Windows平台IIS安装实战：从图形界面到命令行全攻略

1. 装IIS前先把这三件事想清楚

网上关于IIS安装的教程一抓一大把，但大部分都是照着微软文档翻个版本截图，真正动手装的时候你还是会遇到各种奇奇怪怪的问题。我这个月刚帮一个客户从零配置了一台Windows Server 2022的IIS环境，又在两台Windows 11工作站上做了同样操作，整个过程踩了不少坑，整理出来给你，只要跟着做，基本不会卡住。

1.1 你到底需要哪个Windows版本上的IIS

IIS这东西在微软的Windows体系里属于"隐身乘客"，不同版本的系统自带的IIS版本完全不一样，而且功能面板的叫法也有细微差别。先看清楚你手里是什么系统，再决定安装路径：

• Windows Server 2022 / 2019：自带IIS 10.0，这是目前功能最全、跟现代ASP.NET Core配合最好的版本，适合正式部署使用。
• Windows 11 / Windows 10：同样是IIS 10.0，但受限于桌面版系统的连接数限制（默认10个并发连接），只适合开发调试或个人小项目用，不适合对外大规模提供服务。
• Windows Server 2016 / 2012 R2：自带IIS 10.0 / IIS 8.5，老项目迁移会碰到，不过安装思路完全一致。

很多新人上来就搜"IIS配置"，然后照着一个Win7时代的老教程操作，结果在Windows 11上连功能面板的入口都找不到，直接蒙圈。我建议你先按住Win+R，输入winver确认系统版本，再往下看。

1.2 权限和账号：安装前最容易被忽略的一环

安装IIS需要管理员权限，而且这里有个不算坑但你一定得知道的细节：启用或关闭Windows功能这个面板打开之后，组件列表的加载速度取决于系统状态，有时候要等十几秒，不要手快关掉重开。

如果你装的是Windows Server，还要特别注意一个事——服务器是否需要加入域、是否开了UAC。域环境下你用普通域账号操作，虽然能打开功能面板，但勾选组件后点"确定"时可能会提示"拒绝访问"，这就是UAC令牌过滤在作祟。建议直接用本地Administrator账号操作，或者右键开始菜单选择终端(管理员)，从命令行走。

我个人的习惯是：能用命令行的就尽量别点鼠标，尤其是需要批量部署多台服务器的时候，命令行的可重复性远高于图形界面。这个后面会专门讲。

1.3 想清楚你是"界面安装"还是"命令安装"

你在搜索引擎里看到的大多数图文教程都是图形界面安装，因为它直观，适合新手。但实际工作中我强烈建议你至少会一种命令行方式：

• 图形界面（启用或关闭Windows功能）：适合单机安装、临时测试、新手操作，所见即所得。
• PowerShell命令：适合批量部署、自动化脚本、远程管理，一条命令装完所有组件。
• DISM命令：适合系统镜像操作、离线安装、恢复损坏的IIS功能。

这三条路我会把操作和参数全部给你拆开讲，你按自己的场景选就行。接着往下看。

2. 图形界面安装IIS的完整操作流

不管你是Windows 10还是Windows Server，图形界面安装的逻辑是完全一样的，就是通过"启用或关闭Windows功能"把IIS这个可选组件勾上。

2.1 打开"启用或关闭Windows功能"的几种方式

最快的入口是：按住Win + R，输入optionalfeatures，回车，直接弹出功能面板。

第二个方式：设置 → 应用 → 可选功能 → 更多Windows功能，最终到达的还是同一个面板。

第三个方式：控制面板 → 程序 → 启用或关闭Windows功能，这是老路径，Win10/11依然保留，但控件面板平时不太好找，还是建议用optionalfeatures。

打开之后你会看到一个很长很长的组件列表，IIS的位置在列表的最底部，名字叫Internet Information Services。注意，它下面还有一个可展开的子项，叫Web 管理工具和万维网服务（英文版叫World Wide Web Services），千万别只勾了顶层就点确定——那样装出来的IIS是个空壳，连默认站点目录都不会创建。

