Развёртывание локального сервера обновлений под управлением wsus

Установка роли

Установка WSUS устанавливается как роль Windows Server. Для начала запускаем Диспетчер серверов:

На странице приветствия просто нажимаем Далее (также можно установить галочку Пропускать эту страницу по умолчанию):

На следующей странице оставляем переключатель в положении Установка ролей или компонентов:

Далее выбираем сервер из списка, на который будем ставить WSUS:

Среди компонентов оставляем все по умолчанию и нажимаем Далее:

Мастер запустит предварительную настройку служб обновления — нажимаем Далее:

Среди ролей службы можно оставить галочки, выставленные по умолчанию:

Прописываем путь, где WSUS будет хранить файлы обновлений:

* в нашем примере был прописан путь C:\WSUS Updates. Обновления нужно хранить на разделе с достаточным объемом памяти.

Запустится настройка роли IIS — просто нажимаем Далее:

Среди служб ролей оставляем все галочки по умолчанию и нажимаем Далее:

В последнем окне проверяем сводную информацию о всех компонентах, которые будут установлены на сервер и нажимаем Установить:

Процесс установки занимаем несколько минут. После завершения можно закрыть окно:

Установка роли WSUS завершена.

Configure Windows Server Update Services

1- Select Tools and then select WSUS Server Configuration wizard.

Note – Before you begin the configuration of WSUS, some important points.

Make sure the server firewall allows the clients to access the WSUS server. If clients have issues connecting to WSUS server, updates wouldn’t be downloaded from server.The WSUS downloads the updates from upstream server which is Microsoft update in our case. So please ensure that the firewall allows the WSUS server to connect to Microsoft Update.In case if there is a proxy server in your organization, you should type the credentials for proxy server while configuring WSUS.

2- Click Next.

3- Click Next.

Публикация и развертывание сторонних обновлений программного обеспечения

После того как сторонние обновления находятся в узле All Updates, вы можете выбрать, какие обновления должны быть опубликованы для развертывания. При публикации обновления двоичные файлы загружаются из поставщика и помещаются в каталог на верхнем уровне SUP.

В консоли Configuration Manager перейдите в рабочее пространство библиотеки программного обеспечения. Расширь обновления программного обеспечения и выберите узел Все обновления программного обеспечения.
Выберите Добавить критерии для фильтрации списка обновлений. Например, добавьте поставщика для HP. просмотреть все обновления от HP.
Выберите обновления, необходимые вашей организации. Выберите публикацию контента обновления программного обеспечения сторонних разработчиков.

Это действие загружает разнохранилища обновлений от поставщика, а затем хранит их в каталоге на точке обновления WSUSContent программного обеспечения верхнего уровня.
обновлений программного обеспечения, чтобы изменить состояние опубликованных обновлений с только метаданных на развертываемые обновления с контентом.

Примечание

При публикации контента сторонних обновлений программного обеспечения на сайт добавляются сертификаты, используемые для подписи контента. Эти сертификаты имеют тип контента сторонних обновлений программного обеспечения. Управлять ими можно с узла Сертификаты под безопасностью в рабочей области администрирования.
Просмотрите ход работы SMS_ISVUPDATES_SYNCAGENT.log. Журнал расположен на точке обновления программного обеспечения верхнего уровня в папке журналов системы сайтов.
Развертывание обновлений с помощью процесса развертывания обновлений программного обеспечения.
На странице Расположение загрузки мастера развертывания обновлений программного обеспечения выберите параметр по умолчанию для загрузки обновлений программного обеспечения из Интернета. В этом сценарии содержимое уже публикуется в точку обновления программного обеспечения, которая используется для скачивания контента для пакета развертывания.
Перед просмотром результатов проверки и оценки обновлений клиентам необходимо выполнить проверку. Этот цикл можно запускать вручную с панели управления Configuration Manager на клиенте, запуская действие цикла сканирования обновлений программного обеспечения.

