Задача из практики: компьютер или сервер в локальной сети не должен показываться в папке «Сеть» (бывшее «Сетевое окружение») у коллег и сам не должен видеть соседей, но при этом остаётся доступен по своей роли — например, как терминальный сервер по RDP. Когда-то это решалось одной командой, но в Windows 10/11 и Windows Server 2019–2025 механизм обзора сети другой, и старый рецепт работает лишь частично.
Коротко: в современных Windows список компьютеров в «Сети» строится через протокол WS-Discovery. Чтобы компьютер там не появлялся, выключите на нём сетевое обнаружение (или переведите сеть в профиль «Общедоступная») и остановите службу FDResPub. Старый способ net config server /hidden:yes скрывает только из списка устаревшей службы «Обозреватель компьютеров», которой без SMB1 в новых системах уже нет. И помните: скрытие — это не защита, компьютер по-прежнему доступен по имени и IP-адресу.
Как сейчас формируется список «Сеть»
Есть два механизма, и важно понимать, какой из них у вас работает.
Обозреватель компьютеров (Computer Browser). Классическое «Сетевое окружение» времён Windows XP и Server 2003: компьютеры рассылали объявления по NetBIOS, а выбранный «мастер-браузер» собирал из них список. Служба обозревателя зависит от SMBv1. Начиная с Windows 10 и Windows Server версии 1709 SMBv1 по умолчанию не устанавливается, в Windows Server 2019 и новее и в Windows 11 его нет после чистой установки, а вместе с SMBv1 удаляется и служба «Обозреватель компьютеров». Microsoft прямо пишет, что без SMBv1 проводник больше не может показывать компьютеры через устаревший обзор NetBIOS.
WS-Discovery (Function Discovery). Это то, что работает в современных системах. Компьютер сам публикует себя в сети через службу «Публикация ресурсов обнаружения функции» (FDResPub), а находит соседей с помощью службы «Хост поставщика функции обнаружения» (fdPHost). Плюс к этому должно быть включено сетевое обнаружение — набор правил брандмауэра и настроек профиля сети.
Отсюда и практический вывод: на Windows 10/11 и Server 2019–2025 скрывать компьютер нужно именно от WS-Discovery, а команды для обозревателя актуальны только там, где SMBv1 ещё живой.
Шаг 1. Отключите сетевое обнаружение
Самый простой способ — сделать профиль сети «Общедоступная» (Public): для такого профиля сетевое обнаружение по умолчанию выключено, и компьютер не виден другим устройствам. Но на сервере в домене профиль обычно «Доменная сеть», поэтому надёжнее выключить обнаружение явно.
- Windows 11: Параметры → Сеть и Интернет → Дополнительные сетевые параметры → Дополнительные параметры общего доступа → «Сетевое обнаружение» — выключить для нужного профиля.
- Windows 10 и Windows Server: Панель управления → Центр управления сетями и общим доступом → «Изменить дополнительные параметры общего доступа» → «Отключить сетевое обнаружение» для нужного профиля (в новых сборках эта ссылка может открыть тот же раздел в «Параметрах»).
Из командной строки то же самое делается отключением группы правил брандмауэра «Сетевое обнаружение»:
netsh advfirewall firewall set rule group="Network Discovery" new enable=NoИмя группы локализовано: в русской Windows вместо Network Discovery указывайте Обнаружение сети. В PowerShell:
Disable-NetFirewallRule -DisplayGroup "Обнаружение сети"Если компьютер в домене, а обнаружение снова включается само, значит, его включает групповая политика брандмауэра — правьте её, а не локальные настройки.
Шаг 2. Остановите публикацию и обзор
Даже при выключенном обнаружении я останавливаю службу, которая отвечает за публикацию компьютера, — так поведение не зависит от профиля сети:
Stop-Service FDResPub
Set-Service FDResPub -StartupType DisabledЕсли компьютер ещё и не должен видеть соседей (как в исходной задаче), отключите и хост поставщика:
Stop-Service fdPHost
Set-Service fdPHost -StartupType DisabledУчтите, что от этих служб зависит обзор сетевых устройств в целом: перестанут находиться принтеры и другие устройства, которые объявляют себя через WS-Discovery. На терминальном сервере это обычно не проблема — принтеры там ставятся по адресу или приходят через перенаправление.