2.2 勾选项的详细解释：哪些必须勾，哪些可后补

这里我直接给你一个标准勾选清单，按这个选，基本能覆盖90%的常见用途：

功能节点	是否勾选	说明
Internet Information Services	必须勾	顶层节点
Web 管理工具 → IIS 管理控制台	必须勾	没有它你就没有图形管理界面，只能命令行操作
万维网服务 → 常见HTTP功能 → 静态内容	必须勾	不勾的话连HTML页面都访问不了
常见HTTP功能 → 默认文档	推荐勾	访问站点根目录时需要默认页
常见HTTP功能 → HTTP错误	推荐勾	把错误信息展示出来，调试方便
常见HTTP功能 → HTTP重定向	按需	做301跳转时才需要
运行状况和诊断 → HTTP日志、请求监视	推荐勾	日志是最重要的排障依据
性能和稳定性 → 静态内容压缩	推荐勾	静态文件压缩能明显提加载速度
应用程序开发功能 → ASP.NET 4.8 / ASP.NET 3.5	看需求	跑老程序必须装3.5，新程序用4.8
应用程序开发功能 → CGI	按需	跑PHP、Python等需要用到
应用程序开发功能 → ISAPI扩展 / 筛选器	按需	老程序用的，先不用管

很多人安装之后发现IIS管理器打不开、或者打开站点报404.3，多半就是上面某些小项没勾。这里说个我的真实经历：有一次我帮人配置PHP环境，明明PHP都装好了，但访问.php文件一直404，最后发现就是当初装IIS时没勾CGI那一项，IIS根本不把PHP文件交给FastCgi模块处理。后来补勾CGI和ISAPI扩展两个选项重启IIS就好了。

如果你是纯静态站点，只勾静态内容和默认文档就能跑起来；如果要跑ASP.NET程序，记得把应用程序开发功能下的.NET Extensibility 4.8和ASP.NET 4.8也勾上。强烈建议在最开始就按上面表格把所有推荐的都勾了，省得后面反复打开面板补装，浪费时间不说，还容易漏。

2.3 安装过程与常见卡顿的处理

勾选完毕后点"确定"，系统开始安装，这里有个进度百分比，通常一两分钟能走完。但凡是Windows功能安装，都有一定概率卡在某个百分比不动，尤其是服务器上装了其他角色服务的时候，比如IIS跟.NET Framework同时安装时，最长可能要等10分钟左右。

这里分享一个经验：如果安装界面提示"Windows需要重启才能完成操作"，别急着重启，先把IIS安装完，然后手动iisreset重启IIS服务试试。有时候不重启系统，直接重启IIS服务也能让管理器正常工作。只有当iisreset都失败的时候才考虑重启机器。

安装完成后，验证方法非常直接：打开浏览器访问http://localhost，如果出现IIS默认的欢迎页面（一个蓝色的Windows徽标加"欢迎使用"字样），就说明安装成功。如果看到的是"无法访问此网站"，先别慌，继续往后排查，后面有专门的章节处理。

3. 用PowerShell和DISM命令行安装：自动化部署的正确姿势

如果你只需要装一台机器，用图形界面完全没问题。但要是你手上有三五台服务器要配置，或者你正在做运维标准化，那我强烈建议走命令行这条路。同样一套命令发下去，每台机器的IIS组件一致性是有保障的。

3.1 PowerShell安装IIS的核心命令和参数解析

在Windows Server 2022、Windows 11上，最推荐的PowerShell模块是Install-WindowsFeature（Server系统）和Enable-WindowsOptionalFeature（桌面系统）。

