简介：这份资源面向IT运维人员与Windows服务器初学者，聚焦Windows Server 2022环境下Web服务器的搭建与配置，帮助读者掌握从系统安装到网站上线的完整流程。内容涵盖服务器安装、功能测试、网站挂载与域名解析等关键环节，适合需要快速上手企业级Web服务部署的技术人员参考。资源包内共1个docx文档，约1016KB，以图文步骤形式整理操作要点，便于按章节查阅与对照实践。目前已有2759人学习下载，说明其在同类教程中具备一定参考价值。文档围绕服务器安装、网络与硬件测试、创建网站目录并拷贝素材、配置端口与域名、安装DNS服务器并配置解析记录等模块展开，读者可据此理清Web站点从部署到对外访问的完整链路，并积累端口冲突排查与域名映射的实操思路。
1. Windows Server 2022 上把 Web 服务器跑起来：先想清楚你要的是 IIS 还是别的
很多人在 Windows Server 2022 上搭 Web 服务器，第一反应是“装个 IIS 就完事”，结果上线后才发现：站点绑了域名却打不开、外网访问被防火墙拦、静态资源 404、HTTPS 证书报错。问题往往不在 IIS 本身，而在于没把“Web 服务器 + DNS 域名解析 + 安全基线”当成一条链路来规划。这篇笔记就按这条链路走：先讲清 Windows Server 2022 上 Web 服务器的选型逻辑，再一步步落地 IIS 站点、DNS 解析、防火墙与证书，最后把踩过的坑摊开讲。适合手里有一台 Windows Server 2022、要对外提供网页或接口服务的运维和开发，新手能照着敲，熟手能对照参数和边界。
2. 选型与前置准备：IIS、端口和系统角色怎么定
2.1 为什么 Windows 环境下优先选 IIS
在 Windows Server 2022 上做 Web 服务器，常见做法有三条路：IIS、Nginx for Windows、以及用 Kestrel/Apache 之类自托管。选 IIS 的理由很直接——它是系统原生角色，和 Windows 身份验证、证书存储、事件日志、性能计数器天然打通，图形化和命令行（PowerShell）都能管，出问题查日志的路径最短。Nginx 在 Windows 上性能并不比 Linux 版，且和系统集成度低，除非你团队本来就熟 Nginx 配置，否则在纯 Windows 环境里属于给自己加维护面。
IIS 的核心概念就三个：站点（Site）绑定 IP+端口+主机名，应用程序池（Application Pool）决定用哪个 .NET 运行时和进程隔离，物理路径指向内容目录。理解这三者，后面所有配置都是在这上面做加减法。
2.2 装 IIS 角色：GUI 和 PowerShell 两条路
图形化路径：服务器管理器 → 添加角色和功能 → 一路下一步到“服务器角色” → 勾选Web 服务器(IIS)→ 在功能里按需勾选。生产环境建议至少勾上：默认文档、目录浏览（调试期）、HTTP 错误、静态内容、请求筛选、Windows 身份验证（内网用）、IIS 管理控制台。
命令行更适合批量或远程：
# 以管理员身份运行 PowerShell Install-WindowsFeature -Name Web-Server -IncludeManagementTools # 按需追加常用子功能 Install-WindowsFeature -Name Web-Default-Doc, Web-Dir-Browsing, Web-Http-Errors, ` Web-Static-Content, Web-Http-Logging, Web-Request-Monitor, Web-Filtering, ` Web-Windows-Auth, Web-Mgmt-ConsoleInstall-WindowsFeature是 Server 2022 上装角色的标准命令，-IncludeManagementTools会带上 IIS 管理器。子功能名必须写对，写错会直接报“找不到功能”，可以用Get-WindowsFeature Web-*先列一遍确认。装完访问http://localhost看到 IIS 默认页，说明角色本身没问题。
2.3 端口、目录和应用程序池的初始约定
默认站点监听 80 端口，物理路径在C:\inetpub\wwwroot。生产上我一般不会直接往默认站点塞内容，而是新建站点、新建应用程序池，做到一站点一池，避免一个站点崩了拖垮全部。
# 新建应用程序池，指定 .NET CLR 版本，无托管代码选 No Managed Code New-WebAppPool -Name "MySitePool" Set-ItemProperty IIS:\AppPools\MySitePool -Name managedRuntimeVersion -Value "" # 建内容目录 New-Item -ItemType Directory -Path "D:\www\mysite" -Force # 新建站点，绑定 80 端口，主机头留空先用 IP 访问 New-Website -Name "MySite" -PhysicalPath "D:\www\mysite" ` -ApplicationPool "MySitePool" -Port 80 -ForcemanagedRuntimeVersion设为空字符串表示“无托管代码”，纯静态站或跑 PHP/Node 反代时用这个；如果是 ASP.NET 应用则填v4.0。主机头（Host Header）先留空，等 DNS 解析配好再绑域名，否则本地测试会被主机头匹配规则挡住。
提示：内容目录不要放在系统盘根目录下随便建的文件夹，权限继承容易出问题。单独建
