Oktatóanyag: A WSUS telepítése és konfigurálása Windows Server 2022/2019 rendszeren

Használhatja a Windows Server Update Services (WSUS) frissítőkiszolgálót a Microsoft termékfrissítéseinek (Windows, Office, SQL Server, Exchange stb.) telepítéséhez a vállalat helyi hálózatán lévő számítógépeken és kiszolgálókon. Ebben a cikkben bemutatjuk, hogyan telepítheti és konfigurálhatja a WSUS frissítési kiszolgálót Windows Server 2022/2019/2016 vagy 2012 R2 rendszeren.

A WSUS szerepkör telepítése Windows Server 2016/2016/2012R2 rendszeren?

A Windows Server 2008-tól kezdve a WSUS egy külön szerepkör, amely a Kiszolgálófelügyeleti konzolon vagy a PowerShell használatával telepíthető.

A WSUS telepítéséhez nyissa meg a Kiszolgálókezelő konzolt, és ellenőrizze a Windows Server Update Services szerepkört (a rendszer automatikusan kiválasztja és felajánlja a szükséges IIS webszerver-összetevők telepítését).

A következő ablakban válassza ki a telepíteni kívánt WSUS-szerepkör-szolgáltatásokat. Feltétlenül jelölje be a WSUS-szolgáltatások lehetőséget. A következő két lehetőség attól függ, hogy melyik SQL-adatbázist kívánja használni a WSUS-hoz.

A kiszolgálóbeállításokat, a frissítési metaadatokat és a WSUS-ügyfélinformációkat egy SQL Server-adatbázis tárolja. WSUS adatbázisként a következőket használhatja:

• Windows Internal Database (WID) - beépített Windows adatbázis (WID Connectivity opció). Ez az ajánlott és működő lehetőség még nagy infrastruktúrák esetén is;

• Egy különálló Microsoft SQL Server adatbázis van telepítve egy helyi vagy távoli kiszolgálón. Használhatja az MS SQL Enterprise, Standard (licenc szükséges) vagy az ingyenes Express kiadást. Ez az SQL Server Connectivity lehetőség.

A Windows belső adatbázisa) akkor javasolt, ha:

• Nincsenek fel nem használt MS SQL Server licencei;

• Nem tervezi a WSUS terheléselosztás használatát (NLB WSUS)

• Egy downstream (gyermek) WSUS-szerver üzembe helyezésekor (például fiókirodákban). Ebben az esetben javasolt a beépített WSUS adatbázis használata a másodlagos szervereken.

Ha a WSUS-szerepkört és az MS SQL-adatbázist különböző kiszolgálókra telepíti, van néhány korlátozás:

• A WSUS adatbázissal rendelkező SQL Server nem lehet Active Directory tartományvezérlő;

• A WSUS-kiszolgáló nem telepíthető távoli asztali szolgáltatások szerepkörrel rendelkező gazdagépen.

\\.\pipe\MICROSOFT##WID\tsql\query

Ha nincs elég lemezterülete a frissítési fájlok tárolásához, kapcsolja ki ezt a lehetőséget. Ebben az esetben a WSUS-kliensek jóváhagyott frissítési fájlokat kapnak az internetről (ez egy életképes lehetőség kis hálózatok számára).

Ha a frissítési fájlokat helyben szeretné tárolni a WSUS-kiszolgálón, engedélyezze a Frissítések tárolása a következő helyeken lehetőséget, és adja meg a könyvtár elérési útját. Ez lehet egy mappa a helyi lemezen (külön fizikai vagy logikai kötet ajánlott), vagy egy hálózati hely (UNC elérési út). A frissítések csak a WSUS-rendszergazda jóváhagyása után töltődnek le a megadott könyvtárba.

Ha nincs elég lemezterülete a frissítési fájlok tárolásához, kapcsolja ki ezt a lehetőséget. Ebben az esetben a WSUS-kliensek jóváhagyott frissítési fájlokat kapnak az internetről (ez egy életképes lehetőség kis hálózatok számára).

