Servidores dedicados Windows Server

Un servidor dedicado Windows Server es una máquina física de un solo inquilino que ejecuta Windows Server directamente sobre el hardware, sin hipervisor y sin tenencia compartida. Obtienes acceso completo de administrador por RDP, todos los núcleos físicos y un rendimiento predecible para cargas sensibles a la licencia como SQL Server, Active Directory e IIS.

Como la máquina está enteramente dedicada a ti, la licencia es flexible: trae tu propia imagen y licencia de Windows (BYOL), o añade una licencia de Windows Server a través de nuestro SPLA y págala mensualmente, con precio indicado durante el proceso de pedido. Ofrecemos Windows Server 2022 y Windows Server 2025.

¿No sabes qué versión de Windows Server ejecutar? Lee nuestra guía de versiones de Windows Server.

Licencia de Windows Server: BYOL y SPLA

Windows Server se licencia por núcleo físico, no por máquina virtual, con un mínimo de 8 licencias de núcleo por procesador y 16 por servidor. En un servidor dedicado de Serverside tienes dos vías, y eliges al hacer el pedido.

Trae tu propia licencia (BYOL): como el hardware está enteramente dedicado y es de un solo inquilino, por lo general puedes desplegar tus propias licencias de Windows Server sobre él al amparo de los Outsourcing Software Management Rights y el Flexible Virtualization Benefit de Microsoft. Esa es la distinción clave respecto al hosting compartido o multiinquilino, donde esos derechos no se aplican. Ten en cuenta que Windows Server en sí no está cubierto por la License Mobility clásica a través de Software Assurance, así que la elegibilidad depende de tu licencia concreta y del estado de su suscripción o Software Assurance: conviene confirmarlo con tu distribuidor.

SPLA (Services Provider License Agreement): como alternativa, podemos licenciar Windows Server por ti a través de nuestro SPLA. Es el modelo mensual y por núcleo físico de Microsoft para proveedores de hosting: alquilas la licencia mientras tengas el servidor en marcha, sin compra por adelantado y sin CAL de Windows Server que gestionar. Indicamos la tarifa de SPLA durante el proceso de pedido; escala con el número de núcleos de la máquina que elijas, lo que es una razón por la que las CPU de mayor frecuencia y menos núcleos pueden ser la opción económica para muchas cargas de Windows.

• Licencia por núcleo: la factura sigue a los núcleos físicos (mín. 8/procesador, 16/servidor), no al número de VM
• BYOL está disponible en nuestro hardware dedicado de un solo inquilino: verifica tu licencia y el estado de SA/suscripción
• SPLA es mensual, sin CAL, con precio indicado al pedir y escalando con el número de núcleos
• Conservas el acceso completo de administrador en cualquiera de las dos vías

Edición Standard frente a Datacenter

La edición que licencias cambia tus derechos de virtualización, y esto importa si piensas ejecutar Hyper-V en la máquina. Por lo demás, ambas ediciones son comparables en funcionalidad para la mayoría de los roles.

Standard concede dos entornos de sistema operativo por servidor totalmente licenciado: en la práctica, el host más dos VM de Windows Server (o dos VM si el host ejecuta solo el rol Hyper-V). Apilar un segundo conjunto de licencias de núcleo sobre los mismos núcleos compra otras dos VM. Datacenter concede VM de Windows Server ilimitadas sobre los núcleos licenciados, de modo que se convierte en la opción económica una vez que ejecutas aproximadamente entre ocho y diez VM en un host. Si no estás virtualizando Windows y solo quieres una única carga de Windows sobre el metal, Standard suele ser la elección correcta.

• Standard: 2 VM de Windows (OSE) por servidor totalmente licenciado; vuelve a licenciar los núcleos para +2
• Datacenter: VM de Windows ilimitadas sobre los núcleos licenciados
• El punto de cruce hacia Datacenter ronda las 8-10 VM por host
• Ambas están cubiertas bajo BYOL o SPLA: la edición se elige al hacer el pedido

Endurecimiento de RDP: la exposición número uno de Windows

Escritorio Remoto es cómo administras un servidor Windows, y un endpoint RDP dejado abierto en el TCP 3389 a todo internet es la superficie más atacada de Windows. El rociado de contraseñas y la fuerza bruta automatizados contra el 3389 expuesto son constantes. Nunca lo dejes abierto al mundo: ponlo detrás de algo y restringe quién puede alcanzarlo.

Gestionas tus propias reglas de firewall a nivel de red desde tu panel, de modo que el filtrado ocurre por delante de la máquina y no solo en el Firewall de Windows del propio servidor: mitigación DDoS y gestión de reglas en autoservicio aguas arriba, el Firewall de Windows por detrás, una defensa en capas en la que ninguna de las dos capas es tu único punto de fallo. Si aun así te bloqueas —una regla equivocada, un cambio de firewall, un ajuste de RDP incorrecto—, la consola KVM te da acceso fuera de banda cuando RDP es inalcanzable: mira arrancar la máquina, arregla el driver de la NIC, el firewall o el ajuste que lo rompió y vuelve a entrar sin abrir un ticket de soporte.

