Содержание:
Установка сервера обновлений Windows Server Update Services на платформу Windows 2008 R2 – задача несложная. Надо лишь помнить о том, что дистрибутив самого WSUS уже не требуется скачивать с сайта Microsoft. Этот сервер устанавливается так же, как и большинство других сервисов Windows Server 2008 R2 — через установку роли сервера.
Следует заметить, что пакет установки WSUS все-таки может понадобиться, но только если вы пожелаете установить отдельную консоль администрирования на одну из рабочих станций. В этом случае его можно загрузить отсюда .
Настройка сервера WSUS
1. Открываем оснастку «Диспетчер сервера». Затем в левой панели открываем ветку «Роли», а в правой, запускаем мастер «Добавить роли» (см. рис. ниже):
2. После выбора строки списка «Службы Windows Server Update Services» появится окно мастера, предлагающее добавить службу Веб сервера, а так же необходимые компоненты. Соглашаемся с этим предложением и трижды нажимаем «Далее».
3. Следующий шаг, собственно, установка службы WSUS. Жмем «Далее» и, следом, «Установить». На этом этапе сервер начнет загрузку с Internet и установку службы. В процессе установки потребуется принять условия лицензионного соглашения:
4. Далее, мастер сообщит о том, что в системе отсутствует «Распространяемый пакет средства Microsoft Report Viewer 2008»:
Этот пакет мы установим позже.
5. Следующий этап – указание места расположения папки, где будут храниться обновления. Можно принять предложенный вариант или указать другую папку. Эта папка д.б. на диске с файловой системой NTFS. Позаботьтесь, что б там было достаточно места. В качестве примера для оценки сообщу, что обновления Windows для серверов и рабочих станций на двух языках (русский, английский) потребуют примерно 40 – 60 Гб. Экономить не советую…
6. Для работы WSUS 3.0 используется БД MS SQL. Можно использовать внутреннюю БД или использовать существующую у вас в сети:
7. Далее, следует выбор Веб-узла службы WSUS:
Здесь так же указан адрес службы WSUS, который потребуется при настройке клиентов службы.
8. Далее, мы увидим процесс установки внутренней БД (если эта опция была выбрана ранее).
9. Все… на этом, собственно, сам процесс установки можно считать завершенным.
10. Но работа мастера будет продолжена. Следующий этап – непосредственная настройка службы обновлений:
11. Следующие шаги мастера помогут вам сделать начальные настройки службы WSUS. Необходимо будет указать, с какого сервера этот сервер WSUS будет выполнять синхронизацию. Возможные варианты: сервер Microsoft или вышестоящий сервер WSUS
12. Необходимо указать настройки прокси сервера при синхронизации:
13. На следующем этапе мы выполним подключение к серверу Microsoft (или вышестоящему серверу). Это может занять несколько минут:
Если этот процесс завершился неудачей — проверьте введенные ранее настройки прокси-сервера. Убедитесь в том, что сервер Microsoft или вышестоящий сервер WSUS доступен с этого сервера и повторите попытку.
14. Далее, следует выбор языков, для которых сервер будет загружать обновления.
15. На следующем шаге Вам предложат выбрать продукты компании Microsoft, для которых будут загружаться обновления
16. Также, необходимо выбрать классы обновлений:
17. Далее, будет предложено установить расписание загрузки и запустить первоначальную загрузку обновлений.
На этом можно считать процесс установки сервера WSUS законченным.
В случае, если вы на шаге №4 получили предупреждение о том, что на сервере не установлен «Распространяемый пакет Microsoft Report Viewer 2008» — скачайте его с сайта Microsoft , и установите на сервер. Он необходим для создания отчетов.
Дальнейшие действия заключаются в настройке компьютеров вашей ЛВС на работу с этим сервисом.
Ну всё началось с того, что роль не захотела ставиться с неясным сообщением:
Роли: Службы Windows Server Update Services
Ошибка: Обновление не найдено. Возможно, возникли проблемы с сетевым подключением.
Пришлось искать, где взять инсталлятор. Ну, конечно это привело меня к источникам Майкрософт. Домашняя страничка WSUS посвященная целиком службе обновлений.
З.Ы. Вот в чём причина — интернет через прокси, а им управляем не мы. А оно лезет туда, куда нельзя без авторизации.
Ну и, конечно, на ru-board.com ветка о WSUS
А вот тут также есть очень полезная выжимка по WSUS.
Настройка клиентов
Для настройки клиентов на сервер обновлений необходимо в ГП указать параметры службы обновлений. Параметры находятся тут:
Параметры компьютера -> Административные шаблоны -> Компоненты Windows -> Центр обновления Windows.
Самые важные параметры в ГП:
— Настройка автоматического обновления
— Указать размещение службы обновлений Майкрософт в сети
Описания при настройке исчерпывающие.
