Windows su Lightsail: desktop remoto sicuro e backup

Non tutto ciò che si porta sul cloud è Linux. Un gestionale che gira solo su Windows, un database SQL Server, un desktop perché due persone lavorino da casa con lo stesso programma: per questo Lightsail offre macchine Windows Server con prezzo fisso al mese, licenza inclusa, e una console che non obbliga a sapere di reti.

La differenza rispetto a una macchina Linux è come si entra: invece di un terminale, un desktop remoto (RDP), con schermo, mouse e tastiera come se fossi davanti. E lì sta il pericolo: un Windows con il desktop remoto aperto a tutta internet riceve migliaia di tentativi di password al giorno fin dal primo minuto. Questa guida crea la macchina, ti collega da Windows e da Mac, chiude la porta perché entri solo tu e finisce con aggiornamenti, backup e quale parte del prezzo è licenza.

Passo dopo passo

1. Crea la macchina Windows

   Nella console di Lightsail, clicca su Crea istanza. Scegli la regione vicina (dalla Spagna, Parigi o Irlanda). Nella piattaforma, seleziona Microsoft Windows. Tra i modelli vedrai Solo sistema operativo con Windows Server (2022 e 2025, a seconda della regione) e App + sistema operativo con SQL Server già installato. Per un server applicativo o un desktop condiviso, il Windows Server più recente in Solo sistema operativo.

   Scegli il piano. Windows ha bisogno di più di Linux: per un uso normale, uno con 4 GB di memoria è il minimo comodo; con SQL Server, 8 GB. I prezzi sono più alti di quelli Linux della stessa taglia: è la licenza (lo spieghiamo alla fine). Dagli un nome (gestion-oficina) e clicca su Crea istanza. Windows ci mette un po' a essere pronto: conta dieci minuti prima di poter entrare.

2. Recupera la password di amministratore

   Clicca sulla macchina e vai alla scheda Connetti. In basso c'è una sezione con l'utente (Administrator) e un pulsante Mostra password predefinita (o "Recupera password predefinita"). Lightsail la genera creando la macchina e la decifra con la chiave del tuo account, quindi non devi scaricare nulla. Se il pulsante dice che non è ancora disponibile, è che Windows si sta ancora installando: aspetta qualche minuto e ricarica.

   Salvala in un gestore di password, non su un foglio né in un'e-mail. È provvisoria: la cambierai al passo 5. Prima di proseguire, nella scheda Rete, Crea IP statico e assegnalo alla macchina. Altrimenti l'IP cambia al riavvio e la tua connessione salvata smetterà di funzionare.

3. Collegati in desktop remoto da Windows o da Mac

   Il modo più rapido di provare è il pulsante Connetti tramite RDP nella console stessa: apre un desktop dentro il browser. Serve a cavarsela, ma è lento e non copia bene i file. Per lavorare, usa un client vero:

   • Da Windows: premi Start, scrivi Connessione Desktop remoto (o mstsc) e aprila. In "Computer" incolla l'IP statico, clicca su Mostra opzioni e in "Nome utente" scrivi Administrator. Salva la connessione con Salva con nome. Al collegamento avviserà che il certificato non è attendibile: è normale su una macchina nuova, accetta. Incolla la password.
   • Da Mac: installa Windows App di Microsoft dall'App Store (il vecchio Microsoft Remote Desktop). Clicca su +, Aggiungi PC, scrivi l'IP statico e crea un account utente con Administrator e la password. Doppio clic per collegarti; accetta l'avviso del certificato.

   Se vedi un errore di timeout, è il firewall: controllalo in Rete. Se entra, Windows apre Server Manager; puoi chiuderlo.

4. Chiudi la 3389 a tutto il mondo tranne che a te

   Questo è il passo che quasi nessuno fa e quello che evita più problemi. Vai alla scheda Rete della macchina, sezione Regole firewall IPv4. Vedrai la regola RDP, porta 3389, con origine "Qualsiasi indirizzo IPv4". Clicca sulla matita per modificarla, spunta Limita a indirizzo IP e scrivi il tuo IP pubblico (lo vedi cercando "qual è il mio IP" nel browser). Puoi metterne più di uno: l'ufficio, casa tua. Lascia spuntata la casella consenti il client RDP del browser di Lightsail, per poter entrare dalla console se un giorno cambi IP e resti fuori. Salva.

