Через 5 лет после выхода десятки решил я посмотреть, что это за зверь, и насколько он может быть полезен в нелегкой сисадминской работе. К тому же рано или поздно все равно придется ее ставить.

Сразу предупреждаю, что к винде я отношусь как к рабочему инструменту. На ней должны работать программы, которые мне (бизнесу) нужны и не должно быть программ, которые мне не нужны. Если избавиться от последних невозможно или трудозатратно, их нужно нейтрализовать. Обновления я сразу решил отключить, потому что считаю, что невозможно построить стабильную инфраструктуру на операционке, в которой сегодня работает / не работает что-то одно, а завтра - что-то другое. Надо брать наиболее стабильную версию и "замораживать" ее в этом самом стабильном состоянии.

Если кто-то хочет поспорить по поводу необходимости обновлений или по поводу "вырезания ненужного", пожалуйте в соответствующий топик 2076166 (осторожно, мат). Вопросы законности или допустимости нарушения ЕУЛЫ, которая неявно запрещает отключать обновления, можно обсуждать тут.

Для экспериментов я взял версию 1909 x64 Pro N. N означает, что в ней мультимедии и скайпа. Нашел для нее lang pack 1903 october 2019 в формате appx, накатил, часть интерфейса осталась английским, но все, что нужно обычному пользователю - перевелось.

Провод в сетевой адаптер во время установки не включал, про сеть позже будет.

При установке пришлось создать учетку Микрософт, потом из-под нее создал локальную учетку, старую удалил. Каталог профиля тоже удалил.

Активировал по телефону черезуже из-под локальной учетки. Мои циферки прослушал живой человек, потом переключил меня на робота, я заслушал их циферки, вбил, винда активировалась.

Из "Программ и компонентов" удалил OneDrive, больше ничего не было.

Из компонентов виндовс удалил Work Folders Client, установил самбу 1.0 (она мне пока нужна, хоть и не безопасна)

Затем приступил к очистке всяких предустановленных "магазинных" приложений. Это делается через PowerShell.

Список приложений смотрел такУдалял по одному вот такВыявил список приложений, которые хотелось бы удалить, да низя. Это не считая Кортаны.
CloudExperienceHost
AAD.brokerPlugin
XBoxGameCallableUI
PeopleExperienceHost
ParentalControls
BioEnrollment
Store.Engagement
Narrator.QuickStart
OfficeHub
Ну и хрен с ними.

Потом я взялся за службы. Службы есть полезные, есть бесполезные, есть вредные. Каждый сам для себя решает. Мне, например, служба для записи игр и прямых трансляций не нужна, я ее отключаю, чтоб ее ненароком какая-то прога не запустила без моего ведома. Кому-то она может быть нужна.

По способу отключения службы делятся на 4 типа.

1. Просто службы. Открываешь окно свойств, останавливаешь, если она запущена, меняешь тип запуска на "Отключена".

2. Есть службы, названия которых заканчиваются пятизначным шестнадцатеричным числом. Таким службам нельзя поменять тип запуска из консоли, да это и бессмысленно, через какое-то время число может поменяться, это будет уже другая служба с тем же функционалом. Можно просто удалить эти службы из реестра. Причем надо удалять саму службу и ее двойника (без циферок). Можно в реестре поставить ей тип запуска 4 (ей и ее двойнику). Дополнительно можно отобрать у SYSTEM полные права на раздел реестра.
Я не удалял. Циферки в названиях через несколько дней поменялись, но тип запуска остался таким, каким я его поставил руками.

3. Есть службы, которые даже остановить штатно нельзя, но можно опять же пойти в редактор реестра, поменять ей тип запуска на 4 и перезагрузить комп. Например, "Центр обеспечения безопасности".

4. Есть одна служба, которую нельзя даже из реестра остановить, это служба "Защитника Виндовс". Остановку этой службы я оставил на потом, когда буду устанавливать DrWeb. Может, ее и не придется останавливать.

В принципе, со службами все просто и предсказуемо. Даже как-то смешно стало от их детских потуг помешать админу отключить службу, которая ему не нужна.

Далее - планировщик заданий.

С заданиями интересно. Есть простые задания, которые отключаются штатно. Есть задания, для удаления которых опять пришлось лезть в реестр. Есть задания, у которых неизвестен триггер (Custom Trigger), есть задания, у которых вообще нет триггера, они запускаются другими заданиями или программами. Есть задания, которые неизвестно что выполняют (Custom Handler). Нашлось задание, которое выполняется при изменении параметров запуска службы. Прикольно, да.

Удаления "неудаляемого" задания:
Само задание ищем в реестре тутКопируем его гуид, ищем по гуиду параметры задания тутЯ не стал разбираться, как отключить задание, я штатно экспортировал ненужные задания из оснастки (для архива), а потом удалял их из реестра. Удалять надо в трех местах, помимо двух упомянутых - раздел Plain.
Задания из папки UpdateOrchestrator удалились успешно и пока "сами собой" не появились.