Завершение установки WSUS-сервера

После установки компонентов роли Windows Server Update Services автоматически запустится диалоговое окно «Мастер установки служб Windows Server Update Services 3.0 с пакетом обновления 2 (SP2)» при помощи которого вы можете завершить установку своего сервера обновлений. Для того чтобы настроить свой WSUS-сервер, выполните следующие действия:

На первой странице мастера ознакомьтесь с предоставленной информацией и нажмите на кнопку «Далее»;
Рис. 13. Первая страница мастера установки служб WSUS
На странице «Лицензионное соглашение» ознакомьтесь с соглашением, после чего установите переключатель на опцию «Я принимаю условие лицензионного соглашения» и нажмите на кнопку «Далее»;
На следующей странице, странице «Выбор источника обновлений» вам нужно указать диск, который будет использоваться в качестве хранилища обновлений, обеспечивая их быструю загрузку на клиентские компьютеры. На этом этапе выберите специально выделенный раздел, предназначенный непосредственно для хранилища обновлений. По умолчанию флажок «Хранить обновления локально» установлен и обновления будут храниться на сервере WSUS в указанном вами месте. Если же вы снимите данный флажок, то клиентские компьютеры будут получать одобренные вами обновления, подключаясь, непосредственно, к центру обновлений Microsoft. В данном случае обновления загружаются на системный раздел, но в производственной среде так ни в коем случае делать нельзя;
Рис. 14. Страница «Выбор источника обновлений» мастера установки служб WSUS
На странице «Параметры базы данных» вам нужно выбрать базу данных, которая будет использоваться WSUS-сервером. На этом этапе вы можете выбрать внутреннюю базу данных Windows, которая выбрана по умолчанию, базу данных SQL сервера на локальном или удаленном компьютерах. В том случае, если вам нужно указать путь к базе данных на удаленном компьютере, введите имя экземпляра в соответствующее поле. Указывать имя экземпляра нужно в следующем виде: <ServerName>\<instanceName>, где serverName представляет собой имя сервера баз данных, а instanceName, соответственно, имя самого экземпляра. Так как мы на первом этапе устанавливали SQL сервер, устанавливаем переключатель на опцию «Существующий сервер баз данных на этом компьютере» и из соответствующего списка выбираем нужную базу (в данном случае — WSUS);

Рис. 15. Страница «Параметры базы данных» мастера установки служб WSUS

Процесс подключения к SQL серверу может у вас занять некоторое время. Если серверу WSUS удастся успешно подключиться к SQL-серверу, вы увидите сообщение, которое отображено на следующей иллюстрации. Если же у вас возникнут проблемы при подключении к серверу базы данных, проверьте доступность и работоспособность своего SQL сервера. Когда подключение будет успешно выполнено, для продолжения нажмите кнопку «Далее».

Рис. 16. Страница «Подключение к SQL-серверу» мастера установки служб WSUS
На странице «Выбор веб-узла» вы можете указать веб-сайт, предназначенный для использования сервера WSUS. Если на данном сервере будет расположен только стандартный сайт сервера обновлений, находящийся на порту 80, достаточно будет установить переключатель на опции «Использовать существующий веб-узел IIS по умолчанию». Если же на 80 порту ранее был создан веб-сайт, вы можете привязать веб-сайт WSUS на порт 8530, выбрав опцию «Создать веб-сайт служб Windows Server Update Services с пакетом обновления 2 (SP2)». Так как в нашем случае веб-сервер устанавливался вместе с ролью WSUS, выбираем первую опцию. После того как вы сделаете выбор, нажмите на кнопку «Далее»;
Рис. 17. Страница «Выбор веб-узла» мастера установки служб WSUS
На странице «Мастер готов к установке служб Windows Server Update Services с пакетом обновления 2 (SP2)» пересмотрите еще раз выбранные вами параметры и если вы все ранее указали правильно, нажмите на кнопку «Далее»;
Рис. 18. Страница подготовки к установке служб мастера установки служб WSUS
После того как мастер завершит установку выбранных вами параметров, на последней странице мастера установки будет отображено, успешно ли он завершил свою работу. Если установка пройдет без непредвиденных обстоятельств, по нажатию на кнопку «Готово» будет автоматически запущен мастер настроек WSUS.

Рис. 19. Установка служб Windows Server Update Services

Продолжение слудует

Обновление за апрель 2023 года:

Теперь вы можете предотвратить проблемы с ПК с помощью этого инструмента, например, защитить вас от потери файлов и вредоносных программ. Кроме того, это отличный способ оптимизировать ваш компьютер для достижения максимальной производительности. Программа с легкостью исправляет типичные ошибки, которые могут возникнуть в системах Windows — нет необходимости часами искать и устранять неполадки, если у вас под рукой есть идеальное решение:

Шаг 1: (Windows 10, 8, 7, XP, Vista — Microsoft Gold Certified).
Шаг 2: Нажмите «Начать сканирование”, Чтобы найти проблемы реестра Windows, которые могут вызывать проблемы с ПК.
Шаг 3: Нажмите «Починить все», Чтобы исправить все проблемы.

