录会自己装上的商店应用。真正的干净 LTSC 2019 在这里应该基本是空的因为 LTSC 本来就不带商店和那些消费级应用。如果你在一个自称 LTSC 的镜像里看到一堆*Twitter*、*CandyCrush*之类的名字那它要么不是 LTSC要么是被人塞进去的。顺便还能看一眼服务状态和默认组件判断裁剪程度dism /Image:C:\mnt\install /Get-Features /Format:Table | findstr /i Enabled对照你自己需要的功能比如 SMB1、Telnet 客户端、.NET 3.5、Hyper-V、打印服务看看是启用状态还是禁用状态。这个表能帮你判断这个镜像精简得狠不狠。2.2 LTSC 天生就没有的东西以及对应的补齐方案这是新手最容易懵的地方。装完 LTSC 2019你会发现任务栏干干净净找遍全系统没有商店没有 Cortana没有 OneDrive 客户端邮件、日历、地图、天气一个都没有。很多人第一反应是这镜像坏了其实这就是 LTSC 的原貌。我按实际使用频率列一下缺失项和替代方案缺失组件影响我的处理方式Microsoft Store无法从商店装应用企业环境直接用离线安装包分发不需要商店UWP 消费级应用无邮件、日历、天气、地图用传统桌面程序替代Edge 旧版内核组件只有 IE11直接部署新版浏览器安装包语音助手无语音交互基本不影响办公部分媒体编解码器某些视频格式无法播放装通用解码包或换播放器.NET Framework 3.5老旧业务软件跑不起来用 ISO 里的 sxs 目录离线启用这里我要多说一句.NET Framework 3.5。很多人装完 LTSC 发现某个 2010 年代的业务软件打不开报缺 Framework就到处找 3.5 的独立安装包下载。其实不用安装 ISO 的sources\sxs目录里就带着组件源。挂上 ISO 后执行dism /Online /Enable-Feature /FeatureName:NetFx3 /All /LimitAccess /Source:E:\sources\sxs/LimitAccess这个参数很重要它告诉系统不要跑去网上找更新源就用你指定的目录。不加这个参数在内网无外网的环境下会卡很久然后报错。我在一个完全隔离的车间网络里就吃过这个亏等了二十分钟才报错加参数之后十几秒搞定。2.3 第三方精简镜像的取舍逻辑网上流传的各种深度精简版动辄把镜像压到 1.5G 以内看起来很诱人。我的态度是看用途分场景不要一刀切否定也不要无脑用。精简一般从这几个地方下手WinSxS 组件存储、驱动库DriverStore、语言包、休眠文件、恢复环境、部分可选功能。省下来的空间确实可观从十几 G 压到两三 G 很常见。代价是补丁可能装不上。WinSxS 被裁狠了之后某些累积更新会因为缺少前置组件而安装失败报错代码往往是 0x800f081f 或 0x80073712。可选功能开不起来。你想装 Hyper-V、想开 IIS结果发现组件源没了。驱动回滚失效。DriverStore 被清过之后出问题没法退回上一版驱动。故障难定位。官方镜像出问题你能查到公开文档裁过的镜像出问题只能自己啃。我自己的原则是开发机、测试机、虚拟机模板可以用精简镜像省空间生产环境的物理机、工控机、要长期维护的机器一律用未裁剪的纯净镜像。理由很简单——生产机出故障的成本远高于省下来的那点磁盘空间。如果你确实想要一个自己的纯净版正确做法不是下载别人裁的而是自己做。大致流程是官方 ISO → 挂载 install.wim → 集成补丁和驱动 → 卸载保存 → 重新打包成 ISO。这套流程全程可追溯出问题也知道自己动过哪一步。后面第 6 节我会把这套流程的具体命令捋一遍。3. 装机现场的硬骨头存储控制器驱动与分区方案镜像验证完接下来是真正动手的环节。我在机房里遇到最多的问题不是系统装不上而是安装程序看不到硬盘。这个问题在两类机器上尤其常见一是带独立 RAID 卡的老服务器二是用 NVMe 盘但主板固件比较新的工作站。3.1 MegaRAID SAS 9260 这类老阵列卡的驱动注入以 MegaRAID SAS 9260-8i 这类 6Gb/s 的阵列卡为例。这类卡在 Windows 10 时代已经没有官方新驱动了最后一版 x64 驱动大概是 2016 到 2018 年之间发布的。你如果直接拿 LTSC 2019 的官方镜像去装安装程序扫硬盘那一步会显示未找到驱动器。关键点安装程序用的是 boot.wim 里的驱动不是 install.wim 里的。所以你要把驱动注入到两个地方:: 注入到安装环境 dism /Image:C:\mnt\boot /Add-Driver /Driver:D:\drivers\megaraid /Recurse :: 注入到目标系统 dism /Image:C:\mnt\install /Add-Driver /Driver:D:\drivers\megaraid /Recurse/Recurse表示递归扫描子目录因为驱动包里通常有一堆不同架构和不同系统的 inf 文件手动挑容易漏。这两步做完两个映像都要卸载保存dism /Unmount-Wim /MountDir:C:\mnt\boot /Commit dism /Unmount-Wim /MountDir:C:\mnt\install /Commit如果手上没有能改映像的环境还有一个更土但更快的办法安装程序报未找到驱动器的那个界面其实有一个加载驱动程序按钮。把驱动拷到 U 盘上点这个按钮指向 inf 文件所在目录加载完硬盘就会冒出来。缺点是每次装都要手动来一遍量产部署时不划算。注意驱动包解压后目录结构很乱常见的是\Windows\2016\、\Windows\2019\这类按系统版本分的子目录。用/Recurse交给 DISM 自己筛就行不用自己挑。但如果驱动包里有 32 位和 64 位混放的情况DISM 会跳过不匹配的不影响。3.2 UEFIGPT 还是 LegacyMBR怎么选这个选择不是审美问题是能不能启动的问题。对比项UEFI GPTLegacy MBR启动速度略快略慢分区数量理论无限制最多 4 个主分区安全启动支持不支持大于 2TB 的硬盘支持只能靠特殊手段老阵列卡 / 老固件可能不认通常没问题老业务软件的加密狗驱动少数会出问题兼容性更好我的经验判断是2015 年以后的主板能用 UEFI 就用 UEFI2013 年以前的服务器或者古老的工控主板老老实实用 Legacy。有一类特别坑的情况是主板支持 UEFI但 RAID 卡固件是 Legacy 模式——你去 BIOS 里把启动模式切成 UEFI装完重启发现找不到启动项。所以动 BIOS 之前先看看 RAID 卡的选项 ROM 是哪种模式。分区方案我一般这么分UEFI 场景128G 系统盘EFI 系统分区300MB默认 100MB 也够但做镜像封装时 300MB 更宽裕MSR 保留分区16MB系统分区 C剩余全部NTFS装系统的时候不要用安装程序自动创建的全部分区那会生成一堆 500MB 左右的恢复分区。我见过一台机器自动分了四个恢复分区出来占了两个 G。正确的做法是手动建 EFI 和系统分区恢复环境后面用reagentc单独配置。3.3 USB 3.0 与网卡装完没网没U盘的应急通道装完系统第一次进桌面最尴尬的情况是网卡没驱动上不了网USB 3.0 没驱动插U盘不识别。在 LTSC 201917763这个内核上USB 3.0 的通用驱动一般是有内置的但一些特定芯片组尤其是 2017 年以后的新主板上集成的 USB 3.1 Gen2 控制器会需要额外驱动。