Настройка wsus windows server 2008 r2

Обновлено: 04.07.2024

Windows Server Update Services или WSUS предназначен для распространения обновлений внутри сети. Он позволит скачивать все пакеты для их установки на один сервер и распространять данные пакеты по локальной сети. Это ускорит процесс получения самих обновлений, а также даст администратору контроль над процессом их установки.

В данной инструкции мы рассмотрим пример установки и настройки WSUS на Windows Server 2012 R2.

Перед установкой

Рекомендуется выполнить следующие действия, прежде чем начать установку WSUS:

Настраиваем статический IP-адрес.
При необходимости, добавляем компьютер в домен.
Устанавливаем все обновления Windows.

Также нужно убедиться, что на сервере достаточно дискового пространства. Под WSUS нужно много места — в среднем, за 2 года использования, может быть израсходовано около 1 Тб. Хотя, это все условно и, во многом, зависит от количества программных продуктов, которые нужно обновлять и как часто выполнять чистку сервера от устаревших данных.

Установка роли

Установка WSUS устанавливается как роль Windows Server. Для начала запускаем Диспетчер серверов:

В правой части открытого окна нажимаем Управление - Добавить роли и компоненты:

На странице приветствия просто нажимаем Далее (также можно установить галочку Пропускать эту страницу по умолчанию):

На следующей странице оставляем переключатель в положении Установка ролей или компонентов:

Далее выбираем сервер из списка, на который будем ставить WSUS:

В окне «Выбор ролей сервера» ставим галочку Службы Windows Server Update Services - в открывшемся окне (если оно появится) нажимаем Добавить компоненты:

Среди компонентов оставляем все по умолчанию и нажимаем Далее:

Мастер запустит предварительную настройку служб обновления — нажимаем Далее:

Среди ролей службы можно оставить галочки, выставленные по умолчанию:

Прописываем путь, где WSUS будет хранить файлы обновлений:

* в нашем примере был прописан путь C:\WSUS Updates. Обновления нужно хранить на разделе с достаточным объемом памяти.

Запустится настройка роли IIS — просто нажимаем Далее:

Среди служб ролей оставляем все галочки по умолчанию и нажимаем Далее:

В последнем окне проверяем сводную информацию о всех компонентах, которые будут установлены на сервер и нажимаем Установить:

Процесс установки занимаем несколько минут. После завершения можно закрыть окно:

Установка роли WSUS завершена.

Первый запуск и настройка WSUS

После установки наш сервер еще не готов к работе и требуется его первичная настройка. Она выполняется с помощью мастера.

В диспетчере сервера кликаем по Средства - Службы Windows Server Update Services:

При первом запуске запустится мастер завершения установки. В нем нужно подтвердить путь, по которому мы хотим хранить файлы обновлений. Кликаем по Выполнить:

. и ждем завершения настройки:

Откроется стартовое окно мастера настройки WSUS — идем далее:

На следующей странице нажимаем Далее (при желании, можно принять участие в улучшении качества продуктов Microsoft):

Далее настраиваем источник обновлений для нашего сервера. Это может быть центр обновлений Microsoft или другой наш WSUS, установленный ранее:

* в нашем примере установка будет выполняться из центра Microsoft. На данном этапе можно сделать сервер подчиненным, синхронизируя обновления с другим WSUS.

Если в нашей сети используется прокси-сервер, задаем настройки:

* в нашем примере прокси-сервер не используется.

Для первичной настройки WSUS должен проверить подключение к серверу обновлений. Также будет загружен список актуальных обновлений. Нажимаем Начать подключение:

. и дожидаемся окончания процесса:

Выбираем языки программных продуктов, для которых будут скачиваться обновления:

Внимательно проходим по списку программных продуктов Microsoft и выбираем те, которые есть в нашей сети, и для который мы хотим устанавливать обновления:

* не стоит выбирать все программные продукты, так как на сервере может не хватить дискового пространства.

Выбираем классы обновлений, которые мы будем устанавливать на компьютеры:

* стоит воздержаться от установки обновлений, которые могут нанести вред, например, драйверы устройств в корпоративной среде не должны постоянно обновляться — желательно, чтобы данный процесс контролировался администратором.

