Windows Server dedicated servers

Een Windows Server dedicated server is een fysieke machine voor één gebruiker die Windows Server rechtstreeks op de hardware draait — geen hypervisor, geen gedeelde tenancy. Je krijgt volledige Administrator-toegang via RDP, elke fysieke core en voorspelbare prestaties voor licentiegevoelige workloads als SQL Server, Active Directory en IIS.

Omdat de machine volledig aan jou is toegewijd, is de licentiëring flexibel: neem je eigen Windows-image en -licentie mee (BYOL), of voeg een Windows Server-licentie toe via onze SPLA en betaal die maandelijks, gequoteerd tijdens het bestelproces. We bieden Windows Server 2022 en Windows Server 2025.

Niet zeker welke Windows Server-versie je moet draaien? Lees onze gids voor Windows Server-versies.

Windows Server-licentiëring: BYOL en SPLA

Windows Server wordt gelicentieerd per fysieke core, niet per virtuele machine, met een minimum van 8 core-licenties per processor en 16 per server. Op een Serverside dedicated server heb je twee routes, en je kiest bij bestelling.

Bring your own licence (BYOL): omdat de hardware volledig toegewijd is en voor één gebruiker, kun je er over het algemeen je eigen Windows Server-licenties op inzetten onder Microsofts Outsourcing Software Management Rights en Flexible Virtualization Benefit. Dat is het cruciale verschil met gedeelde of multi-tenant hosting, waar die rechten niet gelden. Let op: Windows Server zelf valt niet onder de klassieke License Mobility via Software Assurance, dus geschiktheid hangt af van je specifieke licentie en de abonnements- of Software Assurance-status ervan — het is de moeite waard om dit met je reseller te bevestigen.

SPLA (Services Provider License Agreement): als alternatief kunnen wij Windows Server voor je licentiëren via onze SPLA. Dit is Microsofts maandelijkse model per fysieke core voor hostingproviders — je huurt de licentie zolang je de server draait, geen aankoop vooraf en geen Windows Server-CAL's om te beheren. We quoten de SPLA-vergoeding tijdens het bestelproces; die schaalt mee met het aantal cores van de machine die je kiest, wat een reden is waarom CPU's met hogere kloksnelheid en minder cores voor veel Windows-workloads de economische keuze kunnen zijn.

• Licentiëring per core: de rekening volgt fysieke cores (min 8/processor, 16/server), niet het aantal VM's
• BYOL is beschikbaar op onze dedicated single-tenant hardware — verifieer je licentie + SA/abonnementsstatus
• SPLA is maandelijks, zonder CAL's, gequoteerd bij bestelling en schaalt mee met het aantal cores
• Je houdt volledige Administrator-toegang bij beide routes

Standard- versus Datacenter-editie

De editie die je licentieert verandert je virtualisatierechten, en dat telt als je Hyper-V op de machine wilt draaien. Voor de meeste rollen zijn beide edities verder qua features vergelijkbaar.

Standard verleent twee operating-system environments per volledig gelicentieerde server — in de praktijk de host plus twee Windows Server-VM's (of twee VM's als de host alleen de Hyper-V-rol draait). Een tweede set core-licenties over dezelfde cores stapelen koopt nog eens twee VM's. Datacenter verleent onbeperkte Windows Server-VM's op de gelicentieerde cores, en wordt dus de economische keuze zodra je ruwweg acht tot tien VM's op één host draait. Virtualiseer je Windows niet en wil je gewoon één Windows-workload op de metal, dan is Standard doorgaans de juiste keuze.

• Standard: 2 Windows-VM's (OSE's) per volledig gelicentieerde server; herlicentieer de cores voor +2
• Datacenter: onbeperkte Windows-VM's op de gelicentieerde cores
• De overstap naar Datacenter ligt rond 8–10 VM's per host
• Beide vallen onder BYOL of SPLA — de editie wordt bij bestelling gekozen

RDP hardenen: de grootste Windows-blootstelling

Remote Desktop is hoe je een Windows-server beheert, en een RDP-endpoint dat op TCP 3389 open staat naar het hele internet is het meest aangevallen oppervlak op Windows. Geautomatiseerde password-spraying en brute-force tegen een blootgestelde 3389 is constant. Laat het nooit open naar de wereld — zet er iets voor, en grendel af wie het kan bereiken.

Je beheert je eigen firewallregels op netwerkniveau vanuit je dashboard, zodat de filtering vóór de machine plaatsvindt in plaats van alleen in de Windows Firewall op de machine — self-service DDoS-mitigatie en regelbeheer upstream, de Windows Firewall erachter, een gelaagde verdediging waarbij geen van beide lagen je single point of failure is. Grendel je jezelf toch buiten — een verkeerde regel, een firewallwijziging, een foute RDP-instelling — dan geeft de KVM-console je out-of-band-toegang wanneer RDP onbereikbaar is: zie de machine booten, herstel de NIC-driver, firewall of instelling die het brak, en kom weer binnen zonder een supportticket te openen.