网卡就更容易出问题尤其是 2.5G 和万兆网卡。我的做法是准备一个装机U盘里面固定放这几样东西通用网卡驱动包覆盖常见的 Intel、Realtek、Broadcom 系列芯片组驱动包一个离线的运行库合集一个便携版浏览器安装包用来在没有其他浏览器时下载东西必要的阵列卡和 NVMe 驱动其中网卡驱动最关键。没有网就什么也下不了这是死循环。所以我的原则是装机前先在能上网的机器上把目标机器型号的网卡驱动下好拷到U盘上。如果连型号都查不到还有一个笨办法装完系统后进设备管理器看其他设备里带感叹号的设备通过硬件 IDVEN_、DEV_ 开头那串去搜驱动。硬件 ID 比型号可靠因为同一型号的机器可能用不同批次的网卡。4. 装完第一次开机运行库补齐的完整顺序系统装好了能进桌面了接下来才是真正花时间的地方——把运行环境补齐。这块我踩过的坑比装系统本身多得多尤其是运行库版本和依赖顺序的问题。4.1 VC 2015-2022 x64 合集装了还报缺 2019问题出在哪这是我在社区里被问得最多的一类问题。现象很典型某软件安装时报Microsoft Visual C 2019 Redistributable Package (x64) is not installed你明明已经装了microsoft visual c redistributable 2015-2022 x64它还是这么报。原因得从微软的合并策略说起。从 Visual Studio 2015 开始VC 运行库的主版本号统一成了 14.x2015、2017、2019、2022 这四个版本的运行库实际上是同一个二进制家族的不同小版本。所以2015-2022 合集包装的是 14.x 系列里最新的那一版比如 14.4x。那为什么软件还报错常见有三种情况安装程序检查的是特定版本号不是是否安装。它读注册表HKLM\SOFTWARE\Microsoft\VisualStudio\14.0\VC\Runtimes\x64下面的Major、Minor、Bld值要求 Bld 不小于某个数。如果你的系统上装的是较旧的小版本检查就不通过。缺的是 x86 版本不是 x64。很多 64 位软件里嵌了 32 位的子模块或第三方库这些模块需要 x86 运行库。在 64 位系统上x86 和 x64 两个版本通常都要装。注册表项被清理过。某些系统优化工具会清掉这些键值导致已安装的运行库在安装程序眼里不存在。对应的处理办法我按优先级排一下:: 查看当前装了哪些运行库用管理员权限的 PowerShell Get-ItemProperty HKLM:\SOFTWARE\Microsoft\VisualStudio\14.0\VC\Runtimes\x64 | Select-Object Installed, Major, Minor, Bld Get-ItemProperty HKLM:\SOFTWARE\WOW6432Node\Microsoft\VisualStudio\14.0\VC\Runtimes\x64 | Select-Object Installed, Major, Minor, Bld如果 x64 项显示已安装但版本号偏低直接装最新版的合集包覆盖升级如果只装了 x64 没装 x86把 x86 版本也装上如果是键值被清了用运行库安装程序的修复功能重写一遍。还有一个偏门但有效的办法把该软件目录下自带的运行库 DLL 直接复制到程序目录。很多绿色版软件就是这么干的把msvcp140.dll、vcruntime140.dll单独放一份。这个做法不优雅但在不能重装运行库的生产环境里救过我好几次。缺点是如果软件涉及多个子进程容易漏。提示不要安装来路不明的运行库大合集/全能运行库包。这类打包安装器经常夹带推广软件而且版本混乱装完之后系统上有好几个不同版本的 14.x 运行库并存反而更难排查。用官方的最新一代 2015-2022 合集包 x86/x64 双版本就够了。4.2 .NET Framework 3.5 与 4.8 的离线安装差异这两个东西的安装方式完全不同很多人会搞混。.NET Framework 3.5是 Windows 的可选功能不是独立安装包。在 LTSC 2019 上它默认是禁用状态的启用方式就是前面说的 DISM 命令从这个系统的 ISO 里拿组件源。用第三方下载的 3.5 独立安装包在 Win10 上装大概率会卡在正在下载所需文件因为那个安装包本质上是给 Win7 用的它在 Win10 上会去连更新服务器。.NET Framework 4.8对 17763 这个内核来说属于较新的版本需要独立安装包通常是ndp48-x86-x64-allos-enu.exe这类。安装过程相对独立不需要联网。但要注意安装前先看系统里现存的 .NET 4.x 版本。用reg query HKLM\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full /v Release查。不同 Release 值对应不同版本这个对照表网上有。安装 4.8 需要重启重启前不要做其他系统改动。某些老软件会明确要求 4.6.2 或 4.7.2而 4.8 是向下兼容的一般不用降级。但如果软件做了严格的版本字符串比对就可能出问题——这种情况我遇到过两次最后的解决办法是在虚拟机里单独做一个小系统。安装顺序上我的建议是先 3.5再 4.8最后装 VC 运行库。因为有些 VC 运行库的安装程序内部会检查 .NET 状态顺序反了会多做几次重启。4.3 JDK 8 x64、SQL Server 2016 与开发工具的部署顺序如果这台机器还要跑开发环境或者业务数据库顺序就更讲究了。我一般按这个顺序来第一步装 JDK。以 JDK 8 的 x64 版本为例常见的是从镜像站下载的压缩包或安装包。我倾向于用解压版的 zip 包解压到固定路径比如D:\dev\jdk8然后手工配JAVA_HOME和Path。用安装版的问题在于它会往注册表写一堆东西以后要换版本或者删干净很麻烦。配环境变量的时候有个细节Path里%JAVA_HOME%\bin尽量放在前面否则机器上装了多个 JDK 时容易调到错的。第二步装 SQL Server 2016 这类数据库。这块的坑集中在两个地方安装程序会要求 .NET 3.5。某些管理组件依赖它所以 3.5 必须提前启用好否则安装程序会在前置检查那一步卡住报一个很不直观的错误。实例功能的取舍。默认安装会带上一堆你永远用不到的东西。我的做法是在功能选择页只勾数据库引擎服务、客户端工具连接、管理工具基本/完整。像全文搜索、报表服务、分析服务这些用不到就别装一是省空间二是少一半攻击面。关于所谓x64 精简版 MSSQL2016社区里流传的那些免安装打包版我的看法是临时测试可以用正式环境不要用。免安装版通常砍掉了服务注册、权限配置、备份维护计划这些出问题时你连日志都找不到在哪。正式环境老老实实跑官方安装程序自定义功能选择这样后面升级、打补丁、做备份都有标准路径可走。第三步装开发工具和编辑器。Sublime Text 这类编辑器的 x64 安装包比如 Build 3211 这个版本号比较简单装完就行。需要注意的是插件的依赖有些插件依赖 Python 环境如果机器上装了多个 Python 版本插件的解释器路径可能要手工指定。第四步装业务软件本身。这一步往往是最容易翻车的因为业务软件的依赖描述经常不准。