Теперь настала пора подключить компьютер к сети.

Подготовка окружения:
В настройках Ubiquiti изолировал комп от одной уже имеющейся, но необработанной десятки. На всякий.
В файрволе микротика разрешил для определенного адреса доступ к DNS и создал еще два правила для этого адреса: рубить весь не-TCP трафик, и подвешивать (tarpit) весь TCP трафик. И конечно, писать все это в лог.

Подготовка компа:
Отключил IPv6 протокол в настройках сетевушки, адрес IPv4 (см выше) задал руками. С шлюзом и ДНС.

Включил и начал смотреть, куда винда лезет. Ничего особо интересного не обнаружил. Всего десяток адресов, Azure и Акамай. Запустил на машине netstat, обнаружил среди активных (подвешенных) подключений smartscreen.exe и SearchUI.exe. Смартскрин отключил в групповых политиках, поиск решил не отключать, а просто запретить ему выход в инет штатным брэндмауэром.

В настройках брэндмауэра в первую очередь включил режим белого списка для исходящих подключений. В принципе, этого можно не делать, а просто имеющиеся разрешающие правила превращать в запрещающие. Но я сделал все по-взрослому. Надо только иметь в виду, что для новых приложений, которым нужен доступ в инет, надо будет создать разрешающие правила. Нашел правила, касающиеся Windows Search, сделал их запрещающими. Потом мне это все надоело, и я просто прошел по всем правилам и поотключал все, что мне не нравилось. В результате уже вторые сутки винда никуда не лезет. Все, что регистрирует микротик - это широковещательные пакеты на 137 и 138 порты.

Вроде, все. Установил стандартный набор пользовательских программ, убедился, что все работает. Теперь подожду месяцок-другой, пока служба обновления "сама собой" не включится (как мне рассказывали) или активация не слетит. Потом уберу изоляцию от имеющейся "грязной" винды, потом найду кому бы этот комп поставить.

Все пользовательские приложения, требующие доступа в инет, настраиваются на работу через прокси, так что в таком режиме винда может проработать не один год. Будем посмотреть.

Это приличный треп.

И не знаешь, что она втихую делает (годами).

А, ну да. Тут можно матюкаться?

Не дождутся. Сейчас еще можно собрать новый комп и поставить на него семерку.

У них план в каждую новую версию десятки добавлять какую-то новую фичу.

Я хочу сказать, что каждые пол-года в винде обязательно должна появиться новая фича.

Обнаружил, что при включении подопытной системы происходят попытки TCP подключений к двум адресам, из той десятки адресов, которая была выявлена с самого начала. Сперва подумал, что виноват брэндмауэр, кто-то загружается раньше него. Потом полез посмотреть на службы. Не зря. Две службы, которые я точно отключал, оказались включены и запущены. Служба обновления и BITS. Отобрал у SYSTEM права на запись в эти разделы реестра, вернул все взад. Продолжаем наблюдение.

Жалобы на то, что служба обновления включается сама по себе, оказались правдой. И моей чистки планировщика заданий оказалось недостаточно, чтобы это предотвратить.

Полез посмотреть, что там в журнале событий. Источник - Service Control Manager. Все стало ясно.Более того, менеджер служб периодически меняет способ запуска служб по какой-то своей логике:Зачем ни с того ни с сего менять Тип запуска BITS с отложенного запуска на авто? А зачем отключать Windows Time? Я ее не трогал, она мне нужна.

В общем, дело ясное, что дело темное. Надо либо рыть глубже (где-то ведь эта логика управления службами прописана), либо писать какую-то наблюдалку за службами и ... это плохой костыль. Он все равно правильно работать не будет.

Ну и получилось бы, что твой батник борется с "батником от микрософт" (Service Control Manager).

Очень похоже на то, что служба обновлений, получив тип запуска "Авто", при перезагрузке компа запускается раньше брэндмауэра и успевает сделать несколько попыток подключения. Потому что в обычном режиме все тихо.

Мне кажется, я смогу "вылечить рак". Windows NT устроена так, что все настройки доступны пользователю. Если микрософт захочет что-то изменить, ей придется написать андроид для десктопа.

Во! Обнаружил задание, которое, по-идее, восстанавливает тип запуска виндовс апдэйт

\Microsoft\Windows\WaaSMedic\PerformRemediation
Helps recover update-related services to the supported configuration.

Удаляем через реестр, смотрим, что будет дальше. Странно, что я его пропустил при первом просмотре.
И да, в папке UpdateOrchestrator появилось два новых задания.

Эксплуатировать.

Решил, что просто "запретить все" в брэндмауэре - слишком просто. Отключил черный список, копаюсь в логах.

Какое странное правило в брэндмауэре. НазываетсяСмотришь на него, думаешь, что-то связанное с брэндмуэром. Глядишь на вкладку "Программы", видишь, что правило дляСмотришь, для какой именно службыСервер кадров камеры Виндовс. Позволяет нескольким клиентам получать доступ к видеокадрам с устройств, оснащенных камерой.

Во, столкнулся с траблой.
После всех моих экспериментов с

• Магазинными приложениями
• Службами
• Задачами
• Правилами брэндмауэра

У вновь созданного пользователя не работает меню "Пуск". Независимо от того, ограниченный он или админ. Независимо от того, удалена служба AppXSvc (развертывания приложений) или нет. Заметил только, что если эту службу не удалить (временно), то при создании пользователя снова появляется OneDrive (ранее удаленный) и в его контексте появляется полный набор приложений несмотря на то, что ранее удалялись они с ключом -allusers.

Вотжеж пидарасы! У них был неплохо работающий механизм, ограничивающий пользователей в правах, управляемый одной кнопкой. И они уже десять лет старательно от этого механизма избавляются. Сперва придумали UAC для тех, кто любит работать под админом и не включать мозг, теперь придумали магазин, которым можно управлять из-под ограниченного пользователя.

Все, к чему прикасается микрософт, превращается в говно. За исключением MS SQL Server. Пока.

А, еще пункт контекстного меню "Персонализация" перестал работать.

Это не мой косяк.

Частично решил проблему с меню пуск копированием ветки реестра Classes из рабочего (своего) профиля в созданный. Таким образом заработали Кортана и СтартМенюЭкспириенс. Меню стало открываться, но поиск в нем не заработал. Потому что перестал работать Эдж. Ну и хрен с ним.

Поставил комп на рабочее месте, где не нужен интернет. Там всего две задачи - работа с офисными документами и видеонаблюдение. Попутно столкнулся с глюками:

• Правило брэндмауэра, созданное по запросу системы (когда выскакивает вопрос "пустить эту прогу в сеть?") не сохранилось. Пришлось создавать правило вручную.
• UAC не хотел запускать китайскую прогу из-под ограниченного пользователя, пришлось лепить костыль из батника, который запускает прогу без повышения прав и лишних вопросов. Хотя прогу я предусмотрительно установил в c:\Programs.
• Установил сетевой принтер, в папке принтеров его нет, но из ОпенОффиса на него можно печатать. Вообще бред какой-то.
• Не смог задать родное разрешение для фулл-хд монитора. Подумал, что интегрированная видеокарта его не умеет и не стал бодаться. Теперь думаю, что такого не может быть.

Я огорчен и раздосадован. Семерка через 5 лет после своего выпуска выглядела гораздо привлекательней, стабильней и предсказуемей. Большая часть проблем связана с магазинными приложениями и желанием разработчиков запускать их под любым пользователем независимо от решений администратора.

Общее впечатление: внедрять десятку еще рано. Но может получиться так, что время, когда ее можно будет поставить на компы предприятия, не придет никогда.

Конечно, все лицензионное и есть возможность обратиться в саппорт. Из четырех описанных глюков он решит две. Причем решение будет связано с обновлением, они скажут: "Мы все починили, обновитесь и у вас все заработает". Это в лучшем случае. Обновление повлечет другие глюки. И так до бесконечности. Меня это не устраивает. Мне микрософт не платит деньги за бета-тестирование их продуктов.

Это очень грустно. Ключевых проблем с десяткой две.

1. Тестирование передано хомячкам и никогда не сможет быть завершено.
2. Утрачена цель создать логически завершенный стабильный продукт, как было с семеркой эспэ два. Заявлена новая цель - каждые пол-года новые фичи в оси.

Эти два пункта вкупе исключают возможность появления стабильного, управляемого и предсказуемого программного продукта.

В свете всего вышесказанного напоминаю, что еще есть возможность собрать производительный комп под семерку. У меня дома сейчас B450, Ryzen 7 2700x, 32 GB озу, система на SSD, все работает не идеально, но стабильно и предсказуемо. Есть косяки, будет время, отпишусь в "Говне и палках".

Если я скажу своему работодателю, что я за его деньги улучшаю чужой продукт, ему это не понравится.
Кроме того, он достаточно умен, чтобы понимать, что нельзя позволять кому-то левому ебать мне мозги. Мои мозги должны быть свежими и отдохнувшими, чтобы в любой момент их можно было заебать единолично. А общение с саппортом, даже с таким хорошим как у микрософт - это мозгоебство.

Раз в пол-года я готов обращаться в поддержку и сообщать о баге или какой-то своей хотелке. Но в данном случае речь идет о подготовке самого простого рабочего места, которое только можно придумать. Всего две задачи. И четыре бага, два из которых связаны с глупостью разработчиков и не будут исправлены никогда. Этому продукту 5 лет. За это время разработчики могли исправить косяки с правилом брэндмауэра и списком принтеров без всякого репортинга со стороны пользователей. Просто потому что они сами работают на винде и у них есть админы. Какой смысл им что-то репортить, если они просто нихуя не делают?
Пример с дедой не прокатывает, потому что мы не платим деде деньги за пользование дедофорумом. А винда прошка стоит недешево. Не говоря уже о ЛГБТ-версии.