   Fai lo stesso con la regola IPv6 se c'è. Le regole HTTP (80) e HTTPS (443) devono esistere solo se la macchina serve un sito web; altrimenti, cancellale.

   Non lasciare mai la 3389 aperta a tutti "solo per un po'": i tentativi di password cominciano dopo pochi minuti e non si fermano. Se il tuo IP cambia spesso (fibra domestica senza IP fisso), modifica la regola quando cambia; l'opzione robusta è una VPN, che è un altro argomento.

5. Cambia la password e crea un altro utente

   Dentro il desktop remoto, premi Ctrl + Alt + Fine (è l'equivalente di Ctrl + Alt + Canc in una sessione remota) e scegli Cambia password. Mettine una lunga, generata dal tuo gestore di password. Da quel momento il pulsante "Mostra password predefinita" di Lightsail non vale più: conservala bene.

   Ora un utente per lavorare. Premi Start, scrivi Gestione computer, apri Utenti e gruppi locali, Utenti, tasto destro, Nuovo utente. Nome (maria), password, e crea. Poi, tasto destro sull'utente, Proprietà, scheda Membro di, Aggiungi e scrivi Utenti desktop remoto; senza quel gruppo non potrà collegarsi. Se deve installare programmi, aggiungilo anche ad Administrators; altrimenti, meglio di no. Ogni persona dovrebbe avere il suo utente: condividere l'Administrator è il modo più facile per non sapere mai chi ha fatto cosa.

6. Tieni Windows aggiornato

   Lightsail non aggiorna Windows al posto tuo. Premi Start, Impostazioni, Windows Update, Verifica disponibilità aggiornamenti. La prima volta ce ne saranno molti; installa e riavvia (la macchina torna da sola in un paio di minuti e l'IP statico non cambia). Poi lascialo in automatico con le ore di attività regolate perché non si riavvii a metà giornata: in Windows Update, Opzioni avanzate, Ore di attività. E prima di qualsiasi aggiornamento grosso, il passo successivo.

7. Pianifica le istantanee

   Scheda Istantanee della macchina. Clicca su Crea istantanea per averne una adesso che tutto funziona ed è pulito; dalle un nome che dica cos'è (gestion-limpio-2026-10). Poi attiva le istantanee automatiche e scegli un'ora di notte nel tuo fuso. Lightsail conserva le ultime sette e cancella le precedenti; quelle manuali non si cancellano da sole.

   Le istantanee si fanno con la macchina accesa. Se hai SQL Server o un altro database, fai anche copie dal programma stesso: un'istantanea a metà di una scrittura può lasciare il database in uno stato da riparare. Per ripristinare, nell'istantanea clicca su Crea nuova istanza, scegli lo stesso piano o uno maggiore, passale l'IP statico e cancella la macchina rotta. Si pagano per lo spazio che occupano, in GB al mese; poco rispetto alla macchina.

Che succede con le licenze nel prezzo

Una macchina Windows su Lightsail costa parecchio di più di una Linux della stessa taglia. La differenza è la licenza di Windows Server, che AWS include nel piano: non devi comprarla, attivarla né rinnovarla, ed è legale usarla per qualsiasi scopo finché la macchina esiste. Lo stesso vale per i modelli con SQL Server: le edizioni Express sono gratuite e costano quanto la macchina; le Standard e Web hanno la licenza inclusa e il prezzo sale in modo notevole.

Ciò che non è incluso sono le licenze di accesso in desktop remoto per più utenti (le CAL di RDS). Windows Server permette due sessioni amministrative contemporanee senza altro; se vuoi che cinque persone lavorino insieme sulla stessa macchina, ti servono CAL tue, che si comprano da Microsoft o da un rivenditore. Per una o due persone che entrano a turno, non serve nulla.

Come per qualsiasi macchina Lightsail, il prezzo è a pacchetto mensile e si paga finché la macchina esiste, accesa o ferma. Fermare un Windows di notte non fa risparmiare; cancellarlo con un'istantanea fatta, sì.

Cosa può andare storto