我的做法是先在一台虚拟机上完整走一遍安装流程把所有报错都解决掉记下每一步装了什么然后再到生产机上照做。这个预演流程看着慢实际上能省掉大量返工。5. 装完之后那一周我实际遇到的六个问题和排查链路系统装完不代表结束了。真正的问题通常在装完后的几天里陆续冒出来。下面这几个是我在 LTSC 2019 上反复遇到过的我把排查过程完整写出来你能照着走一遍。5.1 开始菜单点了没反应、搜索框无响应现象点击开始按钮按钮有高亮反馈但菜单不弹出来点任务栏搜索框什么都不发生Win键也没反应。为什么会这样这类症状通常跟两个东西有关——Shell 体验主机进程负责开始菜单和搜索界面的那个进程崩了或者系统里的应用包注册信息损坏。在 1809 这个内核上早期版本确实存在开始菜单相关的稳定性问题后续的累积更新里陆续修了所以把补丁打到较新的水位能规避一部分。排查链路先开任务管理器CtrlShiftEsc或者CtrlAltDel找ShellExperienceHost和SearchUI这两个进程。如果有结束它们它们会自动重启很多时候问题就消失了。如果没解决用管理员权限打开 PowerShell重新注册应用包Get-AppXPackage -AllUsers | Where-Object {$_.InstallLocation -like *SystemApps*} | ForEach-Object { Add-AppxPackage -DisableDevelopmentMode -Register $($_.InstallLocation)\AppXManifest.xml }如果还是不行检查系统文件完整性sfc /scannow dism /Online /Cleanup-Image /RestoreHealth注意顺序先 sfc 后 dism 是无效的正确顺序是先 dism 修复映像再 sfc 扫描修复。因为 sfc 修复时用的源就是组件存储组件存储本身坏了sfc 修不了。最后一步才考虑新建一个本地用户账户测试。如果新账户下正常说明是原用户的配置文件有问题这种情况把数据迁过去换账户比修账户快。5.2 网络图标显示地球、实际能上网现象任务栏网络图标上有个小地球鼠标悬停提示无 Internet 访问但浏览器打开网页正常。原因这是系统的连通性探测机制NCSI在起作用。系统会定期去访问一个固定的探测地址能拿到预期响应才认为有 Internet。如果这个探测请求被内网出口策略拦了或者内网 DNS 解析不到这个域名系统就会显示成无连接——它只是一个状态显示问题不影响实际通信。怎么确认和处理打开浏览器访问任意网站能打开就说明网络是通的图标是误报。打开网络和共享中心看活动网络是不是被识别成了公用网络。如果是可以在内网环境里把它改成专用网络某些策略下探测行为会有差异。企业内网里很多单位会统一关闭这个探测功能或者把探测地址指到内网服务器上。这些配置一般由网络管理员统一做不建议单机乱改注册表。我的建议是如果业务不受影响不要为了一个图标去动系统设置。我见过有人为了去掉那个地球图标乱改网络配置结果把内网的域名解析搞坏了得不偿失。5.3 老旧设备的驱动安装失败现象给一台老设备装驱动设备管理器里一直显示感叹号手动指定 inf 文件提示该驱动程序未通过数字签名验证或者直接安装失败。原因Windows 10 对驱动签名有强制要求。2016 年以前签发的驱动尤其是小厂商的自研设备驱动可能用的是当时的标准在较新的系统上验证不通过。处理思路按推荐顺序先找厂商要新版驱动。这是唯一正经的解法。很多厂商其实有新驱动只是官网页面藏得深打电话问技术支持最快。试试兼容模式安装。右键安装程序属性里设成兼容 Windows 7 或 Windows 8 模式再以管理员身份运行。有些老的安装程序只是没适配新系统的安装框架兼容模式能过。换用 Windows 内置的通用驱动。很多设备串口、HID、打印机用系统自带的通用类驱动就能正常工作功能少一点但能用。改启动配置允许未签名驱动不推荐仅作最后手段。这需要重启进高级启动选项而且会影响系统整体的驱动验证策略只适合完全隔离的专用设备。注意第 4 种方式会降低系统的驱动验证门槛只应在物理隔离、不接入任何外部网络的专用设备上考虑并且要记录在设备档案里方便以后排查。5.4 系统盘空间莫名增长现象C 盘装完是 20G用了一个月变成 45G什么都没装。原因主要是三块——组件存储WinSxS、休眠文件、系统还原点。处理:: 先看组件存储能回收多少 dism /Online /Cleanup-Image /AnalyzeComponentStore :: 确认后再清理 dism /Online /Cleanup-Image /StartComponentCleanup /ResetBase/ResetBase会把所有已被取代的更新版本一并清掉代价是之后无法卸载已安装的更新。在 LTSC 2019 这种长期不换内核的系统上我认为这个代价可以接受能省下好几个 G。但如果你的机器需要保留回滚能力就去掉/ResetBase只做基础清理。休眠文件用powercfg /h off可以关掉省下跟内存差不多大的空间。台式机基本不需要休眠笔记本建议保留。系统还原点的空间上限在系统保护里设置一般给 3% 到 5% 就行。5.5 时间不对、时区正确但时间差几分钟现象时区设置是对的但系统时间跟标准时间差几分钟甚至几小时。原因主板电池没电了或者时间同步服务没正常工作。老机器上主板电池耗尽很常见。处理先换主板电池然后手动同步一次w32tm /resync如果报服务未启动先net start w32time。内网环境里时间源一般要指向内网的 NTP 服务器这个需要网络管理员提供地址。时间不准看着是小事但会影响日志时间戳、证书校验、域加入该修就修。5.6 打补丁时提示更新不适用于你的计算机现象手动下载了一个 .msu 更新包双击提示不适用。原因找错了补丁。LTSC 2019 对应的更新是 1809 那条线跟普通 Windows 10 的补丁不通用。还有一些补丁有前置依赖必须先装服务栈更新SSU再装累积更新。处理确认补丁对应的 build 号是 17763 开头。别的 build 的补丁装不上。先装服务栈更新文件名里通常带 SSU 或者描述里会注明再装月度累积更新。离线安装用 DISM 更可靠dism /Online /Add-Package /PackagePath:D:\patches\windows10.0-kb5004244-x64.msu6. 把 LTSC 2019 用到 2029长期维护的节奏选 LTSC 2019 的人本质上是在买时间。那这个时间怎么用是这篇文章最想聊的部分。6.1 补丁策略在线更新、离线补丁包与还原点LTSC 2019 的支持周期比较长按照公开的生命周期信息安全更新会一直提供到 2029 年初。这意味着你至少要经历好几年的补丁管理得有一套自己的节奏。我的做法分两种环境有外网的环境开启自动更新但把功能更新通道彻底屏蔽LTSC 本来也没有补丁设置成下载但不自动重启然后在每月固定的维护窗口里手动重启。这样既拿到了补丁又不会被突然重启打断工作。完全隔离的内网走离线补丁。每月从官方更新目录下载累积更新的 .msu 文件用脚本批量分发安装。这类环境最需要注意的是补丁的顺序和依赖——服务栈更新必须在累积更新之前某些月份的累积更新还依赖前一个月的。我的做法是每月做一台样板机先把补丁在这台机器上按顺序装一遍确认没问题再推到其他机器。还原点这件事我要单独说。很多人在 LTSC 上关掉了系统保护理由是省空间。我的建议是系统盘留 3% 到 5% 的空间给还原点装补丁前手动建一个。