Также есть настройки в ветке Пользователя в аналогичном разделе ГП.
Плюс нужно обязательно настроить службу обновлений на автоматическую загрузку:
ГП -> Конфигурация Windows -> Параметры безопасности -> Системные службы -> Центр обновления Windows — автоматически
Ошибки
1. Клиенты могут не отдавать отчет о состоянии с ошибками:
WARNING: Failed to read the service id for re-registration 0x80070002
WARNING: Missing service entry in the backup data store; cleaning up
FATAL: Update required for C:WINDOWSsystem32cdm.dll: target version = 7.1.6001.65, required version = 7.6.7600.256
Имена файлов могут быть разными, а target version может отличаться от указанной. Лечится этим исправлением, поставленным вручную: KB949104.
2. Один комп с Windows 7 x64 sp1 не захотел получать обновлений по той причине, что у него видите ли версия клиента выше версии сервера WSUS!
Исправляется установкой обновления KB2734608. Повышает версию до 3.2.7600.256.
Upd Лог клиента находится тут: %systemroot%WindowsUpdate.log
Что чистить в случае проблем (метод топора):
В данной статье будет рассмотрен опыт установки и обслуживания WSUS в корпоративной среде, который позволит новичкам избежать ряда «подводных камней».
Автор: Денис Васильев
Установка обновлений и патчей является очень важной составной частью обеспечения безопасности. Для всех специалистов по информационной безопасности основной необходимостью является мониторинг, анализ и устранение уязвимостей программного обеспечения. Компания Microsoft предоставляет бесплатную возможность использования сервиса обновлений своих программных продуктов в течение всего времени поддержки программного продукта. Необходимые обновления доступны через сеть интернет всем пользователям программных продуктов.
Применение обновлений к корпоративной среде требует дополнительных механизмов управления. Microsoft предлагает использовать в корпоративной среде мощный бесплатный продукт Windows Server Update Services (WSUS), который позволяет экономить трафик в сети Интернет, централизованно управлять обновлениями для серверов и рабочих станций.
В данной статье будет рассмотрен опыт установки и обслуживания WSUS в корпоративной среде, который позволит новичкам избежать ряда «подводных камней».
Установка WSUS
В рамках ОС Windows Server 2008 существует роль сервера Windows Server Update Services(рис. 1).
Для Windows Server 2003 следующие системные требования к установке WSUS 3.0 SP1:
- Операционная система: Windows Server 2003 SP1 и выше.
- Дополнительные роли сервера: IIS 6.0 и выше
- Дополнительные обновления ОС: Microsoft .NET Framework 2.0, Microsoft Management Console 3.0.
- Дополнительные программы: Microsoft Report Viewer, SQL Server 2005 SP1 (Служба WSUS способна установить внутреннюю службу Windows Internal Database).
Несмотря на то, что служба практически не требовательна к процессору и оперативной памяти, ей необходима изрядная доля дискового пространства. Желательно 40 Гб и более. В конечном итоге, размер занимаемого дискового пространства будет зависит от количества продуктов, которые необходимо обновлять, и количества требуемых обновлений в инфраструктуре.
Если при установке сервер не удовлетворяет системным требования, то появится окно предупреждения, в котором будет описано что необходимо установить (рис. 2).
Настройка сервера WSUS
Для нормальной работы сервера необходимо указать ряд параметров, которые делаются с помощью «Мастер настройки Windows Server Update Services»
В окне «Выбор вышестоящего сервера» необходимо указать пункт «Синхронизировать с Центром обновлений Майкрософт» (рис. 3).
При применении к корпоративной среде прокси-сервера в окне «Настройка прокси-сервера» необходимо указать IP адрес, номер порта и параметры аутентификации на прокси-сервере(рис. 4).
В окне «Выбор языков» необходимо выбрать пункт «Загружать обновления только на следующих языках» обязательно выбрать «Английский». Выбор остальных языков необходимо делать исходя из систем, установленных в компании, обычно ещё добавляют «Русский» (рис. 5). Нет необходимости выбирать «Загружать обновления на всех языках, включая новые», так как это увеличит количество обновлений, хранящихся на дисковом пространстве.
В окне «Выбор продуктов» необходимо указать продукты, установленные в рамках корпоративной среды. ВНИМАНИЕ! Никогда не устанавливаете все продукты, так как это может привести к увеличению размера хранимых обновлений, при этом обновления не будут использоваться. Необходимо методично и последовательно выбрать только те продукты которые используются в рамках корпоративной среды (рис. 6).
В окне «Выбор классов» необходимо указать только те классы которые требуют обновлений. Так как указание лишних классов в значительной степени увеличивает размер хранимых обновлений (рис. 7).