先看Server系统上的用法。以管理员身份打开PowerShell，执行：

Install-WindowsFeature -Name Web-Server -IncludeManagementTools

这条命令的意思是：安装Web服务器角色（也就是IIS），并且包含图形管理工具（IIS管理器）。

但注意，Web-Server是一个角色名称，它底下包含的是一组子功能。如果你只想装核心Web服务器，不带ASP.NET和CGI，那上面一条就够了。如果你想装全套，用下面这条：

Install-WindowsFeature Web-Server, Web-Mgmt-Tools, Web-Mgmt-Console, Web-Asp-Net45, Web-CGI, Web-Default-Doc, Web-Http-Logging -IncludeManagementTools

这里每个名称的含义：

• Web-Server：IIS核心服务
• Web-Mgmt-Tools/Web-Mgmt-Console：管理工具与IIS管理器
• Web-Asp-Net45：ASP.NET 4.5以上支持
• Web-CGI：CGI支持，跑PHP等需要
• Web-Default-Doc：默认文档支持
• Web-Http-Logging：HTTP日志

命令跑完后，PowerShell会列出一个返回表，里面有Success字段。如果显示True，说明安装成功。如果显示False但同时RestartNeeded是True，那就要重启服务器。

桌面版Windows（10/11）用的是另一个命令，因为桌面版没有"服务器角色"的概念，用的是"可选功能"：

Enable-WindowsOptionalFeature -Online -FeatureName IIS-WebServerRole, IIS-ManagementConsole -All

这个-Online表示操作当前正在运行的操作系统，-All表示把这个功能下的所有子功能一并启用。如果提示RestartNeeded : True，重启一下系统即可。

3.2 DISM命令行安装与离线场景

DISM是另一个经典的工具，在Win8时代就开始用，适合在系统还是镜像或者PE环境下操作，也可以在正常系统里用来修复IIS组件损坏的问题。基本命令是：

dism /online /enable-feature /featurename:IIS-WebServerRole /all

这条命令只装了IIS核心，管理工具还需要单独加：

dism /online /enable-feature /featurename:IIS-ManagementConsole /all

DISM最实用的场景其实是卸载和重装。如果你发现IIS管理器打不开、或者IIS服务异常启动不了，可以用：

dism /online /disable-feature /featurename:IIS-WebServerRole

先禁用，重启，再启用，这一套下来能解决很多因为系统更新导致的组件损坏问题。

但这里要提醒一句：DISM执行的时候会使用系统组件库（WinSxS）里的文件，如果组件库已经损坏或者被精简过（某些精简版系统），你可能会看到错误: 0x800f081f，也就是找不到源文件。这时候就需要指定系统镜像的install.wim作为源。这个操作比较复杂，日常场景不常用，遇到的时候再查文档即可。

3.3 装完以后如何通过命令行验证

图形界面安装后可以通过浏览器验证，命令行走完后同样需要验证，但不用开浏览器那么麻烦。PowerShell里执行：

Get-Service W3SVC

如果状态是Running，IIS核心服务是活的。再执行：

Get-WindowsFeature Web-Server

查看Install State列，如果显示Installed就说明角色准确安装。

此外还有一个最直观的验证方式，直接在命令行里发起HTTP请求：

Invoke-WebRequest -Uri http://localhost -UseBasicParsing

如果返回了StatusCode : 200，说明默认站点已经在响应了。这一步非常实用，不用切窗口，一条命令解决问题。

4. 安装完成后的第一步：验证IIS真的能用了

见到IIS默认欢迎页，很多人就觉得"装完了，完事了"，但实际工作中默认页能打开只是最基本的一步。接下来你要确认三个层面：管理器能不能开、默认站点目录是不是建好了、日志是不是在记录。这三个都正常，才算真正的安装成功。

4.1 如何打开IIS管理器

安装完成之后，开始菜单里会多出一个Windows 管理工具文件夹，里面能找到Internet Information Services (IIS)管理器。如果你不想翻菜单，直接按住Win+R输入inetmgr回车，同样可以打开。