Más allá de la capa de red, también deberías endurecer el propio SO. Una base sensata en una máquina Windows recién aprovisionada de Serverside:

• Restringe el 3389 a una lista de IP permitidas (la salida de tu oficina/VPN), o no lo expongas en absoluto
• Alcanza RDP a través de un RD Gateway o una VPN en lugar del puerto en bruto
• Exige Network Level Authentication (NLA) para que las credenciales se comprueben antes de que se levante una sesión
• Configura políticas de bloqueo de cuenta para frenar los intentos de fuerza bruta
• Renombra/deshabilita la cuenta de administrador predeterminada y usa credenciales fuertes y únicas
• Deja que nuestro filtrado inline se sitúe por delante del endpoint, pero trátalo como defensa en profundidad, no como sustituto de lo anterior

Qué ejecutan los equipos sobre Windows bare metal

El bare metal encaja con las cargas de Windows sensibles a la licencia o a la latencia, porque unos núcleos físicos fijos y la ausencia de peaje de hipervisor hacen predecibles tanto la licencia como el rendimiento.

• SQL Server: la licencia por núcleo recompensa un número de núcleos físicos conocido y fijo, y el NVMe local mantiene rápidas las consultas limitadas por E/S
• Active Directory y servicios de dominio como controlador de dominio dedicado o capa de identidad
• IIS y hosting de aplicaciones ASP.NET / .NET con el uplink completo por detrás
• Host de virtualización Hyper-V: combínalo con la edición Datacenter para invitados Windows ilimitados
• Servidores de juegos basados en Windows: nuestros perfiles DDoS están afinados por título entre los juegos alojados en nuestra red

Aísla los controladores de dominio en la red privada

Active Directory es el caso donde más importa la topología de red: un controlador de dominio casi nunca debería estar directamente en una dirección pública. Pon tus servidores en una red privada entre ellos y mantén los DC en ese lado privado, colocando en una DMZ definida por el cliente solo los miembros que realmente tienen que dar la cara a internet: un front-end web público, un relé de borde. La replicación de dominio, el LDAP y el tráfico Kerberos quedan entonces por completo fuera de la interfaz pública.

Ese es el patrón multicapa clásico: el miembro expuesto en la DMZ, la capa de identidad aislada detrás y la red privada llevando todo lo que nunca debería salir de tu propio perímetro. Tú defines la segmentación, así que el DC nunca tiene que responder a un paquete de internet abierto.

¿Windows Server 2022 o 2025?

Windows Server 2025 alcanzó la disponibilidad general el 1 de noviembre de 2024 como la versión actual del Long-Term Servicing Channel, de modo que tanto 2022 como 2025 son opciones soportadas y actuales. 2025 trae un kernel más nuevo, endurecimiento de seguridad (mejoras de credenciales y de Active Directory, SMB over QUIC ahora disponible en Standard y Datacenter en lugar de solo en Azure Edition), mejoras de rendimiento y soporte para hotpatching.

El hotpatching te permite aplicar muchas actualizaciones de seguridad al código en ejecución sin reiniciar, reduciendo el número de meses con reinicio al año. Se entrega para Windows Server 2025 a través de Azure Arc; los términos comerciales de Microsoft al respecto han cambiado desde el lanzamiento, así que confirma el acuerdo vigente en lugar de asumir una tarifa fija. Si el parcheo sin reinicios es una prioridad, 2025 es la versión que elegir.

Elige 2022 por la máxima compatibilidad con el software certificado contra él y una trayectoria más larga; elige 2025 por el conjunto de funciones más nuevo, el hotpatching y la ventana de soporte más larga. Creamos la imagen de cualquiera de los dos en menos de un minuto, así que la decisión es sobre tu software, no sobre nuestro aprovisionamiento.

Postura de parcheo y seguridad

Windows Server se distribuye con Microsoft Defender Antivirus habilitado y recibe actualizaciones de seguridad acumulativas con la cadencia mensual del «Patch Tuesday» (el segundo martes de cada mes), con correcciones fuera de banda para CVE urgentes. Como tu servidor de Serverside es no gestionado por defecto, mantenerte al día es responsabilidad tuya: una máquina Windows de cara a internet que se salta el Patch Tuesday es un blanco fácil.

Pon en marcha un plan de parcheo desde el primer día: programa las actualizaciones con Windows Update, WSUS o tus herramientas de gestión de configuración, mantén Defender (o tu EDR de elección) activo y actualizado, y planifica ventanas de reinicio, o ejecuta Windows Server 2025 con hotpatching para reducir la frecuencia con que esos reinicios interrumpen el servicio. Puede organizarse un parcheo gestionado si prefieres que nos encarguemos nosotros.