Настраиваем синхронизацию обновлений. Желательно, чтобы она выполнялась в автоматическом режиме:

Мы завершили первичную настройку WSUS. При желании, можно установить галочку Запустить первоначальную синхронизацию:

После откроется консоль управления WSUS.

Завершение настройки сервера обновлений

Наш сервис установлен, настроен и запущен. Осталось несколько штрихов.

Установка Microsoft Report Viewer

Для просмотра отчетов, необходим компонент, который не ставится с WSUS. Для его установки нужно сначала зайти в установку ролей и компонентов:

Продолжаем установку и завершаем ее.

После выполняем установку приложения и перезапускаем консоль WSUS — отчеты будут доступны для просмотра.

Донастройка WSUS

Мастер установки предлагает выполнить большую часть настроек, но для полноценной работы необходимо несколько штрихов.

1. Группы компьютеров

При подключении новых компьютеров к серверу, они должны распределиться по группам. Группы позволят применять разные обновления к разным клиентам.

В консоли управления WSUS переходим в Компьютеры - кликаем правой кнопкой мыши по Все компьютеры и выбираем Добавить группу компьютеров. :

Вводим название для группы и повторяем действия для создания новой группы. В итоге получаем несколько групп, например:

2. Автоматические утверждения

После получения сервером обновлений, они не будут устанавливаться, пока системный администратор их не утвердит для установки. Чтобы не заниматься данной работой в ручном режиме, создадим правила утверждения обновлений.

В консоли управления WSUS переходим в раздел Параметры - Автоматические утверждения:

Кликаем по Создать правило:

У нас есть возможность комбинировать условия, при которых будут работать наши правила. Например, для созданных ранее групп компьютеров можно создать такие правила:

Для тестовой группы применять все обновления сразу после их выхода.
Для рабочих станций и серверов сразу устанавливать критические обновления.
Для рабочих станций и серверов применять обновления спустя 7 дней.
Для серверов устанавливать обновления безопасности по прошествии 3-х дней.

3. Добавление компьютеров в группы

Ранее, нами были созданы группы компьютеров. После данные группы использовались для настройки автоматического утверждения обновлений. Для автоматизации работы сервера осталось определить, как клиентские компьютеры будут добавляться в группы.

В консоли WSUS переходим в Параметры - Компьютеры:

Если мы хотим автоматизировать добавление компьютеров в группы, необходимо установить переключатель в положение Использовать на компьютерах групповую политику или параметры реестра:

Настройка клиентов

И так, наш сервер готов к работе. Клиентские компьютеры могут быть настроены в автоматическом режиме с помощью групповой политики Active Directory или вручную в реестре. Рассмотрим оба варианта. Также стоит отметить, что, как правило, проблем совместимости нет — WSUS сервер на Windows Server 2012 без проблем принимает запросы как от Windows 7, так и Windows 10. Приведенные ниже примеры настроек являются универсальными.

Групповая политика (GPO)

Открываем инструмент настройки групповой политики, создаем новые политики для разных групп компьютеров — в нашем примере:

Для тестовой группы.
Для серверов.
Для рабочих станций.

Создаем GPO для соответствующих организационных юнитов. Открываем данные политики на редактирование и переходим по пути Конфигурация компьютера - Политики - Административные шаблоны - Компоненты Windows - Центр обновления Windows. Стоит настроить следующие политики:

* 8530 — сетевой порт, на котором по умолчанию слушает сервер WSUS. Уточнить его можно на стартовой странице консоли управления WSUS.

Ждем применения политик. Для ускорения процесса некоторые компьютеры можно перезагрузить вручную.

Настройка клиентов через реестр Windows

Как говорилось выше, мы можем вручную настроить компьютер на подключение к серверу обновлений WSUS.