A következő PowerShell paranccsal is telepíthet egy belső adatbázissal (WID) rendelkező WSUS-kiszolgálót:

Install-WindowsFeature -Name UpdateServices, UpdateServices-WidDB, UpdateServices-Services, UpdateServices-RSAT, UpdateServices-API, UpdateServices-UI -IncludeManagementTools

Kezdeti WSUS-konfiguráció a Windows Serveren

Miután befejezte a WSUS-szerepkör telepítését, be kell fejeznie a kezdeti konfigurációját. Nyissa meg a Kiszolgálókezelőt, és válassza a Telepítés utáni konfiguráció -> Telepítés utáni feladatok indítása lehetőséget.

CD "C:\Program Files\Update Services\Tools"
WsusUtil.exe PostInstall CONTENT_DIR=D:\WSUS

wsusutil.exe postinstall SQL_INSTANCE_NAME="MUN-SQL1\WSUSDB" CONTENT_DIR=D:\WSUS_Content

Ezután nyissa meg a Windows Server Update Services konzolt. Elindul a WSUS Update Server Initial Configuration Wizard.

Adja meg, hogy a WSUS-kiszolgáló közvetlenül a Microsoft Update webhelyről töltse-e le a frissítéseket (Szinkronizálás a Microsoft Update webhelyről), vagy egy upstream WSUS-kiszolgálóról (Szinkronizálás egy másik Windows Update Services-kiszolgálóról<)). A downstream WSUS-kiszolgálókat általában távoli helyeken telepítik nagyszámú (300+) ügyféllel, hogy csökkentsék a WAN-kapcsolat terhelését.

Ha proxykiszolgálón keresztül éri el az internetet, meg kell adnia a proxyszerver címét és portját, valamint a hitelesítési adatokat.

Ezután ellenőrizze a kapcsolatot az upstream frissítési kiszolgálóval (vagy a Windows Update-vel). Kattintson a Kapcsolódás indítása lehetőségre.

Ezután ki kell választania azokat a terméknyelveket, amelyekhez a WSUS letölti a frissítéseket. Az Angol lehetőséget választjuk (a nyelvek listája tovább módosítható a WSUS-konzolról).

Ezután adja meg azoknak a termékeknek a listáját, amelyekhez a WSUS-nak frissítéseket kell letöltenie. Csak azokat a Microsoft-termékeket válassza ki, amelyeket a környezetében használ. Ha például biztos abban, hogy nincs Windows 7 vagy Windows 8 rendszerű számítógép a hálózaton, ne válassza ki ezeket a beállításokat. Ez jelentősen megtakarítja a helyet a WSUS-kiszolgáló meghajtóján.

Ügyeljen arra, hogy a következő általános szakaszokat tartalmazza a WSUS-besorolás:

• Fejlesztői eszközök, futási környezetek és újraterjeszthető - Visual C++ Runtime könyvtárak frissítésére szolgálnak;

• Windows szótárfrissítések a Windows kategóriában;

• Windows Server Manager - Windows Server Update Services (WSUS) dinamikus telepítője.

Az Osztályozási oldalon meg kell adnia a WSUS-on keresztül telepítendő frissítések típusait. Javasoljuk, hogy válassza ki: Kritikus frissítések, Definíciófrissítések, Biztonsági csomagok, Szervizcsomagok, Összegző frissítések és Frissítések.

Állítsa be a frissítések szinkronizálási ütemezését. Javasoljuk, hogy használja a WSUS-kiszolgáló és a Microsoft Update szerverek napi automatikus szinkronizálását. A WSUS szinkronizálást éjszaka kell végrehajtani, hogy ne érintse az internetes csatornát munkaidőben.

A WSUS-kiszolgáló kezdeti szinkronizálása az upstream frissítési kiszolgálóval több napig is eltarthat, a korábban kiválasztott termékek számától és az internetszolgáltatótól függően.

A varázsló befejezése után a WSUS-konzol elindul.

A WSUS konzolfában több szakasz található:

• Frissítések - elérhető frissítések a WSUS-kiszolgálón (itt kezelheti a frissítések jóváhagyását, és hozzárendelheti őket a telepítéshez);

• Számítógépek - itt kezelheti a WSUS-ügyfélcsoportokat (számítógépek, szerverek, teszt- és éles csoportok stb.);

• Lefelé irányuló kiszolgálók - lehetővé teszi annak konfigurálását, hogy a Windows Update-től vagy egy upstream WSUS-kiszolgálótól kap-e szolgáltatásokat;

• Szinkronizálások - szinkronizálási ütemezés frissítése;

• Jelentések - különböző WSUS-jelentések;

• Opciók - WSUS konfigurációs beállítások.