D:\www这类数据盘路径，后续做备份和权限收紧都清爽。
3. 域名解析与 DNS 服务器：让域名真正指到这台机器
3.1 公网域名解析和自建 DNS 是两件事
热搜里“自己搭建 DNS 服务器”“cname 域名解析”经常和 Web 服务器混在一起。要分清：对外提供网站，你需要在域名注册商处把域名解析到服务器公网 IP，这一步用的是注册商的权威 DNS，不需要你自己搭 DNS 服务器。自建 DNS 服务器（在 Windows Server 2022 上装 DNS 角色）解决的是内网域名解析、AD 域环境、或者你想在内网用自定义域名访问站点。两者目标不同，别一上来就装 DNS 角色，先问自己：这个域名是给公网用户用，还是只给内网用。
3.2 公网解析：A 记录和 CNAME 怎么选
在域名服务商控制台添加记录：
| 记录类型 | 用途 | 示例 | 注意点 |
|---|---|---|---|
| A | 域名直接指向 IPv4 | www→203.0.113.10 | 服务器公网 IP 变了要手动改 |
| CNAME | 域名指向另一个域名 | blog→www.example.com | 根域名（@）通常不允许 CNAME |
| AAAA | 指向 IPv6 | www→2001:db8::1 | 服务器没 IPv6 就别加 |
A 记录最直接，CNAME 适合你有多个子域要指向同一个目标、且目标 IP 可能变动的场景。解析生效有 TTL 缓存，改完别立刻断言“没生效”，等 TTL 过期或用nslookup指定权威服务器查。
# 查解析是否生效，指定公共 DNS 避免本地缓存干扰 nslookup www.example.com 8.8.8.8 nslookup www.example.com 223.5.5.5两个不同 DNS 返回一致，基本可判定解析已生效。若返回 NXDOMAIN，检查记录是否保存、域名是否实名、是否在正确的域名下添加。
3.3 内网自建 DNS：装角色和建正向区域
内网要用mysite.local这类域名访问，可以在 Windows Server 2022 上装 DNS 角色：
Install-WindowsFeature -Name DNS -IncludeManagementTools # 新建正向查找区域 Add-DnsServerPrimaryZone -Name "mysite.local" -ReplicationScope "Forest" # 添加 A 记录 Add-DnsServerResourceRecordA -ZoneName "mysite.local" -Name "www" -IPv4Address "192.168.1.10"-ReplicationScope "Forest"适合域环境；工作组环境用-ReplicationScope "None"。建完把内网客户端的 DNS 指向这台服务器，nslookup www.mysite.local能解析就通了。注意内网 DNS 服务器自身的网络配置里，DNS 要指向自己或上游，别指成一个不存在的地址导致递归查询失败。
3.4 把域名绑到 IIS 站点
解析通了，回到 IIS 给站点加主机头绑定：
# 给已有站点追加 80 端口 + 主机头绑定 New-WebBinding -Name "MySite" -Protocol "http" -Port 80 -HostHeader "www.example.com"绑定后必须保证请求的 Host 头和这里一致，否则 IIS 会落到默认站点或返回 404。多个域名指向同一站点，就加多条绑定；不同站点共用 80 端口，靠主机头区分，这是 IIS 上跑多站点的标准做法。
4. 防火墙、HTTPS 与安全基线：别让站点裸奔
4.1 放行端口：Windows 防火墙和云安全组都要动
IIS 装好、站点建好，本机http://localhost能开，外网打不开，九成是防火墙。Windows 防火墙要放行入站 80/443：
New-NetFirewallRule -DisplayName "HTTP-In" -Direction Inbound ` -Protocol TCP -LocalPort 80 -Action Allow New-NetFirewallRule -DisplayName "HTTPS-In" -Direction Inbound ` -Protocol TCP -LocalPort 443 -Action Allow如果服务器在云上，还要在云平台的安全组/网络 ACL 里放行同样端口。两层防火墙是“与”关系，缺一层都不通。排查时先在服务器本机Test-NetConnection -ComputerName 127.0.0.1 -Port 80，再从外部telnet 公网IP 80，逐步定位是哪一层拦的。
4.2 上 HTTPS：证书申请与绑定
生产站点必须上 HTTPS。证书来源可以是商业 CA，也可以是内网自建 CA。拿到证书后导入“本地计算机 → 个人”证书存储，再绑定：