Шаг 3. Старый способ — для систем с SMBv1
Исходный рецепт этой статьи для Windows Server 2003 выглядел так: добавить в автозагрузку net config server /hidden:yes и отключить службу «Обозреватель компьютеров». На старых системах это по-прежнему скрывает компьютер из списка обозревателя. Но у команды есть побочный эффект, описанный Microsoft в KB128167: net config server с ключом /hidden записывает в реестр текущие значения автоматически настраиваемых параметров службы «Сервер», и после этого служба перестаёт подстраиваться сама. Microsoft рекомендует для скрытия править реестр, а не пользоваться этой командой.
В современных системах у SMB-сервера есть параметры объявлений, которыми можно управлять из PowerShell:
Set-SmbServerConfiguration -AnnounceServer $false -Confirm:$false
Get-SmbServerConfiguration | Select-Object AnnounceServer, ServerHidden, EnableSMB1ProtocolНо если в выводе EnableSMB1Protocol равен True, правильнее не прятать компьютер от обозревателя, а убрать SMBv1 совсем: Microsoft настоятельно не рекомендует его использовать из-за известных проблем с безопасностью. К тому же в Windows Server 2025 удалённые mailslots, на которых строились объявления обозревателя, по умолчанию отключены.
Сравнение способов
| Способ | От чего скрывает | Где актуален |
|---|---|---|
| Отключить сетевое обнаружение / профиль «Общедоступная» | WS-Discovery, папка «Сеть» в проводнике | Windows 10/11, Server 2019–2025 |
Остановить FDResPub |
Публикацию компьютера через WS-Discovery | Windows 10/11, Server 2019–2025 |
Остановить fdPHost |
Обзор соседей с этого компьютера | Windows 10/11, Server 2019–2025 |
net config server /hidden:yes, -AnnounceServer $false |
Список службы «Обозреватель компьютеров» | Только системы с SMBv1 (история) |
Что скрытие не делает
Скрытый компьютер не исчезает из сети. К нему по-прежнему можно подключиться по имени или IP-адресу (\server, mstsc /v:server), его видно в DNS, в Active Directory и любому сканеру портов. Для терминального сервера это как раз то, что нужно: RDP продолжает работать, а в «Сети» сервер не мозолит глаза. Но если цель — безопасность, а не порядок, нужно другое: ограничить входящие подключения брандмауэром (RDP — только из нужных подсетей или через VPN), закрыть лишние общие папки, отключить SMBv1. Если такой аудит хочется поручить кому-то, кто сделает его под ключ, — это задача для настройки серверов Windows под ключ.
Подробно о том, почему исчезло классическое сетевое окружение и как работает обзор через WS-Discovery, — в документации Microsoft: SMBv1 not installed by default in Windows Server and Windows.
Частые вопросы
Будет ли работать RDP на скрытом сервере?
Да. Сетевое обнаружение и службы Function Discovery не связаны с удалённым рабочим столом. Отключая обнаружение, вы выключаете только правила группы «Сетевое обнаружение», правила «Удалённый рабочий стол» остаются как были.
Почему компьютер всё равно виден в «Сети»?
Проверьте три вещи: что служба FDResPub действительно остановлена, что обнаружение выключено для того профиля, который сейчас активен (доменный, частный или общедоступный), и что у соседей не осталось кэша — откройте «Сеть» заново через несколько минут. В старых сетях с SMBv1 компьютер может оставаться в списке обозревателя, пока тот не обновится.
Можно ли скрыть компьютер только от части пользователей?
Нет, обнаружение работает для всей подсети целиком. Разграничивать доступ нужно правами на общие ресурсы и правилами брандмауэра, а не видимостью в «Сети».
Нужно ли включать SMBv1, чтобы старый рецепт заработал?
Нет и не стоит. Включать устаревший небезопасный протокол ради того, чтобы потом прятаться от его же механизма обзора, бессмысленно. В современных системах достаточно шагов 1 и 2.