因为总有那么一次补丁会出问题有还原点能省掉几个小时的重装。如果是特别关键的机器用wbadmin做一个完整的系统映像备份到外置盘上一个月一次成本很低。6.2 生命周期与升级路径的判断依据LTSC 2019 的支持终点在 2029 年初这给了很长的缓冲期。但缓冲期不等于不用考虑升级。我判断一台机器要不要升看这几个信号业务软件开始明确不支持了。厂商的安装程序检测到系统版本低于某个值就拒绝安装这是最硬的信号。新硬件没有对应驱动。比如新买的采集卡只有较新内核的驱动装到 1809 上找不到。开发工具链的最低要求提高了。某些新版本的工具要求较新的 .NET 或者较新的运行库而这些在高版本系统上是内置的。安全合规要求。某些行业规范会要求操作系统不能低于某个版本。这个通常是外部推动的你自己判断不了。升级路径上LTSC 这条线一般是2019 → 2021 → 后续版本逐级走。直接跳级的情况也有但要先做兼容性验证。我个人的做法是先在虚拟机里跑一个月把所有业务软件都装上实际用一段时间确认没问题再动生产机。跳过这一步的代价往往是发现问题时已经推了几十台机器。反过来有些场景下我建议不升级纯离线、功能单一、软件认证过的专用设备。这类机器只要能跑就不要动它。我在一个检测实验室里见过一台跑了六年的工控机系统一直没重装过就是因为整个检测流程都围着那个环境做的认证动系统的成本远大于收益。6.3 我的镜像封装流程与配置清单最后把前面这些内容串成一个可复用的流程。如果你要批量部署按这个顺序走第一步准备基础映像。:: 挂载官方 install.wim dism /Mount-Wim /WimFile:D:\sources\install.wim /Index:1 /MountDir:C:\mnt\install :: 集成补丁按 SSU → 累积更新的顺序 dism /Image:C:\mnt\install /Add-Package /PackagePath:D:\patches\ssu.msu dism /Image:C:\mnt\install /Add-Package /PackagePath:D:\patches\rollup.msu :: 集成驱动 dism /Image:C:\mnt\install /Add-Driver /Driver:D:\drivers /Recurse第二步启用需要的内置功能。dism /Image:C:\mnt\install /Enable-Feature /FeatureName:NetFx3 /All dism /Image:C:\mnt\install /Enable-Feature /FeatureName:Printing-Foundation-Features /All第三步卸载保存并打包。dism /Unmount-Wim /MountDir:C:\mnt\install /Commit之后把修改过的 install.wim 替换回原本的 ISO 结构里用打包工具生成新的可启动 ISO。这一步做完你就有了一份自己的纯净版每一处改动都有记录出了问题能追溯。我的装机清单每次装完按这个表逐项确认检查项确认方式补丁水位winver看 build 号关键驱动设备管理器无感叹号.NET 3.5 / 4.8控制面板程序列表 功能列表VC 运行库程序列表里有 x86 和 x64 两个网络连通能访问内网服务时间同步w32tm /query /status系统还原点已创建且空间够电源计划台式机设高性能笔记本设平衡远程管理按需开启不需要的一律关恢复环境reagentc /info显示已启用这套流程我用了几年最大的价值不是省时间而是减少这台机器跟那台不一样的情况。批量环境里一致性比什么都值钱。最后分享一个我自己的习惯每台装完的机器在 D 盘根目录建一个文本文件写上装机日期、补丁水位、装了哪些驱动和软件、遇到的问题和解决办法。听起来很土但当你半年后再回到这台机器上排查问题时这个文件的价值会远超你的想象。我见过太多因为当初是谁装的、装了什么说不清而不得不重装的案例写两行字的成本太低了。 LTSC 2019纯净版部署：镜像校验、驱动注入与运行库补齐
1. 17763.2028 这串数字背后LTSC 2019 的定位与补丁水位先把这个标题拆开看。windows_10_enterprise_ltsc_2019 X64纯净版17763.2028这里面其实塞了三层信息产品线Windows 10 Enterprise LTSC 2019、架构x64、补丁水位17763.2028而纯净版三个字说的是镜像没有被动过手脚没有塞进第三方推广软件、没有预置激活工具、没有改过默认主页。对做企业桌面运维、工业控制机上位机、老服务器重装、虚拟机模板这一类活的人来说这套组合是有明确使用场景的不是随便选的。我接触 LTSC 这条线的时间比较早从 LTSB 2015 一路用到 LTSC 2021中间踩过的坑基本都跟它太干净了有关——干净到很多你以为理所当然的东西根本不存在。所以这篇文章不打算写成下载说明而是按我实际部署的流程走一遍从拿到镜像开始校验到拆开映像看里面到底有什么再到装机时驱动怎么塞、装完运行库怎么补、用起来会遇到什么问题。看完你应该能自己判断一个镜像能不能用、一个装机方案靠不靠谱。1.1 企业为什么愿意用一个不发新功能的系统LTSCLong-Term Servicing Channel的核心承诺只有两条功能冻结和支持周期长。它基于某一个 Windows 10 半年频道版本的内核把功能更新通道关掉之后只接收安全更新和少量可靠性修复。LTSC 2019 的内核对应的是 Windows 10 版本 1809也就是 build 17763。这件事对普通家用用户来说没什么吸引力但对下面几类场景几乎是刚需场景痛点在半年频道上的表现LTSC 2019 的价值工控机 / 上位机功能更新后串口驱动、组态软件异常系统行为几年不变验证一次管很久医疗、检测类仪器配套主机厂商软件只认证过某个内核版本认证结果长期有效不用反复重测企业办公固定工位每次大版本升级都要重新做兼容性验证免掉年度兼容测试的人力虚拟机模板 / 测试基线半年就得更新一次基础镜像基线镜像可以长期复用店里收银、前台一体机自动更新重启打断营业补丁节奏自己控注意表格里我写的是验证一次管很久不是永远不用管。这是个很容易被误解的点功能冻结不等于不打补丁。安全更新照样按月来你照样得安排窗口去装只是不会有那种把整个开始菜单、任务栏、设置面板全换一遍的大改。另外还有一个现实因素很多老硬件的驱动只在 1809 那个年代被完整验证过。比如一些 2013 到 2016 年间的阵列卡、网卡、专用采集卡厂商的 Windows 10 驱动最后一版停在 2018 年装到 22H2 上能不能用全看运气装到 LTSC 2019 上基本就是当年那个环境。这不是技术优劣问题是工程上的确定性偏好。1.2 17763.2028 处于哪个水位17763是 build 号.后面的数字是修订号Revision它随着每个月累积更新往上走。同一个 LTSC 2019 镜像修订号不同意味着出厂时已经内置了不同月份的补丁。17763.2028 这个水位大致落在 2021 年年中前后的月度安全更新附近具体对应哪一次更新建议以官方更新历史页面为准——因为同一个修订号在不同渠道上的发布日期可能被记录成不同的 KB。为什么要在意这个数字我列几个实际理由省补丁时间。拿到一个.2028的镜像比拿到.1RTM的镜像装完之后要补的安全更新少一年多的量。在离线内网环境里这个差别就是几十分钟和一整天的区别。避开早期缺陷。