Для этого запускаем редактор реестра и переходим по пути: HKEY_LOCAL_MACHINE\SOFTWARE\Polices\Microsoft\Windows\WindowsUpdate. Нам необходимо создать следующие ключи:

Теперь переходим в раздел реестра HKEY_LOCAL_MACHINE\SOFTWARE\Polices\Microsoft\Windows\WindowsUpdate\AU. Если он отсутствует, создаем вручную. После нужно создать ключи:

AUOptions, REG_DWORD — значение 2
AutoInstallMinorUpdates, REG_DWORD — значение 0
NoAutoUpdate, REG_DWORD — значение 0
ScheduledInstallDay, REG_DWORD — значение 0
ScheduledInstallTime, REG_DWORD — значение 3
UseWUServer, REG_DWORD — значение 1

После перезагружаем компьютер. Чтобы форсировать запрос к серверу обновлений, на клиенте выполняем команду:

Автоматическая чистка WSUS

Как говорилось ранее, сервер WSUS очень требователен к дисковому пространству. Поэтому удаление устаревшей информации является критически важным этапом его администрирования.

Саму чистку можно сделать в панели управления сервером обновления в разделе Параметры - Мастер очистки сервера.

Также можно воспользоваться командлетом в Powershell Invoke-WsusServerCleanup — целиком команда будет такой:

Get-WSUSServer | Invoke-WsusServerCleanup -CleanupObsoleteComputers -CleanupObsoleteUpdates -CleanupUnneededContentFiles -CompressUpdates -DeclineExpiredUpdates -DeclineSupersededUpdates

Для автоматизации чистки создаем скрипт с расширением .ps1 и создаем задачу в планировщике. Чистку стоит делать раз в неделю.

Роли: Службы Windows Server Update Services

Ошибка: Обновление не найдено. Возможно, возникли проблемы с сетевым подключением.

Пришлось искать, где взять инсталлятор. Ну, конечно это привело меня к источникам Майкрософт. Домашняя страничка WSUS посвященная целиком службе обновлений.

З.Ы. Вот в чём причина - интернет через прокси, а им управляем не мы. А оно лезет туда, куда нельзя без авторизации.

А вот тут также есть очень полезная выжимка по WSUS.

Настройка клиентов

Для настройки клиентов на сервер обновлений необходимо в ГП указать параметры службы обновлений. Параметры находятся тут:

Параметры компьютера -> Административные шаблоны -> Компоненты Windows -> Центр обновления Windows.

Самые важные параметры в ГП:

- Настройка автоматического обновления

- Указать размещение службы обновлений Майкрософт в сети

Описания при настройке исчерпывающие.

Также есть настройки в ветке Пользователя в аналогичном разделе ГП.

Плюс нужно обязательно настроить службу обновлений на автоматическую загрузку:

ГП -> Конфигурация Windows -> Параметры безопасности -> Системные службы -> Центр обновления Windows - автоматически

Ошибки

1. Клиенты могут не отдавать отчет о состоянии с ошибками:

WARNING: Failed to read the service id for re-registration 0x80070002

WARNING: Missing service entry in the backup data store; cleaning up

FATAL: Update required for C:\WINDOWS\system32\cdm.dll: target version = 7.1.6001.65, required version = 7.6.7600.256

Имена файлов могут быть разными, а target version может отличаться от указанной. Лечится этим исправлением, поставленным вручную: KB949104.

2. Один комп с Windows 7 x64 sp1 не захотел получать обновлений по той причине, что у него видите ли версия клиента выше версии сервера WSUS!

Исправляется установкой обновления KB2734608. Повышает версию до 3.2.7600.256.

В данной статье будет рассмотрен опыт установки и обслуживания WSUS в корпоративной среде, который позволит новичкам избежать ряда «подводных камней».

Автор: Денис Васильев

Установка обновлений и патчей является очень важной составной частью обеспечения безопасности. Для всех специалистов по информационной безопасности основной необходимостью является мониторинг, анализ и устранение уязвимостей программного обеспечения. Компания Microsoft предоставляет бесплатную возможность использования сервиса обновлений своих программных продуктов в течение всего времени поддержки программного продукта. Необходимые обновления доступны через сеть интернет всем пользователям программных продуктов.

Применение обновлений к корпоративной среде требует дополнительных механизмов управления. Microsoft предлагает использовать в корпоративной среде мощный бесплатный продукт Windows Server Update Services (WSUS), который позволяет экономить трафик в сети Интернет, централизованно управлять обновлениями для серверов и рабочих станций.

Установка WSUS

В рамках ОС Windows Server 2008 существует роль сервера Windows Server Update Services(рис. 1).