В окне «Настройка расписания синхронизации» необходимо выбрать время синхронизации (рис. 8). В рамках WSUS синхронизации не предполагает загрузку обновлений. В данном случае синхронизация будет производить только обновление информации с сервера Центра обновлений Майкрософт».
После первой синхронизации необходимо открыть консоль WSUS и выбрать «Параметры». В «Параметры» открыть пункт «Файлы и языки обновлений» ( рис. 9)
Во вкладке «Файлы обновлений» окна «Файлы и языки обновлений» необходимо указать каким образом будет осуществляться хранение файлов обновлений. Так как мы хотим уменьшить размер Интернет трафика, то необходимо выбрать «Хранить файлы обновлений локально на этом сервере» и ОБЯЗАТЕЛЬНО! выбираем пункты «загружать файлы обновлений на сервер только после одобрения обновления» и «Загружать файлы экспресс — установки» (рис. 10). Пункт «Загружать файлы обновлений на сервер только после одобрения обновления» необходим, так как по умолчанию сервер загрузить ВСЕ обновления, которые он посчитает необходимым для выбранных продуктов. Однако так как с течением времени очень многие обновления аккумулируются в Service Pack, то вероятнее всего они не будут нужны и займут дисковое пространство.
После всех настроек необходимо добавить компьютеры в службу WSUS.
Добавление компьютеров в службу WSUS
Если у Вас есть домен, то достаточно в его групповой политике прописать службу WSUS и выбрать правила обновления компьютеров.
Это делается следующим образом «Пуск – Администрирование – Управление групповой политикой». Выбираем ту политику, которая действует в домене (по умолчанию Default Group Policy). Кликаем правой кнопкой и выбираем «Изменить».
В окне «Редактор управления групповыми политиками» заходим «Конфигурация компьютера – Политики – Административные шаблоны – Компоненты Windows – Центр обновления Windows». Выбираем пункт «Указать размещение службы обновлений в Интрасети » (рис. 11)
В окне «Свойства: Указать размещение службы обновлений в Интрасети» указываем параметр «Включен» и в строке «Укажите службу обновление в интрасети для поиска обновлений» прописываете строку вида: http:// [ip адрес или DNS имя сервера обновления в сети]. Копируете адрес в окно «Укажите сервер статистики в интрасети» (рис. 12). В рамках редактора групповой политики есть подсказки в окне объяснений (рис. 12).
Также необходимо определить политику обновлений. Это делается через пункт «Настройка автоматических обновлений» (рис. 13).
В окне «Свойства: Настройка автоматических обновлений» указываем параметр «Включен» и параметры «Настройка автоматического обновления», «Установка по расписанию – день», «Установка по расписанию – время». В окне «Объяснение» есть описание всех параметров для серверов и желательно устанавливать параметр «2 –уведомления о загрузке и установке», что позволит администраторам выбирать время установки обновлений на сервера(рис. 14).
Если в рамках инфраструктуры присутствуют рабочие места которые не входят в состав домена (например мобильные рабочие места), но служба обновлений для этих рабочих мест необходима, то существует возможность указания этой службы в «Локальной политике безопасности».
В командной строке набираем gpedit.msc и проделываем те же операции, которые были описаны выше для групповой политики в домене.
Через некоторое время компьютер появится в окне «Компьютеры – Все компьютеры – Не назначенные компьютеры» при «Состояние: Любой» (рис. 15).
Управление обновлениями
Для того чтобы увидеть и одобрить необходимые обновления нужно в «Обновления – Все обновления» выбрать следующие пункты фильтра: «Одобрение: Неодобренные» и Состояние: Требуется» и нажать «Обновить»(рис. 16). ВНИМАНИЕ! для проверки необходимых обновлений всегда обращайте внимание, чтобы настройки фильтра стояли в положениях «Одобрение: Неодобренные» и Состояние: Требуется», иначе вы рискуете загрузить ненужные вам обновления, или не загрузить их вообще. В случае, если фильтр в настройках «Одобрение: Неодобренные» и Состояние: Требуется» показал пустое поле, то все необходимые обновления для компьютеров уже одобрены и находятся на сервере.
После одобрения на компьютере через какое-то время появятся обновления согласно правилам, настроенным в политике безопасности.
Достаточно часто существует необходимость принудительной проверки обновлений на сервере обновлений со стороны компьютера. Для этого существует программа wuauclt.exe, которая запускается через командную строку. Для проверки обновлений её необходимо запускать с ключом /detectnow (wuauclt.exe /detectnow). Для посылки отчета о состоянии (очень часто необходимо при первом подключении к серверу обновлений) необходимо запускать с ключом /reportnow (wuauclt.exe /reportnow).
Господа, удачных вам обновлений
Подписывайтесь на каналы "SecurityLab" в 
Telegram и 
Яндекс.Дзен, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.