1809 这个版本在刚发布时出过用户配置文件相关的严重问题后续更新里陆续修掉了。修订号越靠后你踩到老坑的概率越低。判断镜像来源是否可疑。如果有人给你一个标着.2028、但文件大小比正常 ISO 小一半的镜像那基本可以确定是被裁过的得谨慎。我个人的选法是优先选接近当前补丁水位的镜像但不要迷信越新越好。有些第三方重打包的镜像为了追新把组件裁得很激进装完发现某个 .NET 功能开不起来回头补比从头装还费劲。1.3 拿到镜像先做三件事哈希、映像信息、启动环境体检镜像到手别急着刻盘先做三步验证这三步能挡掉九成的装到一半失败。第一算哈希。官方渠道的 ISO 一般会公布 SHA-256。Windows 下直接用 PowerShellGet-FileHash -Path D:\ISO\win10_ltsc2019_x64.iso -Algorithm SHA256算出的一长串字符跟公布值逐位比对。别用那些一秒钟出结果的哈希查看小工具我见过带捆绑的。第二看映像信息。挂载 ISO 后用 DISM 查 wim 里到底有几个索引、哪个是我们要的版本dism /Get-WimInfo /WimFile:D:\sources\install.wim正常的多版本 ISO 会有好几个索引专业版、企业版、教育版等。LTSC 的镜像通常索引很少可能就是 1 个或 2 个。如果索引列表里出现一堆你从没听过的名字说明这镜像被人重新打包过。第三检查启动环境。这一步最容易被跳过但它在老机器上极其关键dism /Mount-Wim /WimFile:D:\sources\boot.wim /Index:2 /MountDir:C:\mnt\boot dism /Get-Drivers /Image:C:\mnt\bootboot.wim里的索引 2 是安装程序本体所在的映像。如果你要装的机器硬盘挂在 RAID 卡上而这张卡在boot.wim里没有对应驱动那么安装程序连硬盘都看不到界面里会是一片空白你连下一步都点不下去。提前看清楚比在机房里抱着头想为什么强。提示挂载 wim 需要管理员权限挂载目录提前建好操作完成后一定要用dism /Unmount-Wim /MountDir:C:\mnt\boot /Discard卸载忘了卸载会导致后续操作报文件被占用重启才恢复。2. 拆开 install.wim所谓纯净版到底纯在哪纯净版这个词在圈子里已经被用滥了。有人指的是没有预装第三方软件有人指的是没有裁剪系统组件还有人指的是没有预置用户和应答文件。这三个含义完全不同风险也不同。我判断一个镜像纯不纯从来不看标题只看映像里实际装了什么。2.1 用 DISM 挂载映像直接看清单把 install.wim 挂起来然后看两个东西装了的更新包和装了的应用包。dism /Mount-Wim /WimFile:D:\sources\install.wim /Index:1 /MountDir:C:\mnt\install dism /Image:C:\mnt\install /Get-Packages /Format:Table dism /Image:C:\mnt\install /Get-ProvisionedAppxPackages第一条命令列出已经集成进映像的更新包。如果这里空空如也说明这是原始 RTM 级别的映像你装完要补的补丁量大得吓人如果里面有几十条Package_for_RollupFix之类的记录说明补丁是集成进去了。第二条命令列出预置的应用包就是那种装完第一次登录会自己装上的商店应用。真正的干净 LTSC 2019 在这里应该基本是空的因为 LTSC 本来就不带商店和那些消费级应用。如果你在一个自称 LTSC 的镜像里看到一堆*Twitter*、*CandyCrush*之类的名字那它要么不是 LTSC要么是被人塞进去的。顺便还能看一眼服务状态和默认组件判断裁剪程度dism /Image:C:\mnt\install /Get-Features /Format:Table | findstr /i Enabled对照你自己需要的功能比如 SMB1、Telnet 客户端、.NET 3.5、Hyper-V、打印服务看看是启用状态还是禁用状态。这个表能帮你判断这个镜像精简得狠不狠。2.2 LTSC 天生就没有的东西以及对应的补齐方案这是新手最容易懵的地方。装完 LTSC 2019你会发现任务栏干干净净找遍全系统没有商店没有 Cortana没有 OneDrive 客户端邮件、日历、地图、天气一个都没有。很多人第一反应是这镜像坏了其实这就是 LTSC 的原貌。我按实际使用频率列一下缺失项和替代方案缺失组件影响我的处理方式Microsoft Store无法从商店装应用企业环境直接用离线安装包分发不需要商店UWP 消费级应用无邮件、日历、天气、地图用传统桌面程序替代Edge 旧版内核组件只有 IE11直接部署新版浏览器安装包语音助手无语音交互基本不影响办公部分媒体编解码器某些视频格式无法播放装通用解码包或换播放器.NET Framework 3.5老旧业务软件跑不起来用 ISO 里的 sxs 目录离线启用这里我要多说一句.NET Framework 3.5。很多人装完 LTSC 发现某个 2010 年代的业务软件打不开报缺 Framework就到处找 3.5 的独立安装包下载。其实不用安装 ISO 的sources\sxs目录里就带着组件源。挂上 ISO 后执行dism /Online /Enable-Feature /FeatureName:NetFx3 /All /LimitAccess /Source:E:\sources\sxs/LimitAccess这个参数很重要它告诉系统不要跑去网上找更新源就用你指定的目录。不加这个参数在内网无外网的环境下会卡很久然后报错。我在一个完全隔离的车间网络里就吃过这个亏等了二十分钟才报错加参数之后十几秒搞定。2.3 第三方精简镜像的取舍逻辑网上流传的各种深度精简版动辄把镜像压到 1.5G 以内看起来很诱人。我的态度是看用途分场景不要一刀切否定也不要无脑用。精简一般从这几个地方下手WinSxS 组件存储、驱动库DriverStore、语言包、休眠文件、恢复环境、部分可选功能。省下来的空间确实可观从十几 G 压到两三 G 很常见。代价是补丁可能装不上。WinSxS 被裁狠了之后某些累积更新会因为缺少前置组件而安装失败报错代码往往是 0x800f081f 或 0x80073712。可选功能开不起来。你想装 Hyper-V、想开 IIS结果发现组件源没了。驱动回滚失效。DriverStore 被清过之后出问题没法退回上一版驱动。故障难定位。官方镜像出问题你能查到公开文档裁过的镜像出问题只能自己啃。我自己的原则是开发机、测试机、虚拟机模板可以用精简镜像省空间生产环境的物理机、工控机、要长期维护的机器一律用未裁剪的纯净镜像。理由很简单——生产机出故障的成本远高于省下来的那点磁盘空间。如果你确实想要一个自己的纯净版正确做法不是下载别人裁的而是自己做。大致流程是官方 ISO → 挂载 install.wim → 集成补丁和驱动 → 卸载保存 → 重新打包成 ISO。这套流程全程可追溯出问题也知道自己动过哪一步。后面第 6 节我会把这套流程的具体命令捋一遍。3. 装机现场的硬骨头存储控制器驱动与分区方案镜像验证完接下来是真正动手的环节。我在机房里遇到最多的问题不是系统装不上而是安装程序看不到硬盘。这个问题在两类机器上尤其常见一是带独立 RAID 卡的老服务器二是用 NVMe 盘但主板固件比较新的工作站。