Naast de netwerklaag hoor je ook het OS zelf te hardenen. Een verstandige basislijn op een verse Serverside Windows-machine:

• Beperk 3389 tot een IP-allowlist (je kantoor/VPN-uitgang), of stel het helemaal niet bloot
• Bereik RDP via een RD Gateway of een VPN in plaats van de kale poort
• Vereis Network Level Authentication (NLA) zodat inloggegevens worden gecontroleerd voordat een sessie start
• Stel account-lockout-policies in om brute-force-pogingen af te zwakken
• Hernoem/schakel het standaard Administrator-account uit en gebruik sterke, unieke inloggegevens
• Laat onze inline filtering het endpoint afschermen — maar behandel het als defence in depth, geen vervanging voor het bovenstaande

Wat teams draaien op Windows bare metal

Bare metal past bij Windows-workloads die licentiegevoelig of latency-gevoelig zijn, omdat vaste fysieke cores en geen hypervisor-overhead zowel de licentiëring als de prestaties voorspelbaar maken.

• SQL Server — licentiëring per core beloont een bekend, vast aantal fysieke cores, en lokale NVMe houdt I/O-gebonden queries snel
• Active Directory en domeindiensten als een toegewijde domain controller of identity-laag
• IIS en ASP.NET / .NET-applicatiehosting met de volledige uplink erachter
• Hyper-V virtualisatiehost — combineer met de Datacenter-editie voor onbeperkte Windows-guests
• Windows-gebaseerde gameservers — onze DDoS-profielen zijn per titel afgestemd over de games die op ons netwerk worden gehost

Isoleer domain controllers op het privénetwerk

Active Directory is het geval waar netwerktopologie het meest telt: een domain controller hoort vrijwel nooit rechtstreeks op een publiek adres te staan. Zet je servers op een privénetwerk onderling en houd de DC's aan die private kant, met alleen de members die echt naar het internet moeten wijzen — een publieke web-front-end, een edge-relay — in een door de klant gedefinieerde DMZ. Domeinreplicatie, LDAP en Kerberos-verkeer blijven dan volledig van de publieke interface af.

Dat is het klassieke tiered-patroon: de blootgestelde member in de DMZ, de identity-laag daarachter geïsoleerd, en het privénetwerk dat alles draagt wat je eigen grens nooit mag verlaten. Jij definieert de segmentatie, dus de DC hoeft nooit een pakket van het open internet te beantwoorden.

Windows Server 2022 of 2025?

Windows Server 2025 werd algemeen beschikbaar op 1 november 2024 als de huidige Long-Term Servicing Channel-release, dus zowel 2022 als 2025 zijn ondersteunde, actuele keuzes. 2025 brengt een nieuwere kernel, security-hardening (verbeteringen aan credentials en Active Directory, SMB over QUIC nu beschikbaar in Standard en Datacenter in plaats van alleen Azure Edition), prestatiewinst en ondersteuning voor hotpatching.

Hotpatching laat je veel security-updates toepassen op draaiende code zonder reboot, wat het aantal restart-maanden per jaar verlaagt. Het wordt voor Windows Server 2025 geleverd via Azure Arc; Microsofts commerciële voorwaarden ervoor zijn sinds de lancering verschoven, dus bevestig de huidige regeling in plaats van een vaste vergoeding aan te nemen. Als reboot-vrij patchen een prioriteit is, is 2025 de versie om te kiezen.

Kies 2022 voor maximale compatibiliteit met software die ertegen gecertificeerd is en een langer trackrecord; kies 2025 voor de nieuwere featureset, hotpatching en de langste supporttermijn. We schrijven elk binnen een minuut naar de machine, dus de keuze gaat over jouw software, niet over onze provisioning.

Patchen en security-houding

Windows Server wordt geleverd met Microsoft Defender Antivirus ingeschakeld en ontvangt cumulatieve security-updates op de maandelijkse "Patch Tuesday"-cadans (de tweede dinsdag van elke maand), met out-of-band-fixes voor dringende CVE's. Omdat je Serverside-server standaard unmanaged is, is bijblijven jouw verantwoordelijkheid — een Windows-machine aan het internet die Patch Tuesday mist, is een makkelijk doelwit.

Zet vanaf dag één een patchplan op: plan updates via Windows Update, WSUS of je configuratiebeheer-tooling, houd Defender (of je gekozen EDR) actief en up-to-date, en plan reboot-vensters — of draai Windows Server 2025 met hotpatching om te verkleinen hoe vaak die reboots de dienst onderbreken. Managed patchen kan worden geregeld als je liever hebt dat wij het afhandelen.