打开之后会看到左侧有个"连接"面板，里面列出的是当前机器上的"应用程序池"和"网站"。正常情况下，你至少能看到一个名为Default Web Site的网站节点，它的状态默认是"已启动"。如果看到的是"已停止"，右键启动即可。Windows 11上这里偶尔会出现启动失败，多半是端口被占用，这在后面的排查章节会重点讲。

4.2 快速创建一个测试站点

既然都装好了，我建议顺手建一个测试站点，别再用默认站点测了。因为默认站点的物理路径在C:\inetpub\wwwroot，很多人后面自己建站点时改错权限，反而跟默认站点搞混。

创建测试站点，手动操作流程如下：

1. 新建一个文件夹D:\WebSites\MyTest（如果你没分D盘就用C:\MyTest，但生产环境建议放非系统盘）。
2. 在文件夹里新建一个index.html，写入一行<h1>My Test Site</h1>。
3. 打开IIS管理器，右键左侧的"网站"节点，选"添加网站"。
4. 站点名称填MyTest，物理路径选到D:\WebSites\MyTest，端口填一个不冲突的，比如8080。
5. 确定之后，浏览器访问http://localhost:8080。

这一步能走通，说明IIS的站点管理功能没问题，静态文件解析、端口绑定、默认文档处理都正常了。

4.3 检查HTTP响应和日志

静态页面能访问后，还差最后一步验证——日志。

IIS的默认日志位置在C:\inetpub\logs\LogFiles\W3SVC1（W3SVC1是默认站点的ID，站点多了会是W3SVC2、W3SVC3这样的递增编号）。打开今天的日志文件，你会看到类似下面这样的行：

2025-01-15 14:23:45 127.0.0.1 GET /index.html 80 - 200 0 0 12

这行日志里的200就是HTTP状态码，说明你的请求被IIS正常处理。日志记录了客户端IP、请求方法、请求的URL、端口和状态码，是以后排查问题最重要的依据。如果你访问了站点但日志里没有记录，那就要看看是不是日志功能没装好，或者日志路径权限配置错了。

我见过不少案例，站点明明能访问，但日志零记录，最后发现是日志文件目录的权限被改过，IIS工作进程没有写权限。这个坑常见于管理员在排查问题时手动修改了LogFiles目录的NTFS权限，结果反而把日志功能搞坏了。

5. 安装和测试中我踩过的坑（附排查链路）

这一部分不是凭空想象出来的，全部来自我实际安装和配置IIS时遇到过的真实问题。遇到问题不可怕，可怕的是你在网上乱搜一气，试了一堆不相关的方法，最后把系统搞得更乱。我会按"问题现象 → 排查思路 → 处理办法"的方式给你完整链路。

5.1 端口占用导致网站启动失败

现象：IIS管理器里，站点右键启动时直接报"进程无法访问，因为该端口正被另一个进程使用"。

排查链路：打开命令行，执行netstat -ano | findstr :80。如果你的站点绑定的是80端口，这个命令会列出所有监听80端口的进程及PID。然后执行tasklist | findstr PID把进程名找出来。最常见的占用者就是其他Web服务，比如Nginx、Apache，或是Windows上的SQL Server Reporting Service。

处理：要么停掉占用的服务，要么把IIS站点改绑其他端口。遇到这种情况我一般先确认那台服务器上是否真的需要保留别的Web服务，如果没有就直接停掉，然后iisreset重启IIS。

5.2 403.14错误：默认页面没显示

现象：站点能起来，但访问http://localhost时，浏览器显示HTTP 错误 403.14 - Forbidden，提示Web服务器被配置为不列出此目录的内容。

排查链路：这个错误的本质是IIS在根目录下"默认文档"清单里没找到任何文件，同时目录浏览功能又是关闭的。IIS默认的默认文档清单是Default.htm、Default.asp、index.htm、index.html、iisstart.htm。如果你的站点目录里没有这些文件，就会看到403.14。