3.1 MegaRAID SAS 9260 这类老阵列卡的驱动注入以 MegaRAID SAS 9260-8i 这类 6Gb/s 的阵列卡为例。这类卡在 Windows 10 时代已经没有官方新驱动了最后一版 x64 驱动大概是 2016 到 2018 年之间发布的。你如果直接拿 LTSC 2019 的官方镜像去装安装程序扫硬盘那一步会显示未找到驱动器。关键点安装程序用的是 boot.wim 里的驱动不是 install.wim 里的。所以你要把驱动注入到两个地方:: 注入到安装环境 dism /Image:C:\mnt\boot /Add-Driver /Driver:D:\drivers\megaraid /Recurse :: 注入到目标系统 dism /Image:C:\mnt\install /Add-Driver /Driver:D:\drivers\megaraid /Recurse/Recurse表示递归扫描子目录因为驱动包里通常有一堆不同架构和不同系统的 inf 文件手动挑容易漏。这两步做完两个映像都要卸载保存dism /Unmount-Wim /MountDir:C:\mnt\boot /Commit dism /Unmount-Wim /MountDir:C:\mnt\install /Commit如果手上没有能改映像的环境还有一个更土但更快的办法安装程序报未找到驱动器的那个界面其实有一个加载驱动程序按钮。把驱动拷到 U 盘上点这个按钮指向 inf 文件所在目录加载完硬盘就会冒出来。缺点是每次装都要手动来一遍量产部署时不划算。注意驱动包解压后目录结构很乱常见的是\Windows\2016\、\Windows\2019\这类按系统版本分的子目录。用/Recurse交给 DISM 自己筛就行不用自己挑。但如果驱动包里有 32 位和 64 位混放的情况DISM 会跳过不匹配的不影响。3.2 UEFIGPT 还是 LegacyMBR怎么选这个选择不是审美问题是能不能启动的问题。对比项UEFI GPTLegacy MBR启动速度略快略慢分区数量理论无限制最多 4 个主分区安全启动支持不支持大于 2TB 的硬盘支持只能靠特殊手段老阵列卡 / 老固件可能不认通常没问题老业务软件的加密狗驱动少数会出问题兼容性更好我的经验判断是2015 年以后的主板能用 UEFI 就用 UEFI2013 年以前的服务器或者古老的工控主板老老实实用 Legacy。有一类特别坑的情况是主板支持 UEFI但 RAID 卡固件是 Legacy 模式——你去 BIOS 里把启动模式切成 UEFI装完重启发现找不到启动项。所以动 BIOS 之前先看看 RAID 卡的选项 ROM 是哪种模式。分区方案我一般这么分UEFI 场景128G 系统盘EFI 系统分区300MB默认 100MB 也够但做镜像封装时 300MB 更宽裕MSR 保留分区16MB系统分区 C剩余全部NTFS装系统的时候不要用安装程序自动创建的全部分区那会生成一堆 500MB 左右的恢复分区。我见过一台机器自动分了四个恢复分区出来占了两个 G。正确的做法是手动建 EFI 和系统分区恢复环境后面用reagentc单独配置。3.3 USB 3.0 与网卡装完没网没U盘的应急通道装完系统第一次进桌面最尴尬的情况是网卡没驱动上不了网USB 3.0 没驱动插U盘不识别。在 LTSC 201917763这个内核上USB 3.0 的通用驱动一般是有内置的但一些特定芯片组尤其是 2017 年以后的新主板上集成的 USB 3.1 Gen2 控制器会需要额外驱动。网卡就更容易出问题尤其是 2.5G 和万兆网卡。我的做法是准备一个装机U盘里面固定放这几样东西通用网卡驱动包覆盖常见的 Intel、Realtek、Broadcom 系列芯片组驱动包一个离线的运行库合集一个便携版浏览器安装包用来在没有其他浏览器时下载东西必要的阵列卡和 NVMe 驱动其中网卡驱动最关键。没有网就什么也下不了这是死循环。所以我的原则是装机前先在能上网的机器上把目标机器型号的网卡驱动下好拷到U盘上。如果连型号都查不到还有一个笨办法装完系统后进设备管理器看其他设备里带感叹号的设备通过硬件 IDVEN_、DEV_ 开头那串去搜驱动。硬件 ID 比型号可靠因为同一型号的机器可能用不同批次的网卡。4. 装完第一次开机运行库补齐的完整顺序系统装好了能进桌面了接下来才是真正花时间的地方——把运行环境补齐。这块我踩过的坑比装系统本身多得多尤其是运行库版本和依赖顺序的问题。4.1 VC 2015-2022 x64 合集装了还报缺 2019问题出在哪这是我在社区里被问得最多的一类问题。现象很典型某软件安装时报Microsoft Visual C 2019 Redistributable Package (x64) is not installed你明明已经装了microsoft visual c redistributable 2015-2022 x64它还是这么报。原因得从微软的合并策略说起。从 Visual Studio 2015 开始VC 运行库的主版本号统一成了 14.x2015、2017、2019、2022 这四个版本的运行库实际上是同一个二进制家族的不同小版本。所以2015-2022 合集包装的是 14.x 系列里最新的那一版比如 14.4x。那为什么软件还报错常见有三种情况安装程序检查的是特定版本号不是是否安装。它读注册表HKLM\SOFTWARE\Microsoft\VisualStudio\14.0\VC\Runtimes\x64下面的Major、Minor、Bld值要求 Bld 不小于某个数。如果你的系统上装的是较旧的小版本检查就不通过。缺的是 x86 版本不是 x64。很多 64 位软件里嵌了 32 位的子模块或第三方库这些模块需要 x86 运行库。在 64 位系统上x86 和 x64 两个版本通常都要装。注册表项被清理过。某些系统优化工具会清掉这些键值导致已安装的运行库在安装程序眼里不存在。对应的处理办法我按优先级排一下:: 查看当前装了哪些运行库用管理员权限的 PowerShell Get-ItemProperty HKLM:\SOFTWARE\Microsoft\VisualStudio\14.0\VC\Runtimes\x64 | Select-Object Installed, Major, Minor, Bld Get-ItemProperty HKLM:\SOFTWARE\WOW6432Node\Microsoft\VisualStudio\14.0\VC\Runtimes\x64 | Select-Object Installed, Major, Minor, Bld如果 x64 项显示已安装但版本号偏低直接装最新版的合集包覆盖升级如果只装了 x64 没装 x86把 x86 版本也装上如果是键值被清了用运行库安装程序的修复功能重写一遍。还有一个偏门但有效的办法把该软件目录下自带的运行库 DLL 直接复制到程序目录。很多绿色版软件就是这么干的把msvcp140.dll、vcruntime140.dll单独放一份。这个做法不优雅但在不能重装运行库的生产环境里救过我好几次。缺点是如果软件涉及多个子进程容易漏。提示不要安装来路不明的运行库大合集/全能运行库包。这类打包安装器经常夹带推广软件而且版本混乱装完之后系统上有好几个不同版本的 14.x 运行库并存反而更难排查。用官方的最新一代 2015-2022 合集包 x86/x64 双版本就够了。