Установка компонентов с Enable-WindowsOptionalFeature

Список компонентов, с которыми можно работать команда группы ‘WindowsOptionalFeature’ аналогичны следующем окну:

Учитывая, что это окно уже является наследием более старых систем (до Windows 10), вы можете не найти все компоненты. Например RSAT, который раньше можно было найти в этом окне, теперь доступен через интерфейс ‘Приложения и возможности’ Windows 10. Команды в этих случаях тоже отличаются.

Для получения всех компонентов нужно выполнить следующую команду:

Параметр ‘-Online’ говорит, что пакеты будут искаться на этом же компьютере. Можно поставить ‘-Path’, с указанием пути до образа Windows, что бы увидеть какие компоненты доступны там.

Несколько вариантов выполнения команды:

Учитывая, что команды относятся к модулю ‘DISM’, мы можем работать с образами используя параметры ‘PackagePath’ и ‘Path’. Такая возможность есть во всех командах ‘WindowsOptionalFeature’.

Для того, что бы включить компонент нужно выполнить следующую команду:

В следующей команде указано, что нам нужно собрать все логи (а не только ошибки) и сохранить их по указанному пути:

Отключение приложения выполняется следующим образом:

WindowsOptionalFeature так же используется для подготовки Nano сервера т.к. там нет WindowsFeature и пакеты с ролями сначала импортируются, а затем включаются.

What are Windows Updates

Let’s start with some basics. When you install an operating system or image a machine, you always ensure it is patched with latest updates. Not just operating system but almost every software that we use needs to be constantly updated.

Windows updates are released to fix bugs, fix security issues in OS and to add new features to operating system. The Windows Updates rely on Windows Update service which is set to start automatically by default.

Windows Update service downloads and installs recommended and important updates automatically.

Microsoft updates can be classified into following categories :-

Critical Updates
Security Updates
Definition Updates
Drivers
Update Rollups
Service Packs
Tools
Feature Packs
Updates

If you have migrated from Windows 7 to Windows 10, you will notice lot of new options under Windows Update. You get some cool options such as pause the updates for 7 days, change active hours for installing updates. In addition to that there are many useful options under Advanced Options. When you get time, go ahead and explore all of them.

Initial WSUS Configuration on Windows Server

After you finish installing the WSUS role, you need to complete its initial configuration. Open Server Manager and select Post-Deployment Configuration -> Launch Post-Installation tasks.

You can use the WsusUtil.exe console tool to manage WSUS from the command prompt. For example, to change the path to the WSUS update files directory, run:

Or, for example, you can switch your WSUS to an external SQL Server database:

Then open the Windows Server Update Services console. The WSUS Update Server Initial Configuration Wizard starts.

Specify whether the WSUS server will download updates from the Microsoft Update site directly (Synchronize from Microsoft Update) or if it should receive them from an upstream WSUS server (Synchronize from another Windows Update Services server). Downstream WSUS servers are usually deployed at remote sites with a large number of clients (300+) to reduce the load on the WAN link.

On Windows 10 and 11, you can use Delivery Optimization to reduce the bandwidth usage of update traffic on your communication channels.

If your access the Internet through a proxy server, you need to specify the address and port of the proxy server, as well as authentication credentials.

Next, check the connection to the upstream update server (or Windows Update). Click Start Connecting.

Then you need to select the product languages for which WSUS will download updates. We select English (the list of the languages can further be changed from the WSUS console).

Then specify the list of products for which the WSUS should download updates. Select only those Microsoft products that are used in your environment. For example, if you are sure that there are no Windows 7 or Windows 8 computers left on your network, don’t select these options. This will significantly save space on the WSUS server drive.

Be sure to include the following general sections in the WSUS classification:

Developer Tools, Runtimes, and Redistributable — used to update Visual C++ Runtime libraries;
Windows Dictionary Updates in the Windows category;
Windows Server Manager – Windows Server Update Services (WSUS) Dynamic Installer.

If necessary, you can manually import any updates from the Microsoft Update Catalog to your WSUS server.

On the Classification Page, you need to specify the types of updates to be deployed via WSUS. It is recommended to select: Critical Updates, Definition Updates, Security Packs, Service Packs, Update Rollups, and Updates.