处理：解决方式有三种。第一种是在站点根目录放一个index.html；第二种是在IIS管理器中双击"默认文档"，把你的首页文件名加进去；第三种是启用"目录浏览"（不推荐，容易暴露目录结构）。最规范的做法是第一种，从源头把首页文件放好。

5.3 同机访问正常，外部访问不了

现象：本机浏览器访问http://localhost一切正常，但从局域网另一台电脑访问http://服务器IP却超时或者无法连接。

排查链路：这是经典的三层问题：IIS服务没监听、系统防火墙拦截、路由器/安全组没放行。

先看监听，命令行执行netstat -ano | findstr :80，确认IIS在监听所有网卡还是只监听本机回环。如果监听正常，再看Windows防火墙：控制面板 → Windows Defender防火墙 → 高级设置 → 入站规则，确认有一条允许TCP 80端口（或你绑定的端口）的规则。如果服务器云厂商的安全组策略挡着，那还要去云控制台放行端口。

处理：如果确认IIS正常监听，一般直接加一条入站规则即可。命令行里可以快速执行：

New-NetFirewallRule -DisplayName "IIS HTTP 80" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow

这条命令添加一条名为IIS HTTP 80的入站规则，允许外部访问TCP 80端口。如果端口是8080，把-LocalPort改成8080即可。

5.4 静态页面能访问，但ASP.NET程序报错

现象：放在wwwroot里的HTML页面能正常访问，但部署一个ASP.NET网站后，请求.aspx页面报HTTP 错误 500.19或500.21。

排查链路：这类问题绝大多数是因为安装IIS时漏勾了ASP.NET相关功能。IIS虽然是Windows自带的组件，但它默认只启用静态文件处理模块，ASP.NET相关的托管模块需要单独启用。500.19通常是指配置文件web.config语法错误或权限不足，但一个刚装好的服务器上，最常见的原因是ASP.NET功能模块压根没装上。

处理：回到功能面板，把应用程序开发功能下的ASP.NET相关项全部勾上。如果不知道具体哪一项，最简单粗暴的方式是把整棵IIS节点下的所有功能都勾上，装完重启，一般问题就消失。之后再根据实际需要减功能，而不是在报错时一个个猜。

5.5 Windows更新后IIS管理器打不开

现象：某次Windows Update之后，双击IIS管理器提示Filename: \\?\C:\Windows\system32\inetsrv\config\applicationHost.config错误，或者管理器直接闪退。

排查链路：这是system32下IIS配置文件与更新后组件不一致导致的。先别急着重装，观察C:\Windows\system32\inetsrv\config里是否存在applicationHost.config文件，以及这个目录的权限是否正常。如果文件还在，尝试用管理员身份运行命令行执行iisreset，看是否报错。如果iisreset也失败，说明IIS配置数据库已经损坏。

处理：常规恢复手段是用DISM重建功能状态。先禁用IIS后再启用：

dism /online /disable-feature /featurename:IIS-WebServerRole

重启后重新启用：

dism /online /enable-feature /featurename:IIS-WebServerRole /all

如果还是不行，就要检查是否有备份可以覆盖applicationHost.config。养成定期导出IIS配置的习惯能省很多事，这也顺带引出下一个章节的内容。

6. 装好IIS之后的几个推荐设置

很多教程到"看到默认页面"就截然而止，但实际使用中，IIS的默认配置只能说"能用"，离"好用"还有一段距离。下面几个设置是我每次装完IIS都会顺手做的，成本极低，收益却很大。

6.1 关闭不用的功能模块减少暴露面

IIS默认装好的模块中，有相当一部分是普通业务根本用不到却默认开启的。比如WebDAV Publishing（网页分布式创作和版本控制）、FTP Server、Server-Side Includes，这些模块每多一个，就意味着服务器多一分被攻击的风险。

在IIS管理器中进入站点主页，双击"模块"功能，能看到当前加载的所有模块。对于不用WebDAV、不用FTP的场景，直接把这些模块删掉或禁用。更重要的是，如果之前安装时勾了一堆用不上的功能，可以在启用或关闭Windows功能里取消勾选，比如FTP服务器、邮件服务器相关组件。