Для Windows Server 2003 следующие системные требования к установке WSUS 3.0 SP1:

Несмотря на то, что служба практически не требовательна к процессору и оперативной памяти, ей необходима изрядная доля дискового пространства. Желательно 40 Гб и более. В конечном итоге, размер занимаемого дискового пространства будет зависит от количества продуктов, которые необходимо обновлять, и количества требуемых обновлений в инфраструктуре.
Если при установке сервер не удовлетворяет системным требования, то появится окно предупреждения, в котором будет описано что необходимо установить (рис. 2).

Настройка сервера WSUS

Для нормальной работы сервера необходимо указать ряд параметров, которые делаются с помощью «Мастер настройки Windows Server Update Services»

В окне «Выбор вышестоящего сервера» необходимо указать пункт «Синхронизировать с Центром обновлений Майкрософт» (рис. 3).

При применении к корпоративной среде прокси-сервера в окне «Настройка прокси-сервера» необходимо указать IP адрес, номер порта и параметры аутентификации на прокси-сервере(рис. 4).

В окне «Выбор языков» необходимо выбрать пункт «Загружать обновления только на следующих языках» обязательно выбрать «Английский». Выбор остальных языков необходимо делать исходя из систем, установленных в компании, обычно ещё добавляют «Русский» (рис. 5). Нет необходимости выбирать «Загружать обновления на всех языках, включая новые», так как это увеличит количество обновлений, хранящихся на дисковом пространстве.

В окне «Выбор продуктов» необходимо указать продукты, установленные в рамках корпоративной среды. ВНИМАНИЕ! Никогда не устанавливаете все продукты, так как это может привести к увеличению размера хранимых обновлений, при этом обновления не будут использоваться. Необходимо методично и последовательно выбрать только те продукты которые используются в рамках корпоративной среды (рис. 6).

В окне «Выбор классов» необходимо указать только те классы которые требуют обновлений. Так как указание лишних классов в значительной степени увеличивает размер хранимых обновлений (рис. 7).

В окне «Настройка расписания синхронизации» необходимо выбрать время синхронизации (рис. 8). В рамках WSUS синхронизации не предполагает загрузку обновлений. В данном случае синхронизация будет производить только обновление информации с сервера Центра обновлений Майкрософт».

После первой синхронизации необходимо открыть консоль WSUS и выбрать «Параметры». В «Параметры» открыть пункт «Файлы и языки обновлений» ( рис. 9)

Во вкладке «Файлы обновлений» окна «Файлы и языки обновлений» необходимо указать каким образом будет осуществляться хранение файлов обновлений. Так как мы хотим уменьшить размер Интернет трафика, то необходимо выбрать «Хранить файлы обновлений локально на этом сервере» и ОБЯЗАТЕЛЬНО! выбираем пункты «загружать файлы обновлений на сервер только после одобрения обновления» и «Загружать файлы экспресс - установки» (рис. 10). Пункт «Загружать файлы обновлений на сервер только после одобрения обновления» необходим, так как по умолчанию сервер загрузить ВСЕ обновления, которые он посчитает необходимым для выбранных продуктов. Однако так как с течением времени очень многие обновления аккумулируются в Service Pack, то вероятнее всего они не будут нужны и займут дисковое пространство.

После всех настроек необходимо добавить компьютеры в службу WSUS.

Добавление компьютеров в службу WSUS

Если у Вас есть домен, то достаточно в его групповой политике прописать службу WSUS и выбрать правила обновления компьютеров.

Это делается следующим образом «Пуск – Администрирование – Управление групповой политикой». Выбираем ту политику, которая действует в домене (по умолчанию Default Group Policy). Кликаем правой кнопкой и выбираем «Изменить».

В окне «Редактор управления групповыми политиками» заходим «Конфигурация компьютера – Политики – Административные шаблоны – Компоненты Windows – Центр обновления Windows». Выбираем пункт «Указать размещение службы обновлений в Интрасети » (рис. 11)

Также необходимо определить политику обновлений. Это делается через пункт «Настройка автоматических обновлений» (рис. 13).

В окне «Свойства: Настройка автоматических обновлений» указываем параметр «Включен» и параметры «Настройка автоматического обновления», «Установка по расписанию – день», «Установка по расписанию – время». В окне «Объяснение» есть описание всех параметров для серверов и желательно устанавливать параметр «2 –уведомления о загрузке и установке», что позволит администраторам выбирать время установки обновлений на сервера(рис. 14).