Az ügyfelek mostantól megkaphatják a frissítéseket, ha a 8530-as porton csatlakoznak a WSUS-kiszolgálóhoz (a Windows Server 2003-ban és 2008-ban alapértelmezés szerint a 80-as portot használják). Ellenőrizze, hogy ez a port nyitva van-e a WSUShost-on:

Test-NetConnection -ComputerName yourwsushost1 -Port 8530

Ha a port le van zárva, hozzon létre egy engedélyezési szabályt a Windows Defender tűzfalban.

Hogyan telepíthető a WSUS Management Console Windows 10 és 11 rendszeren?

A Windows Server Update Services konzolt használja (

wsus.msc

) a WSUS kezeléséhez. A WSUS-állomásokat a helyi konzol segítségével vagy a hálózaton keresztül is kezelheti egy távoli számítógépről.

A Windows 10 vagy 11 WSUS adminisztrációs konzolja a Remote Server Administration Tools (RSAT) segítségével telepíthető. Az Rsat.WSUS.Tool összetevő telepítéséhez futtassa a következő PowerShell-parancsot:

Add-WindowsCapability -Online -Name Rsat.WSUS.Tools~~~~0.0.1.0

Ha a WSUS-konzolt Windows Server rendszerre szeretné telepíteni, használja a következő parancsot:

Install-WindowsFeature -Name UpdateServices-Ui

Amikor telepíti a WSUS-t Windows Serverre, két további helyi csoport jön létre. Segítségükkel hozzáférést biztosíthat a felhasználóknak a WSUS felügyeleti konzolhoz.

• WSUS rendszergazdák

• WSUS riporterek

A frissítésekről és a WSUS-ügyfelekről szóló jelentések megtekintéséhez telepítenie kell a következőket:

• Microsoft System CLR-típusok SQL Server 2012-hez (SQLSysClrTypes.msi);

• Microsoft Report Viewer 2012 Runtime (ReportViewer.msi).

Ha ezek az összetevők nincsenek telepítve, akkor a WSUS jelentés létrehozásakor hibaüzenet jelenik meg:

The Microsoft Report Viewer 2012 Redistributable is required for this feature. Please close the console before installing this package.

A WSUS teljesítményének optimalizálása

Ez a rész néhány tippet ír le a WSUS Update Server teljesítményének valós környezetben való optimalizálásához.

• A WSUS megfelelő működéséhez a frissítési gazdagépnek legalább 4 GB RAM-mal és 2 szabad CPU-val kell rendelkeznie;

• A WSUS-ügyfelek nagy száma (több mint 1500) esetén jelentős teljesítménycsökkenést tapasztalhat az ügyfeleknek frissítéseket terjesztő IIS WsusPoll-készletben. A 0x80244022 hiba megjelenhet az ügyfeleken, vagy a WSUS-konzol indításakor összeomolhat hibával Hiba: váratlan hiba + 7053-as eseményazonosító az Eseménynéző (

  The WSUS administration console has encountered an unexpected error. This may be a transient error; try restarting the administration console. If this error persists

  ).

  

  A probléma megoldásához több RAM-ot kell hozzáadnia a WSUS-állomáshoz, és optimalizálnia kell az IIS-készlet beállításait a cikkben javasoltak szerint. Használja ezeket a PowerShell-parancsokat:

  Import-Module WebAdministration
  Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name queueLength -Value 2500
  Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name cpu.resetInterval -Value "00.00:15:00"
  Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name recycling.periodicRestart.privateMemory -Value 0
  Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name failure.loadBalancerCapabilities -Value "TcpLevel"

• Engedélyezze az automatikus jóváhagyást a Microsoft víruskereső aláírási/definíciós frissítéseihez. Ellenkező esetben a WSUS jelentősen lelassulhat, és felhasználhatja az összes rendelkezésre álló RAM-ot.

A víruskereső ellenőrzések negatívan befolyásolhatják a WSUS teljesítményét. A Windows Server beépített Microsoft Defender Antivirus programjában ajánlatos kizárni a következő mappákat a valós idejű védelem hatóköréből:

• \WSUS\WSUSContent;

• %windir%\wid\data;

• \SoftwareDistribution\Download.

Maradjon velünk!