The Windows 10 build upgrades (21H2, 20H2, 1909, etc.) in the WSUS console are included in the Upgrades class.

Configure your update synchronization schedule. It is recommended to use the automatic daily synchronization of the WSUS server with Microsoft Update servers. The WSUS synchronization should be performed at night, in order not to impact the Internet channel during business hours.

The initial synchronization of the WSUS server with the upstream update server may take up to several days, depending on the number of products you chose earlier and your ISP.

After the wizard is done, the WSUS console will start.

There are several sections in the WSUS console tree:

Updates – available updates on the WSUS server (here you can manage the update approvals and assign them for installation);
Computers – here you can manage WSUS client groups (computers, servers, test, and production groups, etc.);
Downstream Servers – allows you to configure whether you receive from Windows Update or an upstream WSUS server;
Synchronizations – update synchronization schedule;
Reports –different WSUS reports;
Options –WSUS configuration settings.

Further steps for configuring WSUS (approving WSUS updates, creating and configuring update groups for computers and servers) are described in separate posts:

Part 2. Create a GPO to configure clients to use WSUS
Part 3. How to Approve and Deploy WSUS Updates?
Removing Windows Update using WSUS

Clients can now receive updates by connecting to the WSUS server on port 8530 (in Windows Server 2003 and 2008, port 80 is used by default). Check that this port is open on the WSUShost:

You can use a secure SSL connection on port 8531. To do this, you need to bind a certificate to the WSUS Administration website in IIS.

If the port is closed, create an allow rule in Windows Defender Firewall.

Если используется мастер настройки служб Windows Server Update Services

В процедурах этапа 3 была завершена настройка параметров вышестоящего сервера и прокси-сервера. Следующий набор процедур начинается на странице Подключение к вышестоящему серверу этого мастера настройки.

Сохранение и загрузка информации о вышестоящем сервере и прокси-сервере

На странице «Подключение к вышестоящему серверу» мастера настройки нажмите кнопку Начать подключение. Это действие сохраняет параметры, загружает их на сервер и собирает информацию о доступных обновлениях.
Во время подключения будет доступна кнопка Остановить подключение. Если в ходе подключения возникнут проблемы, нажмите кнопку Остановить подключение, исправьте ошибку и снова запустите подключение.
По завершении успешной загрузки нажмите кнопку Далее.

Выбор языков обновлений

На странице «Выбор языков» можно выбрать получение обновлений для всех языков или только для определенного их подмножества

Выбор части языков позволит сэкономить пространство на диске, однако важно, чтобы были выбраны все языки, необходимые клиентам данного сервера WSUS.Если необходимо получать обновления только для отдельных языков, выберите вариант Загружать только обновления для следующих языков и укажите требуемые языки обновлений.
Нажмите кнопку Далее.. Выбор обновлений для продуктов

Выбор обновлений для продуктов

На странице «Выбор продуктов» можно указать продукты, для которых следует получать обновления. Можно устанавливать флажки для нужных категорий продуктов (например, Windows) или конкретных продуктов (например, Windows Server 2008). При выборе категории автоматически выбираются все входящие в нее продукты.
Нажмите кнопку Далее.

Выбор классов обновлений

Страница «Выбор классов» позволяет указать классы обновлений, которые необходимо получать. Можно выбрать все классы или определенное их подмножество.
Нажмите кнопку Далее.

Настройка расписания синхронизации

На странице «Настройка расписания синхронизации» можно выбрать, выполнять синхронизацию вручную или автоматически.Если задана Синхронизация вручную, администратор каждый раз должен будет запускать процесс синхронизации из консоли администрирования WSUS.
Если задана Автоматическая синхронизация, сервер WSUS будет сам выполнять ее через определенные интервалы времени. Задайте время для события Первая синхронизация и число операций синхронизации в поле Синхронизация за день, которые сервер должен выполнять за день

Например, если указать, что синхронизация должна выполняться четыре раза в день, начиная с 3:00, синхронизация будет производиться в 3:00, 9:00, 15:00 и 21:00.

Нажмите кнопку Далее.
На последней странице можно открыть консоль администрирования WSUS, оставив установленным флажок Запустить оснастку «Администрирование Windows Server Update Services», можно также выполнить первую синхронизацию, оставив флажок Начать первоначальную синхронизацию.
Нажмите кнопку Готово.

Важно
Если внести изменения в конфигурацию, когда сервер выполняет синхронизацию, то сохранить эти изменения будет невозможно. Чтобы изменить какие-либо настройки, дождитесь окончания синхронизации.