Если в рамках инфраструктуры присутствуют рабочие места которые не входят в состав домена (например мобильные рабочие места), но служба обновлений для этих рабочих мест необходима, то существует возможность указания этой службы в «Локальной политике безопасности».

В командной строке набираем gpedit.msc и проделываем те же операции, которые были описаны выше для групповой политики в домене.

Через некоторое время компьютер появится в окне «Компьютеры – Все компьютеры – Не назначенные компьютеры» при «Состояние: Любой» (рис. 15).

Управление обновлениями

Для того чтобы увидеть и одобрить необходимые обновления нужно в «Обновления – Все обновления» выбрать следующие пункты фильтра: «Одобрение: Неодобренные» и Состояние: Требуется» и нажать «Обновить»(рис. 16). ВНИМАНИЕ! для проверки необходимых обновлений всегда обращайте внимание, чтобы настройки фильтра стояли в положениях «Одобрение: Неодобренные» и Состояние: Требуется», иначе вы рискуете загрузить ненужные вам обновления, или не загрузить их вообще. В случае, если фильтр в настройках «Одобрение: Неодобренные» и Состояние: Требуется» показал пустое поле, то все необходимые обновления для компьютеров уже одобрены и находятся на сервере.

После одобрения на компьютере через какое-то время появятся обновления согласно правилам, настроенным в политике безопасности.

Достаточно часто существует необходимость принудительной проверки обновлений на сервере обновлений со стороны компьютера. Для этого существует программа wuauclt.exe, которая запускается через командную строку. Для проверки обновлений её необходимо запускать с ключом /detectnow (wuauclt.exe /detectnow). Для посылки отчета о состоянии (очень часто необходимо при первом подключении к серверу обновлений) необходимо запускать с ключом /reportnow (wuauclt.exe /reportnow).

В предыдущих статьях данного цикла я рассказал о назначении и планировании WSUS-серверов в организации. Разумеется, вы имеете представление о назначении данной серверной роли и понимаете, насколько важны серверы обновлений в вашей организации. В этой статье мы с вами поговорим о начальном развертывании серверов обновлений, а именно об этапе подготовке сервера к установке данной роли, а также о самой установке первого WSUS-сервера в организации. Если быть точнее, то вы узнаете о минимальных требованиях на серверах, которые будут выполнять роль серверов обновлений, о первоначальной настройке брандмауэров, настройке веб-серверов IIS, а также о самом процессе установки и первоначальной настройке серверов обновлений Windows Server Update Services. У большинства читателей данной статьи может возникнуть вопрос: а что же, собственно, нового представляет собой роль WSUS в сервере Windows Sever 2008 R2? Ответ прост. К основным возможностям Windows Server Update Services можно отнести полную поддержку обновлений для операционных систем Windows 7 и Windows Server 2008 R2, поддержку BranchCache, который впервые появился в Windows Server 2008 R2, новые отчеты о состоянии компьютеров и обновлений, позволяющие выполнять гибкую фильтрацию обновлений, которые вы одобряете для установки, а также устранен ряд ошибок, которые были присущи в предшествующих версиях данной роли.

Требования, необходимые для работы серверов WSUS

Перед тем как заниматься развертыванием серверов обновлений вам следует убедиться в том, что ваш физический или виртуальный сервер поддерживает, по меньшей мере, минимальные системные требования. Сначала рассмотрим требования к аппаратному обеспечению для установки роли Windows Server Update Services в операционной системе Windows Server 2008. Эти требования предоставлены в следующей таблице:

Например, для нормальной работы сервера обновлений в организации с 25 000 рабочих мест на сервер обновлений достаточно выделить один физический сервер с процессором не менее Intel Core 2 Quad Q6600 2,4 ГГЦ и 4 ГБ оперативной памяти. А для распространения обновлений на 100 000 рабочих мест лучше всего применять сценарий из двух идентичных серверов с процессорами Intel Core 2 6600 2,13 ГГЦ и 4 ГБ оперативной памяти объединив их в отказоустойчивый кластер. Как вы видите, для развертывания серверов обновлений не существует единственной рекомендуемой конфигурации оборудования. Все требования к оборудованию и базам данных зависят от того, как ваша организация будет использовать WSUS-сервер. Указанные выше данные вы можете применить для создания тестовых сценариев в целях выявления оптимального использования аппаратных решений. Также, при расчете аппаратной конфигурации для серверов обновлений, вам стоит руководствоваться количеством компьютеров в организации, частотой синхронизации с клиентскими компьютерами, количеством языков для обновлений клиентских систем, а также выбором между автономной установкой и созданием отказоустойчивых кластеров.