4.2 .NET Framework 3.5 与 4.8 的离线安装差异这两个东西的安装方式完全不同很多人会搞混。.NET Framework 3.5是 Windows 的可选功能不是独立安装包。在 LTSC 2019 上它默认是禁用状态的启用方式就是前面说的 DISM 命令从这个系统的 ISO 里拿组件源。用第三方下载的 3.5 独立安装包在 Win10 上装大概率会卡在正在下载所需文件因为那个安装包本质上是给 Win7 用的它在 Win10 上会去连更新服务器。.NET Framework 4.8对 17763 这个内核来说属于较新的版本需要独立安装包通常是ndp48-x86-x64-allos-enu.exe这类。安装过程相对独立不需要联网。但要注意安装前先看系统里现存的 .NET 4.x 版本。用reg query HKLM\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full /v Release查。不同 Release 值对应不同版本这个对照表网上有。安装 4.8 需要重启重启前不要做其他系统改动。某些老软件会明确要求 4.6.2 或 4.7.2而 4.8 是向下兼容的一般不用降级。但如果软件做了严格的版本字符串比对就可能出问题——这种情况我遇到过两次最后的解决办法是在虚拟机里单独做一个小系统。安装顺序上我的建议是先 3.5再 4.8最后装 VC 运行库。因为有些 VC 运行库的安装程序内部会检查 .NET 状态顺序反了会多做几次重启。4.3 JDK 8 x64、SQL Server 2016 与开发工具的部署顺序如果这台机器还要跑开发环境或者业务数据库顺序就更讲究了。我一般按这个顺序来第一步装 JDK。以 JDK 8 的 x64 版本为例常见的是从镜像站下载的压缩包或安装包。我倾向于用解压版的 zip 包解压到固定路径比如D:\dev\jdk8然后手工配JAVA_HOME和Path。用安装版的问题在于它会往注册表写一堆东西以后要换版本或者删干净很麻烦。配环境变量的时候有个细节Path里%JAVA_HOME%\bin尽量放在前面否则机器上装了多个 JDK 时容易调到错的。第二步装 SQL Server 2016 这类数据库。这块的坑集中在两个地方安装程序会要求 .NET 3.5。某些管理组件依赖它所以 3.5 必须提前启用好否则安装程序会在前置检查那一步卡住报一个很不直观的错误。实例功能的取舍。默认安装会带上一堆你永远用不到的东西。我的做法是在功能选择页只勾数据库引擎服务、客户端工具连接、管理工具基本/完整。像全文搜索、报表服务、分析服务这些用不到就别装一是省空间二是少一半攻击面。关于所谓x64 精简版 MSSQL2016社区里流传的那些免安装打包版我的看法是临时测试可以用正式环境不要用。免安装版通常砍掉了服务注册、权限配置、备份维护计划这些出问题时你连日志都找不到在哪。正式环境老老实实跑官方安装程序自定义功能选择这样后面升级、打补丁、做备份都有标准路径可走。第三步装开发工具和编辑器。Sublime Text 这类编辑器的 x64 安装包比如 Build 3211 这个版本号比较简单装完就行。需要注意的是插件的依赖有些插件依赖 Python 环境如果机器上装了多个 Python 版本插件的解释器路径可能要手工指定。第四步装业务软件本身。这一步往往是最容易翻车的因为业务软件的依赖描述经常不准。我的做法是先在一台虚拟机上完整走一遍安装流程把所有报错都解决掉记下每一步装了什么然后再到生产机上照做。这个预演流程看着慢实际上能省掉大量返工。5. 装完之后那一周我实际遇到的六个问题和排查链路系统装完不代表结束了。真正的问题通常在装完后的几天里陆续冒出来。下面这几个是我在 LTSC 2019 上反复遇到过的我把排查过程完整写出来你能照着走一遍。5.1 开始菜单点了没反应、搜索框无响应现象点击开始按钮按钮有高亮反馈但菜单不弹出来点任务栏搜索框什么都不发生Win键也没反应。为什么会这样这类症状通常跟两个东西有关——Shell 体验主机进程负责开始菜单和搜索界面的那个进程崩了或者系统里的应用包注册信息损坏。在 1809 这个内核上早期版本确实存在开始菜单相关的稳定性问题后续的累积更新里陆续修了所以把补丁打到较新的水位能规避一部分。排查链路先开任务管理器CtrlShiftEsc或者CtrlAltDel找ShellExperienceHost和SearchUI这两个进程。如果有结束它们它们会自动重启很多时候问题就消失了。如果没解决用管理员权限打开 PowerShell重新注册应用包Get-AppXPackage -AllUsers | Where-Object {$_.InstallLocation -like *SystemApps*} | ForEach-Object { Add-AppxPackage -DisableDevelopmentMode -Register $($_.InstallLocation)\AppXManifest.xml }如果还是不行检查系统文件完整性sfc /scannow dism /Online /Cleanup-Image /RestoreHealth注意顺序先 sfc 后 dism 是无效的正确顺序是先 dism 修复映像再 sfc 扫描修复。因为 sfc 修复时用的源就是组件存储组件存储本身坏了sfc 修不了。最后一步才考虑新建一个本地用户账户测试。如果新账户下正常说明是原用户的配置文件有问题这种情况把数据迁过去换账户比修账户快。5.2 网络图标显示地球、实际能上网现象任务栏网络图标上有个小地球鼠标悬停提示无 Internet 访问但浏览器打开网页正常。原因这是系统的连通性探测机制NCSI在起作用。系统会定期去访问一个固定的探测地址能拿到预期响应才认为有 Internet。如果这个探测请求被内网出口策略拦了或者内网 DNS 解析不到这个域名系统就会显示成无连接——它只是一个状态显示问题不影响实际通信。怎么确认和处理打开浏览器访问任意网站能打开就说明网络是通的图标是误报。打开网络和共享中心看活动网络是不是被识别成了公用网络。如果是可以在内网环境里把它改成专用网络某些策略下探测行为会有差异。企业内网里很多单位会统一关闭这个探测功能或者把探测地址指到内网服务器上。这些配置一般由网络管理员统一做不建议单机乱改注册表。我的建议是如果业务不受影响不要为了一个图标去动系统设置。我见过有人为了去掉那个地球图标乱改网络配置结果把内网的域名解析搞坏了得不偿失。5.3 老旧设备的驱动安装失败现象给一台老设备装驱动设备管理器里一直显示感叹号手动指定 inf 文件提示该驱动程序未通过数字签名验证或者直接安装失败。原因Windows 10 对驱动签名有强制要求。2016 年以前签发的驱动尤其是小厂商的自研设备驱动可能用的是当时的标准在较新的系统上验证不通过。处理思路按推荐顺序先找厂商要新版驱动。这是唯一正经的解法。很多厂商其实有新驱动只是官网页面藏得深打电话问技术支持最快。试试兼容模式安装。右键安装程序属性里设成兼容 Windows 7 或 Windows 8 模式再以管理员身份运行。有些老的安装程序只是没适配新系统的安装框架兼容模式能过。换用 Windows 内置的通用驱动。很多设备串口、HID、打印机用系统自带的通用类驱动就能正常工作功能少一点但能用。改启动配置允许未签名驱动不推荐仅作最后手段。这需要重启进高级启动选项而且会影响系统整体的驱动验证策略只适合完全隔离的专用设备。注意第 4 种方式会降低系统的驱动验证门槛只应在物理隔离、不接入任何外部网络的专用设备上考虑并且要记录在设备档案里方便以后排查。5.4 系统盘空间莫名增长现象C 盘装完是 20G用了一个月变成 45G什么都没装。原因主要是三块——组件存储WinSxS、休眠文件、系统还原点。处理:: 先看组件存储能回收多少 dism /Online /Cleanup-Image /AnalyzeComponentStore :: 确认后再清理 dism /Online /Cleanup-Image /StartComponentCleanup /ResetBase/ResetBase会把所有已被取代的更新版本一并清掉代价是之后无法卸载已安装的更新。在 LTSC 2019 这种长期不换内核的系统上我认为这个代价可以接受能省下好几个 G。但如果你的机器需要保留回滚能力就去掉/ResetBase只做基础清理。休眠文件用powercfg /h off可以关掉省下跟内存差不多大的空间。台式机基本不需要休眠笔记本建议保留。系统还原点的空间上限在系统保护里设置一般给 3% 到 5% 就行。5.5 时间不对、时区正确但时间差几分钟现象时区设置是对的但系统时间跟标准时间差几分钟甚至几小时。原因主板电池没电了或者时间同步服务没正常工作。老机器上主板电池耗尽很常见。处理先换主板电池然后手动同步一次w32tm /resync如果报服务未启动先net start w32time。内网环境里时间源一般要指向内网的 NTP 服务器这个需要网络管理员提供地址。时间不准看着是小事但会影响日志时间戳、证书校验、域加入该修就修。5.6 打补丁时提示更新不适用于你的计算机现象手动下载了一个 .msu 更新包双击提示不适用。原因找错了补丁。LTSC 2019 对应的更新是 1809 那条线跟普通 Windows 10 的补丁不通用。还有一些补丁有前置依赖必须先装服务栈更新SSU再装累积更新。处理确认补丁对应的 build 号是 17763 开头。别的 build 的补丁装不上。先装服务栈更新文件名里通常带 SSU 或者描述里会注明再装月度累积更新。离线安装用 DISM 更可靠dism /Online /Add-Package /PackagePath:D:\patches\windows10.0-kb5004244-x64.msu6. 把 LTSC 2019 用到 2029长期维护的节奏选 LTSC 2019 的人本质上是在买时间。那这个时间怎么用是这篇文章最想聊的部分。6.1 补丁策略在线更新、离线补丁包与还原点LTSC 2019 的支持周期比较长按照公开的生命周期信息安全更新会一直提供到 2029 年初。这意味着你至少要经历好几年的补丁管理得有一套自己的节奏。我的做法分两种环境有外网的环境开启自动更新但把功能更新通道彻底屏蔽LTSC 本来也没有补丁设置成下载但不自动重启然后在每月固定的维护窗口里手动重启。这样既拿到了补丁又不会被突然重启打断工作。完全隔离的内网走离线补丁。每月从官方更新目录下载累积更新的 .msu 文件用脚本批量分发安装。这类环境最需要注意的是补丁的顺序和依赖——服务栈更新必须在累积更新之前某些月份的累积更新还依赖前一个月的。我的做法是每月做一台样板机先把补丁在这台机器上按顺序装一遍确认没问题再推到其他机器。还原点这件事我要单独说。很多人在 LTSC 上关掉了系统保护理由是省空间。我的建议是系统盘留 3% 到 5% 的空间给还原点装补丁前手动建一个。因为总有那么一次补丁会出问题有还原点能省掉几个小时的重装。如果是特别关键的机器用wbadmin做一个完整的系统映像备份到外置盘上一个月一次成本很低。6.2 生命周期与升级路径的判断依据LTSC 2019 的支持终点在 2029 年初这给了很长的缓冲期。但缓冲期不等于不用考虑升级。我判断一台机器要不要升看这几个信号业务软件开始明确不支持了。厂商的安装程序检测到系统版本低于某个值就拒绝安装这是最硬的信号。新硬件没有对应驱动。比如新买的采集卡只有较新内核的驱动装到 1809 上找不到。开发工具链的最低要求提高了。某些新版本的工具要求较新的 .NET 或者较新的运行库而这些在高版本系统上是内置的。安全合规要求。某些行业规范会要求操作系统不能低于某个版本。这个通常是外部推动的你自己判断不了。升级路径上LTSC 这条线一般是2019 → 2021 → 后续版本逐级走。直接跳级的情况也有但要先做兼容性验证。我个人的做法是先在虚拟机里跑一个月把所有业务软件都装上实际用一段时间确认没问题再动生产机。跳过这一步的代价往往是发现问题时已经推了几十台机器。反过来有些场景下我建议不升级纯离线、功能单一、软件认证过的专用设备。这类机器只要能跑就不要动它。我在一个检测实验室里见过一台跑了六年的工控机系统一直没重装过就是因为整个检测流程都围着那个环境做的认证动系统的成本远大于收益。6.3 我的镜像封装流程与配置清单最后把前面这些内容串成一个可复用的流程。如果你要批量部署按这个顺序走第一步准备基础映像。:: 挂载官方 install.wim dism /Mount-Wim /WimFile:D:\sources\install.wim /Index:1 /MountDir:C:\mnt\install :: 集成补丁按 SSU → 累积更新的顺序 dism /Image:C:\mnt\install /Add-Package /PackagePath:D:\patches\ssu.msu dism /Image:C:\mnt\install /Add-Package /PackagePath:D:\patches\rollup.msu :: 集成驱动 dism /Image:C:\mnt\install /Add-Driver /Driver:D:\drivers /Recurse第二步启用需要的内置功能。dism /Image:C:\mnt\install /Enable-Feature /FeatureName:NetFx3 /All dism /Image:C:\mnt\install /Enable-Feature /FeatureName:Printing-Foundation-Features /All第三步卸载保存并打包。dism /Unmount-Wim /MountDir:C:\mnt\install /Commit之后把修改过的 install.wim 替换回原本的 ISO 结构里用打包工具生成新的可启动 ISO。这一步做完你就有了一份自己的纯净版每一处改动都有记录出了问题能追溯。我的装机清单每次装完按这个表逐项确认检查项确认方式补丁水位winver看 build 号关键驱动设备管理器无感叹号.NET 3.5 / 4.8控制面板程序列表 功能列表VC 运行库程序列表里有 x86 和 x64 两个网络连通能访问内网服务时间同步w32tm /query /status系统还原点已创建且空间够电源计划台式机设高性能笔记本设平衡远程管理按需开启不需要的一律关恢复环境reagentc /info显示已启用这套流程我用了几年最大的价值不是省时间而是减少这台机器跟那台不一样的情况。批量环境里一致性比什么都值钱。最后分享一个我自己的习惯每台装完的机器在 D 盘根目录建一个文本文件写上装机日期、补丁水位、装了哪些驱动和软件、遇到的问题和解决办法。听起来很土但当你半年后再回到这台机器上排查问题时这个文件的价值会远超你的想象。我见过太多因为当初是谁装的、装了什么说不清而不得不重装的案例写两行字的成本太低了。