# 绑定 443，需先有证书指纹 New-WebBinding -Name "MySite" -Protocol "https" -Port 443 -HostHeader "www.example.com" Get-Item IIS:\SslBindings\0.0.0.0!443 | Remove-Item # 清理旧绑定（如存在） New-Item IIS:\SslBindings\0.0.0.0!443 -Value (Get-Item Cert:\LocalMachine\My\<证书指纹>)证书指纹在证书详情里复制，去掉空格。绑定后浏览器仍报证书错误，常见原因是证书链不全（缺中间证书）或主机名不匹配。用certutil -verify或在线 SSL 检测工具确认链完整。
4.3 安全基线：请求筛选、目录浏览和错误页
默认配置有几处要收紧：关闭目录浏览（除非确实要列文件）、隐藏版本头、限制请求大小、配置自定义错误页避免泄露堆栈。
# 关闭目录浏览 Set-WebConfigurationProperty -Filter "system.webServer/directoryBrowse" ` -Name enabled -Value $false -PSPath "IIS:\Sites\MySite" # 移除 Server 响应头（需装 URL Rewrite 或改注册表，这里用出站规则思路） # 限制最大请求体 30MB Set-WebConfigurationProperty -Filter "system.webServer/security/requestFiltering/requestLimits" ` -Name maxAllowedContentLength -Value 31457280 -PSPath "IIS:\Sites\MySite"maxAllowedContentLength单位是字节，30MB 即 31457280。上传功能报 404.13 就是这个值太小。关闭目录浏览能防止别人直接列出你的文件结构，属于低成本高收益的加固。
5. 避坑与排查：那些让站点“玄学打不开”的真实原因
5.1 现象：本机能开，外网超时
原因：Windows 防火墙未放行，或云安全组未放行，或服务器没有公网 IP/端口映射。解决：按 4.1 逐层验证，先本机回环，再内网其他机器，再外网，定位断点在哪一层。
5.2 现象：域名解析对了，访问却进到默认站点
原因：IIS 绑定里主机头没配或配错，请求落到了“Default Web Site”。解决：检查目标站点的绑定列表，确认主机头与访问域名完全一致；不需要的默认站点直接停掉，避免抢请求。
5.3 现象：应用程序池频繁回收，站点间歇性 503
原因：应用程序池默认有闲置超时（20 分钟）和定期回收（1740 分钟），加上内存限制触发回收。解决：对常驻服务把Idle Time-out设为 0，回收时间按业务调整，或改用AlwaysRunning启动模式配合预热。
Set-ItemProperty IIS:\AppPools\MySitePool -Name processModel.idleTimeout -Value "00:00:00" Set-ItemProperty IIS:\AppPools\MySitePool -Name recycling.periodicRestart.time -Value "00:00:00"5.4 现象：HTTPS 绑定后浏览器提示“证书不受信任”
原因：证书链不完整、证书与域名不匹配、或用了自签名证书对外。解决：补全中间证书，确认证书 SAN 包含访问域名，对外站点用受信 CA 证书。
5.5 现象：静态文件 404，图片 CSS 加载失败
原因：MIME 类型未注册，或物理路径权限不足，或请求筛选拦了扩展名。解决：在 IIS 的 MIME 类型里补对应扩展名；检查应用程序池账户对内容目录是否有读权限；查看请求筛选的允许/拒绝规则。
6. 进阶：用日志和性能计数器把问题钉死
站点稳定运行后，真正拉开差距的是排查效率。IIS 日志默认在C:\inetpub\logs\LogFiles\W3SVC<站点ID>，字段包含cs-method、sc-status、time-taken。我习惯先用 PowerShell 快速聚合状态码分布，而不是一条条翻：
# 统计最近日志中各状态码出现次数 Get-Content "C:\inetpub\logs\LogFiles\W3SVC1\*.log" | Where-Object { $_ -notmatch "^#" } | ForEach-Object { ($_ -split " ")[8] } | Group-Object | Sort-Object Count -Descending | Select-Object -First 10($_ -split " ")[8]取的是sc-status字段（IIS 日志默认字段顺序里状态码在第 9 列，索引 8）。如果 500 集中爆发，再去看 Windows 事件查看器里对应时间点的应用池崩溃记录；如果time-taken普遍偏大，用性能计数器看ASP.NET Requests Current和CPU。
再补一个我常用的验证习惯：每次改完绑定或防火墙，不靠“刷新浏览器看看”，而是固定跑三条命令——本机回环、内网 IP、公网域名，三条都通才算这次变更收工。这个习惯帮我省下过好几次“以为好了其实只通了一半”的后悔药。Web 服务器搭建本身不难，难的是把解析、端口、证书、权限这条链每一环都验证到位。希望帮到你。
本文还有配套的精品资源，点击获取