Подготовка к установке WSUS 3.0 с пакетом обновления 2 (SP2)

Если на компьютере установлена ОС Windows 7 или Windows Server 2008 с пакетом обновления 2 (SP2), WSUS 3.0 с пакетом обновления 2 (SP2) можно установить с помощью диспетчера сервера. Если используется другая поддерживаемая ОС, или установлена только консоль администрирования WSUS, перейдите к следующему разделу данного руководства для установки WSUS 3.0 с пакетом обновления 2 (SP2) с использованием файла WUSSetup.exe.

Подготовка к установке WSUS 3.0 с пакетом обновления 2 (SP2) с помощью диспетчера сервера

На сервере, где планируется установить WSUS 3.0 с пакетом обновления 2 (SP2), необходимо войти в систему с учетной записью, входящей в локальную группу «Администраторы».
Нажмите кнопку Пуск, перейдите к пункту Администрирование, затем выберите пункт Диспетчер сервера.
На правой панели в окне диспетчера сервера, в разделе «Сводка по ролям» выберите пункт Добавить роли.
Если появится страница «Прежде чем начать», нажмите кнопку Далее.
На странице «Выбор ролей сервера» проверьте, что выбраны роли Сервер приложений и Веб-сервер (IIS). Если они выбраны, проверьте, что выбраны требуемые службы роли. В противном случае, установите роли «Сервер приложений» и «Веб-сервер (IIS)» как указано ниже.
1. На странице «Выбор ролей сервера» выберите роли Сервер приложений и Веб-сервер (IIS). Нажмите кнопку Далее.
2. Если устанавливаются «Службы роли сервера приложений» на странице «Сервер приложений», нажмите кнопку Далее. На странице «Службы роли сервера приложений» примите параметры по умолчанию, затем нажмите кнопку Далее.
3. Если устанавливается веб-сервер IIS, на странице «Веб-сервер (IIS)» нажмите кнопку Далее. На странице «Службы роли веб-сервера (IIS)» дополнительно к параметрам по умолчанию выберите параметры ASP.NET, Проверка подлинности Windows, Сжатие динамического содержимого и Совместимость управления IIS 6. Если появится окно мастера добавления ролей, выберите параметр Добавить требуемые службы роли. Нажмите кнопку Далее.
4. На странице «Подтвердите выбранные элементы» нажмите кнопку Установить.
5. На странице «Результаты установки» подтвердите, что для служб роли, установленных на данном этапе, отображается сообщение «Установка выполнена успешно», затем нажмите кнопку Закрыть.

Этап 2. Установка сервера WSUS или консоли администрирования

Завершение настройки сервера обновлений

Наш сервис установлен, настроен и запущен. Осталось несколько штрихов.

Установка Microsoft Report Viewer

Для просмотра отчетов, необходим компонент, который не ставится с WSUS. Для его установки нужно сначала зайти в установку ролей и компонентов:

Продолжаем установку и завершаем ее.

Для загрузки Microsoft Report Viewer переходим на страницу https://www.microsoft.com/en-us/download/details.aspx?id=3841 и скачиваем установочный пакет:

После выполняем установку приложения и перезапускаем консоль WSUS — отчеты будут доступны для просмотра.

Донастройка WSUS

Мастер установки предлагает выполнить большую часть настроек, но для полноценной работы необходимо несколько штрихов.

1. Группы компьютеров

При подключении новых компьютеров к серверу, они должны распределиться по группам. Группы позволят применять разные обновления к разным клиентам.

Вводим название для группы и повторяем действия для создания новой группы. В итоге получаем несколько групп, например:

2. Автоматические утверждения

После получения сервером обновлений, они не будут устанавливаться, пока системный администратор их не утвердит для установки. Чтобы не заниматься данной работой в ручном режиме, создадим правила утверждения обновлений.

Кликаем по Создать правило:

У нас есть возможность комбинировать условия, при которых будут работать наши правила. Например, для созданных ранее групп компьютеров можно создать такие правила:

3. Добавление компьютеров в группы

Ранее, нами были созданы группы компьютеров. После данные группы использовались для настройки автоматического утверждения обновлений. Для автоматизации работы сервера осталось определить, как клиентские компьютеры будут добавляться в группы.

Если мы хотим автоматизировать добавление компьютеров в группы, необходимо установить переключатель в положение Использовать на компьютерах групповую политику или параметры реестра: