补丁打完RDP连不上？美国服务器要留的那条后路

栏目里 8 月 25 日那篇写的是收到高危漏洞预警之后 48 小时该做什么，主题是"不打补丁的风险"。这篇讲反过来的那一半：补丁本身也会出事，而且在美国机房出事的时候，你多半正在睡觉。

事情是这样的。微软 9 月的例行安全更新规模创了纪录，修的漏洞数量是历史最高，里面还包含在野被利用的零日，属于该打的那种。但更新推出去之后，陆续有人报 Windows Server 的远程桌面服务出问题，微软先是在健康看板上确认了这个已知问题，影响范围从 Windows Server 2012 一直到最新版本，Windows 10 和 11 也在内。9 月 14 日，微软发布了一批带外更新专门修这个，顺带处理了部分版本上的 Hyper-V 和 USB 音频问题。

同一周里还有一个小插曲：KB5002914 装完之后，部分 Excel 用户的复制粘贴会静默失效。这个不影响服务器，但能说明这轮更新的回归面有多宽。

Windows 服务器的麻烦在于它只有一条路

Linux 机器上 SSH 出问题，多数时候还有别的办法——服务商给的 VNC 控制台、串口、救援模式，总有一个能进去。Windows 不一样，RDP 基本就是唯一的日常管理入口。

RDS 故障的具体表现也很讨厌：机器还在跑，网站还能访问，监控一片绿，只有你进不去。Zabbix 不会因为你连不上 RDP 就报警，除非你专门配了 3389 的探测。所以很多人是第二天想改个配置的时候才发现出事的。

放到美国机房，这件事还要再加一层。洛杉矶和国内差十五六个小时，微软的补丁推送窗口落在北美时段，等你早上起来打开电脑，机器已经失联七八个小时。如果这台机器上跑的是订单系统或者接口服务，这七八个小时里没人能进去查日志、重启服务、回滚配置。

带外通道不是出事那天才去找的

解决办法其实不复杂，就是带外管理，问题在于大部分人没有提前确认它可用。

我们碰到过不少这样的工单：客户的 RDP 连不上，让他用控制台的 IPMI 进去看一眼，结果发现他从服务器开通到现在一次都没登过那个入口，密码在初装邮件里，邮件早就找不到了。这时候只能重置，又是一轮流程和等待。

SellBGP 的美国服务器控制台里集成了 IPMI，可以自助远程重启、开关机、重装系统，也能看实时流量。但这东西的价值完全取决于你出事之前有没有验证过它能用。建议今天就花两分钟登一次，确认账号密码有效、页面能打开、远程控制台能出画面，然后把凭据存进密码管理器。这两分钟是整篇文章里性价比最高的一步。

打补丁的节奏可以调一调

除了备好后路，流程上还有几个改动成本很低的地方。

别把所有机器设成同一个自动更新窗口。至少拆成两批，间隔 48 小时。第一批出问题，第二批还来得及暂停。这一条几乎零成本，但在每一次补丁事故里都能把损失砍一半。

打之前做个系统快照。回滚一台机器比重装一台机器快得多，尤其是环境配置复杂的生产机。

Hyper-V 宿主机单独排期。这次带外更新同时涉及 Hyper-V，宿主机出问题会连带上面所有虚拟机，不要和业务机一起批量推。

把"带外通道已验证可用"写进变更检查清单。和"已备份""已通知业务方"放在一起，作为打补丁的前置条件。

顺带说一句取舍

有人看完会问，那能不能干脆不打，等两周再说。九月这批更新里有在野被利用的零日，等两周的风险不比补丁回归小，所以答案不是"不打"，而是"分批打、留后路、能回滚"。

安全和可用性在补丁这件事上从来不是二选一，只是需要一点流程上的缓冲。真出了问题，工单入口是 7×24 的，但前提还是那句——你得知道自己该找谁、该按哪个按钮。