我的个人标准是：只保留静态内容、ASP.NET（如果有）、HTTP日志、默认文档、请求筛选这几项，其余一律关闭。这样IIS的启动速度快，占内存少，而且排查问题时干扰项更少。

6.2 备份配置数据库（applicationHost.config）

IIS的全局配置都存放在C:\Windows\system32\inetsrv\config\applicationHost.config文件里，包括所有站点绑定、应用程序池设置、模块配置、凭据信息等。一旦这个文件损坏或误操作覆盖，整个IIS的站点配置就全部丢失。

在IIS管理器的右侧"操作"面板里，有一个"备份"选项，可以直接生成一份配置备份。默认备份位置在C:\Windows\system32\inetsrv\backup。如果你使用的是命令行，也可以这样操作：

%windir%\system32\inetsrv\appcmd.exe add backup "backup-20250115"

这样生成一份名为backup-20250115的备份。恢复的时候用：

%windir%\system32\inetsrv\appcmd.exe restore backup "backup-20250115"

我基本每次改完大型配置（比如新增了十几个站点）都会做一次备份，动作花费不到十秒，但出现问题时能救急。工具不嫌多，备份不嫌勤，这是运维的基本素养。

6.3 把默认日志路径和站点目录改到非系统盘

这里涉及一个很多人没意识到的性能问题。IIS默认的日志路径是C:\inetpub\logs，默认站点目录是C:\inetpub\wwwroot。系统盘通常是SSD，但若你的服务器每天产生大量访问日志，长时间运行后日志文件会越攒越大，占用系统盘空间，严重时还会拖慢系统响应。

尤其是云服务器，系统盘默认只有40GB到50GB，一旦被日志和网站文件塞满，轻则IIS无法写入日志，重则整个Windows系统运行缓慢。我遇到过一次客户的服务器，C盘100%空间占用，最终查下来，其中一个站点每天的日志文件就在产生5GB以上的数据。

改法很简单：

1. 在IIS管理器中选中服务器根节点（不是站点），双击"日志"功能。
2. 修改"目录"为D盘路径，比如D:\IISLogs。
3. 重新创建每个站点的物理路径，把站点文件放到D盘。
4. 在新目录上赋予IIS_IUSRS组读取权限，日志目录要赋予写权限。

在PowerShell里改日志目录也有对应命令：

Set-WebConfigurationProperty -Filter 'system.applicationHost/sites/siteDefaults/logFile' -Name directory -Value 'D:\IISLogs'

这条命令把全局的日志默认目录直接指向D:\IISLogs，之后新建的所有站点日志都会写到该目录下。注意执行前要先建好这个文件夹，并且确认IIS_IUSRS有写权限。这一步做完后，重启W3SVC服务：

Restart-Service W3SVC

改完之后你可能会发现，日志目录里并没有立刻出现新的日志文件，不用着急，有请求进来才会生成。当你访问一次站点后再看，就会发现D:\IISLogs下已经多了一个W3SVC1子目录，里面躺着今天的日志。

6.4 顺手做一件小事：开启请求筛选的隐藏片段限制

IIS虽然自带一个"请求筛选"模块，但它默认的规则相对宽松。如果你要对外提供服务，在站点的主页双击"请求筛选"，点"编辑功能设置"，能看到一组限制参数：请求长度限制、URL长度限制、查询字符串长度限制等。

如果你不想过于深入配置，我建议至少把"隐藏的段"这个目录里的.git、.env等敏感文件目录屏蔽掉，防止别人通过Web直接访问这些不该被访问的文件。操作方式是在请求筛选页面右键"隐藏段"，添加一个段名，比如.git。这样即使站点根目录下有.git目录，外部也无法通过URL访问到。这类小动作在实际安全评审中非常加分，而且配置成本极低。