Перейдем от аппаратных требований к программным. Для нормального функционирования серверов обновлений, на вашем сервере необходимо наличие следующего программного обеспечения:

Установка на сервер роли WSUS

После того как вы убедитесь, что ваши аппаратные требования сервера удовлетворяют требованиям для установки, а также на данном сервере установлено все требуемое программное обеспечение, вы можете начать установку WSUS. На текущем сервере вам следует выполнить вход под учетной записью администратора, так как установку роли серверов обновлений могут выполнять лишь члены данной группы. Для окончательной установки роли WSUS, нам нужно сначала установить SQL сервер, затем установить саму роль Windows Server Update Services, а потом, используя мастер настройки WSUS отконфигурировать данный сервер.

Установка SQL сервера

Так как SQL сервер не входит в состав операционных систем Windows Server, прежде чем устанавливать SQL сервер на компьютер, который будет выполнять роль сервера обновлений, загрузите SQL Server из Центра загрузки Microsoft. Установка SQL сервера довольно простая. В данном случае устанавливается Microsoft SQL Server 2008. Для того чтобы установить его, выполните следующие действия:

Запустите на выполнение загруженный файл установщика SQL сервера;
В окне «SQL Server Installation Center» переключитесь на вкладку «Installation», а затем перейдите по ссылке «New SQL Server stand-alone installation or add features to an existing installation», как показано ниже:

Рис. 1. Главное окно инсталлятора SQL Server Installation Center

Установка роли WSUS

На этом этапе вам предстоит установить саму роль Windows Server Update Services. Процесс установки данной роли очень простой. Для того чтобы установить на ваш сервер роль WSUS, выполните следующие действия:

Откройте консоль «Диспетчер сервера». Если после загрузки операционной системы окно диспетчера сервера не открылось, в меню «Пуск» откройте подменю «Администрирование», а затем выберите команду «Диспетчер сервера». В окне консоли «Диспетчер сервера» нажмите на кнопку «Добавить роли» в разделе «Сводка по ролям». Также вы можете в дереве консоли нажать правой кнопкой мыши на узле «Роли» и из контекстного меню выбрать команду «Добавить роли»;
Откроется диалоговое окно «Мастер добавления ролей». На первой странице мастера вы можете узнать краткую информацию о назначении данного мастера. Если вы не хотите впредь видеть этот шаг, установите флажок на опции «Пропустить эту страницу по умолчанию». Ознакомьтесь с информацией, приведенной на этом шаге, после чего нажмите на кнопку «Далее»;
На странице «Выбор ролей сервера» вам предоставляется выбор ролей, которые будут установлены на вашем сервере. Одновременно вы можете выбрать как одну, так и несколько ролей. В данном случае установите флажок на опции «Windows Server Update Services», ознакомьтесь с информацией, указанной в области «Описание». После установки флажка откроется окно мастера добавления ролей «Windows Server Update Services требует наличие служб ролей», где вы можете просмотреть, какие роли требуются для работы данной технологии. Это просто информационное диалоговое окно, в котором вам нужно подтвердить установку требуемых компонентов, то есть, нажмите на кнопку «Добавить требуемые службы роли». Нажмите на кнопку «Далее»;

Рис. 10. Мастер добавления ролей, требуемых для установки WSUS

Завершение установки WSUS-сервера

После установки компонентов роли Windows Server Update Services автоматически запустится диалоговое окно «Мастер установки служб Windows Server Update Services 3.0 с пакетом обновления 2 (SP2)» при помощи которого вы можете завершить установку своего сервера обновлений. Для того чтобы настроить свой WSUS-сервер, выполните следующие действия:

Рис. 13. Первая страница мастера установки служб WSUS

Читайте также: