Каждый администратор осознает важность своевременных обновлений, особенно если это касается критических обновлений безопасности. Однако с ростом сети и увеличением числа программных продуктов это становится весьма непростой задачей. Значит самое время развернуть WSUS (Windows Server Update Services) — локальный сервер обновлений в вашей сети.
Онлайн-курс по устройству компьютерных сетей
На углубленном курсе «Архитектура современных компьютерных сетей» вы с нуля научитесь работать с Wireshark и «под микроскопом» изучите работу сетевых протоколов. На протяжении курса надо будет выполнить более пятидесяти лабораторных работ в Wireshark.
Этим вы убьете сразу несколько зайцев: значительно уменьшите загрузку канала и потребляемый интернет трафик, а также получите в руки мощный инструмент для контроля и управления процессом обновлений. Отныне все локальные ПК будут обновляться с вашего сервера и устанавливать только выбранные вами обновления.
Внимание! Данный материал предназначен для устаревших версий Windows Server, рекомендуем также ознакомиться с актуальной статьей: Windows Server 2012 — установка и настройка WSUS.
Приступим. Перед установкой WSUS следует подготовить сервер, мы будем использовать Windows Server 2008 R2, однако с небольшими поправками все сказанное будет справедливо для других версий Windows Server. Что нам понадобится:
- IIS 6 или выше,
- .NET Framework 2.0 или выше,
- Report Viewer Redistributable 2008,
- SQL Server 2005 SP2 Express или выше.
WSUS может хранить обновления в собственной БД или использовать SQL-сервер, последнее более предпочтительно с точки зрения производительности. Если в вашей сети уже развернут SQL-сервер можно использовать его, иначе вполне подойдет бесплатный SQL Express.
Получить все необходимые компоненты можно на сайте Microsoft:
- Windows Server Update Services 3.0 SP2
- Microsoft Report Viewer 2008 SP1 Redistributable
- Microsoft SQL Server 2008 R2 Express
При скачивании обращаем внимание на разрядность, для 64-битной ОС скачиваем 64-битные версии продуктов.
Пока идет скачивание добавим роли сервера. Нам понадобятся Веб-сервер (IIS) и Сервер приложений (в предыдущих версиях Windows Server установите .NET Framework). Сервер приложений устанавливается со значениями по умолчанию, а в Веб-сервере необходимо добавить следующие опции:
- ASP.NET
- Windows — проверка подлинности
- Сжатие динамического содержимого
- Совместимость управления IIS6
Добавив необходимые роли, установим Report Viewer и SQL Server c параметрами по умолчанию. Все готово, можно устанавливать WSUS.
Запустив инсталлятор, выбираем установку сервера и консоли администрирования, папку установки. В параметрах базы данных указываем наш SQL-сервер. Остальные настройки можно оставить по умолчанию.
Сразу после установки запустится мастер начальной настройки. Все опции довольно просты и понятны. В параметрах синхронизации указываем откуда наш сервер будет получать обновления: с сервера Microsoft или с другого WSUS сервера. Последний вариант следует использовать если вам требуется развернуть дополнительный сервер обновлений, например, для филиала. В этом случае подчиненный сервер будет получать только одобренные вами обновления.
На следующей закладке, при необходимости, указываем параметры прокси-сервера, и выполняем первичное подключение. Будет загружена информация от вышестоящего сервера: списки продуктов, типов обновлений и т.д.
При выборе продуктов не жадничайте, указывайте только то, что вам реально нужно, впоследствии вы всегда сможете изменить данный список.
На следующей странице укажите какие классы обновлений вы хотели бы получать, здесь все зависит от политики обновлений на вашем предприятии. Следует помнить, что обновления драйверов и пакеты новых функций крайне не рекомендуется разворачивать автоматически, без предварительного тестирования. Если у вас нет возможности этим заниматься, то указывать эти классы вам ни к чему.
Не забудьте также задать расписание для синхронизации с вышестоящим сервером. На этом первоначальная настройка закончена.
Открыв консоль (доступна в меню Администрирование), первым делом запустите ручную синхронизацию, чтобы скачать все имеющиеся на сегодняшний день обновления для выбранных продуктов. В зависимости от того, чего и сколько вы выбрали при настройке, а также скорости вашего подключения это может занять продолжительное время.
Пока идет синхронизация займемся настройкой клиентских ПК. Если у вас развернута Active Directory это можно сделать с помощью групповых политик. Откройте Управление групповой политикой, выберите необходимый объект и щелкнув правой кнопкой мышки нажмите Изменить. В открывшемся окне выберите Конфигурация компьютера — Политики — Административные шаблоны — Центр обновления Windows. Нас интересует параметр Указать размещение службы обновлений Microsoft в интрасети. Переводим его в положение Включено и указываем путь к нашему WSUS серверу в виде http:\\ИМЯ_СЕРВЕРА.
Также советуем настроить опцию Настройка автоматического обновления, которая полностью повторяет аналогичную настройку на клиентских ПК. Через некоторое время, необходимое для обновления групповых политик, компьютеры вашей сети начнут подключаться к серверу и получать обновления.
Если ваша сеть имеет одноранговую структуру, то вам придется настраивать каждый ПК в отдельности. Делается это через Редактор локальной групповой политики (Пуск — Выполнить — gpedit.msc), сам процесс настройки полностью аналогичен вышеописанному.
Контролировать количество ПК и их статус вы можете в разделе Компьютеры консоли администрирования.
Информации вполне достаточно, чтобы быстро оценить общую ситуацию и обратить внимание на проблемные места. Красные крестики указывают на то, что на данных ПК произошли ошибки в обновлении, с каждым таким случаем надо разбираться в отдельности. По каждому обновлению формируется детальный отчет, содержащий все необходимые для анализа проблемы данные.
Также рекомендуем разбить ПК на группы, для каждой группы можно назначить свою политику обновлений. Так в отдельную группу можно выделить сервера, для которых автоматически устанавливать только критические обновления безопасности.
Вот мы и подошли к еще одной важной настройке сервера — автоматическом одобрении. Клиентские ПК могут получать только одобренные обновления, но каждый раз делать все вручную нереально, поэтому часть обновлений можно одобрять автоматически. Откроем Параметры — Автоматические одобрения и активируем уже имеющуюся там политику, которая позволяет автоматически устанавливать критические обновления и обновления безопасности.
Здесь вы можете создавать свои правила и назначать их любой группе ПК. Например мы создали правило: автоматически одобрять все обновления MS Office группы Рабочие станции.
Просмотреть все доступные обновления можно в разделе Обновления, здесь же можно одобрять их вручную. Мы рекомендуем завести один или несколько тестовых ПК (можно виртуальных) и тестировать на них обновления и пакеты новых функций и только после этого одобрять обновления для установки. Одобрить обновления можно как для всех ПК, так и для группы, в качестве примера мы одобрили установку пакета Silverlight для группы Рабочие станции.
В качестве обслуживания сервера стоит время от времени (где-то раз в месяц) проводить очистку сервера. Это позволит избежать черезмерного увеличения размеров базы за счет удаления невостребованных, уже не нужных и неодобренных вами обновлений.
На этой ноте мы и закончим наше повествование, материал данной статьи позволит вам быстро развернуть и сделать базовые настройки сервера обновлений. С задачей тонкой настройки вы должны без труда справиться самостоятельно.
Онлайн-курс по устройству компьютерных сетей
На углубленном курсе «Архитектура современных компьютерных сетей» вы с нуля научитесь работать с Wireshark и «под микроскопом» изучите работу сетевых протоколов. На протяжении курса надо будет выполнить более пятидесяти лабораторных работ в Wireshark.
Windows Server Update Services (WSUS) 3.0 SP2 is a
comprehensive resource to help you deploy updates to the servers and
clients in your network. This tool is a free download from the Microsoft
website. It is incredibly flexible and can be used in very small to
very large network environments. WSUS is installed on a server or group
of servers in your network and acts as an intranet-based Windows Update
server.
1. Do a Simple WSUS Deployment
In its most basic form, a
WSUS deployment consists of a single server on the local intranet inside
the DMZ and inside the Internet firewall. This server will be used to
connect to Microsoft Update and download available updates in a process
that is called synchronization.
You will synchronize the WSUS server with the Windows Update servers on
a regular basis, and the WSUS server will verify that available updates
have been synchronized to the WSUS server. The initial synchronization
will take an extended period of time if your Internet connection speed
is good and longer if it is not. Subsequent synchronizations will be
faster because the WSUS server is only synchronizing new updates that
have been made available.
WSUS uses standard HTTP ports 80
and 443 to access and download the updates from Microsoft Update. These
ports are likely already open on your firewall; if they are not, you
will need to open them in order to use the WSUS server. It is possible
to change the default communication ports to meet your network’s
specific needs.
Depending on the size and
structure of your network, you may choose to add a WSUS server to your
network. These additional servers can be configured to get their updates
from the existing WSUS server. This process is called chaining servers together. As you chain more and more WSUS servers together, the WSUS deployment can become quite complex.
Automatic Updating is
the client-side part of WSUS deployments. The service has to use the
port assigned to the WSUS website in IIS. If there are no websites
running on the server where you install WSUS, you can choose to use the
default website (port 80) or a custom website (ports 8530 or 8531).
1.1. Use Computer Groups
One of the coolest
things about WSUS deployments is the use of computer groups. Computer
groups allow you to target updates to specific groups of computers on
your network. There are two default computer groups called All Computers
and Unassigned Computers. Each computer that is added to WSUS is added
to these two groups. You will create additional groups to allow WSUS to
target updates to specific groups of computers, and you will add
computers to your new groups from the Unassigned Computers group. It is
important to remember that you cannot remove computers from the All
Computers group.
Computer groups allow you
to structure your machines in such a way to make it possible to test
updates on a small group of machines before deploying those same updates
on a broader scale to the rest of your network. If the testing works
well, then broad deployment can be easily accomplished. If there is a
problem in testing, then you have limited the scope of the problem to a
small computer group instead of the whole network.
1.2. Use WSUS Server Hierarchy
As mentioned earlier, it is possible to chain WSUS servers together. There are two ways to build those links:
-
In autonomous mode,
the upstream server, or the server connected to Microsoft Update,
shares synchronization information with its downstream partner but does
not share its computer group information. This way, the available
updates are passed from WSUS server to WSUS server while maintaining the
integrity of the individual computer groups. -
In replica mode,
the upstream server shares its synchronization information and its
computer group information with its down stream partners. The downstream
partners hold the same information and are thus functional replicas of
the upstream WSUS server.
It is recommended that you do
not create hierarchy beyond three levels deep. At that point, the
synchronization lag time introduced to the process becomes prohibitive.
2. Get WSUS Updates on Disconnected Networks
It is sometimes necessary to
operate servers and clients on a network that is not connected to the
Internet or to other networks. Servers and clients operating in
isolation still need updates. WSUS makes it possible to supply updates
to isolated network segments through a simple process:
-
Connect WSUS to Microsoft Update on a connected network.
-
Synchronize the available updates to the WSUS server.
-
Export the updates to media.
-
Hand carry the media to the isolated network segment.
-
Import the updates to the isolated WSUS server.
-
Deploy the updates to the isolated servers and clients.
This method not only
makes it possible to deliver updates to isolated or disconnected
networks but can also be used to limit the bandwidth in traditional
connected WSUS deployments. For example, you might choose to have a
single WSUS server synchronize updates with Microsoft Update and then
export those updates to DVDs; then you can send the DVDs to be imported
to each of your other WSUS servers instead of downloading the same
information and slowing performance on the WAN.
3. Use WSUS with Branch Cache
One of the features of Window
Server 2008 R2 is branch cache. This feature can improve WAN performance
by caching content on branch servers in order to make that content
available to local clients without the need of constant WAN access. If
the branch cache feature is installed on Windows Server 2008 R2, it can
be used to cache the WSUS synchronization and computer group
information. This can really improve the responsiveness of your WSUS
servers that are located in branch-office locations.
4. Choose a Database for WSUS
WSUS requires a database in
order to operate; however, you do not need to purchase a database
product in order to use WSUS. When you install WSUS 3.0 SP2, it will
check for an available database. If it does not find one, it will
install one for you. The database it will install by default is called
the Windows Internal Database. This is a small-scale version of SQL
Server. This version of SQL Server is very simple and does not require
hardly any management. (If you want to install full-version SQL Server
to host the database for WSUS, you are welcome to do so, but it is not
required.) The WSUS database stores the WSUS configuration information, a
metadata description of each update, and information about the client
computers, updates, and interactions.
Although there is a
database that will store information about the updates and the clients
that will use the updates, you will not be managing WSUS through the
database. There is a built-in management tool called WSUS Manger where
you will manage the WSUS servers, updates, clients, and computer groups.
4.1. Learn Where to Store the Updates
The ideal place to store
the updates from Windows Update is on the local WSUS server. This saves
the network bandwidth of clients accessing the WSUS server only to be
pointed to another network location to download the updates. There is
one caveat here; the updates are going to take up a fair amount of
space. Microsoft recommends that you have at least 20GB of local storage
at a minimum and actually recommends 30GB. Keep in mind that these
numbers are only estimates and could go higher than 30GB depending on
your network needs and particular situation.
It is possible to use WSUS to
approve updates for your network and then store those updates remotely.
The most extreme example of this design would be to use the WSUS server
to approve updates for your local clients and then point them to the
Internet-based Windows Update servers for the updates. This effectively
eliminates the requirement to store updates locally while still allowing
you to test and approve the updates coming in to your network.
WSUS uses the
Background Intelligent Transfer Service 2.0 (BITS 2.0) protocol for all
of its file transfer needs. Each time files are downloaded from servers
to clients, they are moved using «spare» bandwidth. This technology also
makes it possible to continue downloads, even if the computer is shut
down in the middle of a download, once the computer is restarted.
5. Learn the WSUS Requirements
To run WSUS, your servers must meet the following minimum requirements:
-
CPU: 1GHz minimum. 1.5GHz or better is recommended.
-
Graphics card: 16MB hardware accelerated or better is recommended.
-
RAM: 1GB minimum; 2GB or better is recommended.
-
Page file: At least 1.5 times the physical memory is recommended.
-
I/O: Fast ATA/IDE 100 hard disk or equivalent SCSI drives are recommended.
-
Network adapter: 10MB minimum; 100MB or better is recommended.
-
The system partition and the install partition for WSUS must be formatted with the NTFS file system.
-
1GB minimum free space on the system partition is recommended.
-
2GB minimum free space on the volume on which the database files will be stored is recommended.
-
20GB minimum free space on the volume where the content will be stored; 30GB is recommended.
-
WSUS cannot be installed on compressed drives.
The current hardware
requirements for WSUS should be easily met if you are running Windows
Server 2008 R2. If you are not running Windows Server 2008 R2 as your
WSUS machine, it is possible to use Windows Server 2003 SP2 or later as
your WSUS server and install WSUS 3.0 SP2.
6. Get More Information on WSUS
WSUS is a great tool for
controlling the update process in your network. To understand its true
potential and the details associated with deploying and using WSUS, you
will want to get the WSUS 3.0 SP2 deployment guide, as well as the WSUS
step-by-step guides, available at http://technet.microsoft.com/en-us/wsus/default.aspx.
The information provided there will provide a strong base for using WSUS in your network.
С помощью сервера обновлений Windows Server Update Services (WSUS) вы можете развернуть собственную централизованную систему обновления продуктов Microsoft (операционных систем Widows, Office, SQL Server, Exchange и т.д.) на компьютерах и серверах в локальной сети компании. В этой статье мы рассмотрим, как установить и настроить сервер обновлений WSUS в Windows Server 2019/2016/2012R2.
Содержание:
- Установка роли WSUS в Windows Server
- Начальная настройка сервера обновлений WSUS в Windows Server
- Установка консоли администрирования WSUS в Windows 10/11
- Оптимизация производительности WSUS
Как работает WSUS?
Сервер WSUS реализован в виде отдельной роли Windows Server. В общих словах сервис WSUS можно описать так:
- После установки сервер WSUS по расписанию синхронизируется с серверами обновлений Microsoft Update в Интернете и скачивает новые обновления для выбранных продуктов;
- Администратор WSUS выбирает, какие обновления нужно установить на рабочие станции и сервера компании и одобряет их установку;
- Клиенты WSUS в локальной сети скачивают и устанавливают обновления с вашего сервера обновлений согласно настроенным политикам.
Установка роли WSUS в Windows Server
Начиная с Windows Server 2008, сервис WSUS выделен в отдельную роль, которую можно установить через консоль управления сервером или с помощью PowerShell.
Если вы развертываете новый сервер WSUS, рекомендуется сразу устанавливать его на последнем релизе Windows Server 2022 (возможна установка на Windows Serve Core).
Чтобы установить WSUS, откройте консоль Server Manager и отметьте роль Windows Server Update Services (система автоматически выберет и предложит установить необходимые компоненты веб сервера IIS).
В следующем окне нужно выбрать, какие компоненты WSUS нужно установить. Обязательно отметьте опцию WSUS Services. Две следующие опции зависят от того, какую базу данных вы планируете использовать для WSUS.
Настройки сервера, метаданные обновлений, информация о клиентах WSUS хранятся в базе данных SQL Server. В качестве базы данных WSUS вы можете использовать:
- Windows Internal Database (WID) – встроенную базу данных Windows, опция WID Connectivity (это рекомендуемый и работоспособный вариант даже для больших инфраструктур);
- Отдельную базу Microsoft SQL Server, развернутую на локальном или удаленном сервере. Вы можете использовать редакции MS SQL Enterprise, Standard (требуют лицензирования) или бесплатную Express редакцию. Это опция SQL Server Connectivity.
Внутреннюю базу Windows (Windows Internal Database) рекомендуется использовать, если:
- У вас отсутствуют лицензии MS SQL Server;
- Вы не планируется использовать балансировку нагрузки на WSUS (NLB WSUS);
- При развертывании дочернего сервера WSUS (например, в филиалах). В этом случае на вторичных серверах рекомендуется использовать встроенную базу WSUS.
В бесплатной SQL Server Express Edition максимальный размер БД ограничен 10 Гб. Ограничение Windows Internal Database – 524 Гб. Например, в моей инфраструктуре размер базы данных WSUS на 3000 клиентов составил около 7Гб.
При установке роли WSUS и MS SQL Server на разных серверах есть ряд ограничений:
- SQL сервер с БД WSUS не может быть контроллером домена Active Directory;
- Сервер WSUS нельзя разворачивать на хосте с ролью Remote Desktop Services.
База WID по умолчанию называется SUSDB.mdf и хранится в каталоге windir%\wid\data\. Эта база поддерживает только Windows аутентификацию (но не SQL). Инстанс внутренней (WID) базы данных для WSUS называется server_name\Microsoft##WID.
Базу WID можно администрировать через SQL Server Management Studio (SSMS), если указать в строке подключения
\\.\pipe\MICROSOFT##WID\tsql\query
.
Если вы хотите хранить файлы обновлений локально на сервере WSUS, включите опцию Store updates in the following locations и укажите путь к каталогу. Это может быть папка на локальном диске (рекомендуется использовать отдельный физический или логический том), или сетевой каталог (UNC путь). Обновления скачиваются в указанный каталог только после их одобрения администратором WSUS.
Размер базы данных WSUS сильно зависит от количества продуктов и версий ОС Windows, которое вы планируете обновлять. В большой организации размер файлов обновлений на WSUS сервере может достигать сотни Гб.
Если у вас недостаточно места на дисках для хранения файлов обновлений, отключите эту опцию. В этом случае клиенты WSUS будут получать одобренный файлы обновлений из Интернета (вполне рабочий вариант для небольших сетей).
Также вы можете установить сервер WSUS с внутренней базой данный WID с помощью PowerShell командлета Install-WindowsFeature:
Install-WindowsFeature -Name UpdateServices, UpdateServices-WidDB, UpdateServices-Services, UpdateServices-RSAT, UpdateServices-API, UpdateServices-UI –IncludeManagementTools
Начальная настройка сервера обновлений WSUS в Windows Server
После окончания установки роли WSUS вам нужно выполнить его первоначальную настройку. Откройте Server Manager и выберите Post-Deployment Configuration -> Launch Post-Installation tasks.
Для управления WSUS из командной строки можно использовать консольную утилиту
WsusUtil.exe
. Например, чтобы указать путь к каталогу с файлами обновлений WSUS, выполните:
CD "C:\Program Files\Update Services\Tools"
WsusUtil.exe PostInstall CONTENT_DIR=E:\WSUS
Или, например, вы можете перенастроить ваш WSUS на внешнюю базу данных SQL Server:
wsusutil.exe postinstall SQL_INSTANCE_NAME="SQLSRV1\SQLINSTANCEWSUS" CONTENT_DIR=E:\WSUS_Content
Затем откройте консоль Windows Server Update Services. Запустится мастер первоначальной настройки сервера обновлений WSUS.
Укажите, будет ли сервер WSUS скачивать обновления с сайта Microsoft Update напрямую (Synchronize from Microsoft Update) или он должен получать их с вышестоящего WSUS сервера (Synchronize from another Windows Update Services server). Дочерние WSUS сервера обычно развертываются на удаленных площадках с большим количеством клиентов (300+) для снижения нагрузки на WAN канал.
Если в вашей сети используется прокси-сервер для доступа в Интернет, далее нужно указать адрес и порт прокси сервера, и логин/пароль для аутентификации.
Проверьте подключение к вышестоящему серверу обновлений (или Windows Update). Нажмите кнопку Start Connecting.
Выберите языки продуктов, для которых WSUS будет получать обновления. Мы укажем English и Russian (список языков может быть в дальнейшем изменен из консоли WSUS).
Затем выберите продукты, для которых WSUS должен скачивать обновления. Выберите только те продукты Microsoft, которые используются в Вашей корпоративной сети. Например, если вы уверены, что в вашей сети не осталось компьютеров с Windows 7 или Windows 8, не выбирайте эти опции.
Обязательно включите в классификации следующие общие разделы:
- Developer Tools, Runtimes, and Redistributable — для обновления библиотек Visual C++ Runtime
- Windows Dictionary Updates в категории Windows
- Windows Server Manager – Windows Server Update Services (WSUS) Dynamic Installer
На странице Classification Page, нужно указать типы обновлений, которые будут распространяться через WSUS. Рекомендуется обязательно указать: Critical Updates, Definition Updates, Security Packs, Service Packs, Update Rollups, Updates.
Обновления редакций (билдов) Windows 10 (21H2, 20H2, 1909 и т.д.) в консоли WSUS входят в класс Upgrades.
Настройте расписание синхронизации обновлений. В большинстве случаев рекомендуется использовать автоматическую ежедневную синхронизацию сервера WSUS с серверами обновлений Microsoft Update. Рекомендуется выполнять синхронизацию в ночные часы, чтобы не загружать канал Интернет в рабочее время.
Первоначальная синхронизация сервера WSUS с вышестоящим сервером обновлений может занять несколько дней (в зависимости от количества продуктов, которое вы выбрали ранее).
После окончания работы мастера запустится консоль WSUS.
Консоль WSUS состоит из нескольких разделов:
- Updates – обновления, доступные на сервере WSUS (здесь можно управлять одобрением обновлений и назначать их для установки)
- Computers – здесь можно создать группы клиентов WSUS (компьютеры и серверы)
- Downstream Servers – позволяет настроить, будете ли вы получать из обновления Windows Update или вышестоящего сервера WSUS
- Syncronizations –расписание синхронизации обновлений
- Reports – отчёты WSUS
- Options – настройка сервера WSUS
Клиенты теперь могут получать обновления, подключившись к WSUS серверу по порту 8530 (в Windows Server 2003 и 2008 по умолчанию использоваться 80 порт). Проверьте, что этот порт открыт на сервере обновлений:
Test-NetConnection -ComputerName wsussrv1 -Port 8530
Можно использовать защищенное SSL подключение по порту 8531. Для этого нужно привязать сертификат в IIS.
Если порт закрыт, создайте соответствующее правило в Windows Defender Firewall.
Установка консоли администрирования WSUS в Windows 10/11
Для администрирования сервера обновления WSUS используется консоль Windows Server Update Services (
wsus.msc
). Вы можете управлять серверов WSUS как с помощью локальной консоли, так и по сети с удаленного компьютера.
Консоль администрирования WSUS для десктопных компьютеров с Windows 10 или 11 входит в состав RSAT. Для установки компонента Rsat.WSUS.Tool, выполните следующую PowerShell команду:
Add-WindowsCapability -Online -Name Rsat.WSUS.Tools~~~~0.0.1.0
Если вы хотите установить консоль WSUS в Windows Server, выполните команду:
Install-WindowsFeature -Name UpdateServices-Ui
При установке WSUS в Windows Server создаются две дополнительные локальные группы. Вы можете использовать их для предоставления доступа пользователям к консоли управления WSUS.
- WSUS Administrators
- WSUS Reporters
Для просмотра отчетов по установленным обновлениям и клиентам на WSUS нужно установить:
- Microsoft System CLR Types для SQL Server 2012 (SQLSysClrTypes.msi);
- Microsoft Report Viewer 2012 Runtime (ReportViewer.msi).
Если компоненты не установлен, при формировании любого отчета WSUS появится ошибка:
The Microsoft Report Viewer 2012 Redistributable is required for this feature. Please close the console before installing this package.
Оптимизация производительности WSUS
В этом разделе опишем несколько советов, касающихся оптимизации производительности сервера обновлений WSUS в реальных условиях.
- Для нормальной работы WSUS на сервере обновлений нужно должно быть свободным минимум 4 Гб RAM и 2CPU;
- При большом количестве клиентов WSUS (более 1500) вы можете столкнутся с существенным снижением производительность пула IIS WsusPoll, который раздает обновления клиентам. Может появляться ошибка 0x80244022 на клиентах, или при запуске консоль WSUS падать с ошибкой Error: Unexpected Error + Event ID 7053 в Event Viewer (The WSUS administration console has encountered an unexpected error. This may be a transient error; try restarting the administration console. If this error persists). Для решения проблемы нужно добавить RAM на сервер и оптимизировать настройки пула IIS в соответствии с рекомендациями в статье. Воспользуетесь такими командами:
Import-Module WebAdministration
Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name queueLength -Value 2500
Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name cpu.resetInterval -Value "00.00:15:00"
Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name recycling.periodicRestart.privateMemory -Value 0
Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name failure.loadBalancerCapabilities -Value "TcpLevel" - Включите автоматическое одобрения для обновлений антивируса Microsoft В противном случае WSUS станет существенно тормозить и потреблять всю доступную оперативную память.
Антивирусные проверки могут негативно влиять на производительность WSUS. Во встроенном Microsoft Defender антивирусе в Windows Server рекомендуется исключить следующие папки из области проверки:
- \WSUS\WSUSContent;
- %windir%\wid\data;
- \SoftwareDistribution\Download.
Введение
В предыдущих статьях данного цикла я рассказал о назначении и планировании WSUS-серверов в организации. Разумеется, вы имеете представление о назначении данной серверной роли и понимаете, насколько важны серверы обновлений в вашей организации. В этой статье мы с вами поговорим о начальном развертывании серверов обновлений, а именно об этапе подготовке сервера к установке данной роли, а также о самой установке первого WSUS-сервера в организации. Если быть точнее, то вы узнаете о минимальных требованиях на серверах, которые будут выполнять роль серверов обновлений, о первоначальной настройке брандмауэров, настройке веб-серверов IIS, а также о самом процессе установки и первоначальной настройке серверов обновлений Windows Server Update Services. У большинства читателей данной статьи может возникнуть вопрос: а что же, собственно, нового представляет собой роль WSUS в сервере Windows Sever 2008 R2? Ответ прост. К основным возможностям Windows Server Update Services можно отнести полную поддержку обновлений для операционных систем Windows 7 и Windows Server 2008 R2, поддержку BranchCache, который впервые появился в Windows Server 2008 R2, новые отчеты о состоянии компьютеров и обновлений, позволяющие выполнять гибкую фильтрацию обновлений, которые вы одобряете для установки, а также устранен ряд ошибок, которые были присущи в предшествующих версиях данной роли.
Требования, необходимые для работы серверов WSUS
Перед тем как заниматься развертыванием серверов обновлений вам следует убедиться в том, что ваш физический или виртуальный сервер поддерживает, по меньшей мере, минимальные системные требования. Сначала рассмотрим требования к аппаратному обеспечению для установки роли Windows Server Update Services в операционной системе Windows Server 2008. Эти требования предоставлены в следующей таблице:
| Комплектующая | Минимальные требования | Рекомендуемые требования |
| Процессор | 1 ГГц | 1,5 ГГц или более мощный |
| Оперативная память | 1 ГБ | 2 ГБ |
| Видеоадаптер | Видеоадаптер с 16 МБ и аппаратным ускорением PCI/AGP | |
| Файл подкачки | Объем, в 1,5 раза превышающий объем физической памяти | |
| Сетевой адаптер | 10 МБ | 100 МБ |
| Подсистема ввода/вывода | Быстрый жесткий диск ATA IDE на 100 ГБ или эквивалентный SCSI диск | |
| Свободное место | Не менее 1 ГБ свободного места в системном разделе | |
| Не менее 2 ГБ свободного места в разделе, в котором будут храниться файлы базы данных | ||
| Не менее 20 ГБ свободного места в разделе, в котором будет храниться содержимое. Рекомендуется 30 ГБ свободного места |
Например, для нормальной работы сервера обновлений в организации с 25 000 рабочих мест на сервер обновлений достаточно выделить один физический сервер с процессором не менее Intel Core 2 Quad Q6600 2,4 ГГЦ и 4 ГБ оперативной памяти. А для распространения обновлений на 100 000 рабочих мест лучше всего применять сценарий из двух идентичных серверов с процессорами Intel Core 2 6600 2,13 ГГЦ и 4 ГБ оперативной памяти объединив их в отказоустойчивый кластер. Как вы видите, для развертывания серверов обновлений не существует единственной рекомендуемой конфигурации оборудования. Все требования к оборудованию и базам данных зависят от того, как ваша организация будет использовать WSUS-сервер. Указанные выше данные вы можете применить для создания тестовых сценариев в целях выявления оптимального использования аппаратных решений. Также, при расчете аппаратной конфигурации для серверов обновлений, вам стоит руководствоваться количеством компьютеров в организации, частотой синхронизации с клиентскими компьютерами, количеством языков для обновлений клиентских систем, а также выбором между автономной установкой и созданием отказоустойчивых кластеров.
Перейдем от аппаратных требований к программным. Для нормального функционирования серверов обновлений, на вашем сервере необходимо наличие следующего программного обеспечения:
- Роль серверов обновлений WSUS поддерживают следующие операционные системы: Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 как минимум с пакетом обновления 2 (SP2), Windows Small Business Server 2008 или 2003, Windows 7, WindowsVista или Windows XP с пакетом обновления 2 (SP2);
- Для всех задач передачи файлов, включая загрузку обновлений на клиентов и синхронизацию серверов, WSUS использует протокол «Фоновой интеллектуальной службы передачи» (BITS). Данная служба передает файлы в фоновом режиме работы, используя не занятую пропускную способность сети. Если роль WSUS развертывается на операционной системе Windows Server 2003, то вам нужно будет загрузить из Центра загрузки Microsoft обновление для BITS 2.0 и WinHTTP 5.1;
- Если роль развертывается на операционной системе Windows Server 2003, то вам нужно еще загрузить из Центра загрузки Microsoft и установить консоль управления ММС 3.0 (обновление KB907265). Стоит обратить внимание на то, что для 32- и 64-разрядных операционных систем вам нужно загружать разные версии данного обновления;
- Также, если роль WSUS развертывается на операционной системе Windows Server 2003 вам понадобиться пакет Microsoft .NET Framework не ниже версии 2.0. В операционных системах Windows Server 2008 и Windows Server 2008 R2 обновления для .NET Framework 2.0, BITS 2.0 и MMC 3.0 входят в состав самой операционной системы;
- Элемент управления Microsoft Report Viewer 2008, который предназначен для отображения отчетов приложений, разработанных на платформе .NET Framework. Установка данного компонента очень простая, поэтому не будем останавливаться на самом процессе установки Microsoft Report Viewer;
- Службы Microsoft Internet Information Services (IIS) 7.0 (7.5) для операционной системы Windows Server 2008/2008 R2 или Microsoft Internet Information Services (IIS) для операционной системы Windows Server 2003. В случае установки IIS 7 вам нужно убедиться, что включены следующие компоненты: проверка подлинности Windows, ASP.NET, совместимость управления 6.0, совместимость с метабазой IIS. Обратите внимание, что на 64-разрядной платформе все компоненты IIS должны быть установлены в основном режиме и, если какие-либо компоненты работают в режиме 32-разрядной совместимости, то установка WSUS 3.0 может закончиться неудачей. Установка IIS будет рассмотрена далее в данной статье;
- Антивирусное программное обеспечение может блокировать доступ к некоторым файлам, из-за чего установка данной роли может завершиться неудачей. Поэтому, если вы используете антивирусное ПО от разработчиков третьей стороны, для успешной установки, вам может потребоваться отключить антивирусное программное обеспечение и перезагрузить компьютер. После успешной установки роли обязательно включите антивирусное программное обеспечение;
- Серверы WSUS поддерживают работу SQL Server как на компьютере, выполняющем роль WSUS, так и на удаленных серверах. Перед установкой WSUS-сервера убедитесь, что SQL сервер не установлен на контроллере домена, но данный сервер входит в домен службы каталогов Active Directory. Поддерживаемые версии SQL Server 2005 с пакетом обновления 2 (SP2) или SQL Server 2008 вы можете загрузить из Центра загрузки Microsoft.
Установка на сервер роли WSUS
После того как вы убедитесь, что ваши аппаратные требования сервера удовлетворяют требованиям для установки, а также на данном сервере установлено все требуемое программное обеспечение, вы можете начать установку WSUS. На текущем сервере вам следует выполнить вход под учетной записью администратора, так как установку роли серверов обновлений могут выполнять лишь члены данной группы. Для окончательной установки роли WSUS, нам нужно сначала установить SQL сервер, затем установить саму роль Windows Server Update Services, а потом, используя мастер настройки WSUS отконфигурировать данный сервер.
Установка SQL сервера
Так как SQL сервер не входит в состав операционных систем Windows Server, прежде чем устанавливать SQL сервер на компьютер, который будет выполнять роль сервера обновлений, загрузите SQL Server из Центра загрузки Microsoft. Установка SQL сервера довольно простая. В данном случае устанавливается Microsoft SQL Server 2008. Для того чтобы установить его, выполните следующие действия:
- Запустите на выполнение загруженный файл установщика SQL сервера;
- В окне «SQL Server Installation Center» переключитесь на вкладку «Installation», а затем перейдите по ссылке «New SQL Server stand-alone installation or add features to an existing installation», как показано ниже:
Рис. 1. Главное окно инсталлятора SQL Server Installation Center
- На странице «Setup Support Rules» мастера установки посмотрите, не было ли найдено ошибок. Если перед установкой были обнаружены ошибки, закройте окно мастера, исправьте сами ошибки, а затем заново запустите мастер установки. В итоге вы должны увидеть следующее окно:
Рис. 2. Страница «Setup Support Rules» мастера установки SQL Server
- На следующей странице мастера установки введите ключ продукта и нажмите на кнопку «Next»;
- На странице «License Terms» прочтите лицензионные соглашения, установите флажок на опции «I accept the license terms» и нажмите на кнопку «Next»;
Рис. 3. Страница «License Terms» мастера установки SQL Server
- На следующей странице, странице «Setup supported files» нажмите на кнопку «Install».
Рис. 4. Страница «Setup Support Files» мастера установки SQL Server
- На странице «SQL Server 2008 Setup» просмотрите информацию о возможных предупреждениях и ошибках. Если у вас таковые отсутствуют, нажмите на кнопку «Next»;
- На странице «Feature Selection» установите флажок на опции «Database Engine Services» и нажмите на кнопку «Next»;
Рис. 5. Страница «Feature Selection» мастера установки SQL Server
- На странице «Instance Configuration» введите название своего экземпляра и нажмите на кнопку «Next»;
Рис. 6. Страница «Instance Configuration» мастера установки SQL Server
- На странице «Disk Space Requirements» просмотрите сводную информацию по требованиям для хранилища и, в случае необходимости, устраните существующие проблемы;
- На странице «Server Configuration» укажите учетную запись, которая будет использоваться для служб SQL сервера и нажмите на кнопку «Next»;
Рис. 7. Страница «Server Configuration» мастера установки SQL Server
- На следующей странице мастера укажите администратора SQL сервера и путь к папкам, отвечающим за базы данных, после чего нажмите на кнопку «Next». На странице «Error and Usage Reporting», по желанию, вы можете установить соответствующие флажки, а на странице «Installation Rules» просмотрите, не возникли ли у вас дополнительные проблемы, которые могут препятствовать установке SQL сервера;
Рис. 8. Страница «Installation Rules» мастера установки SQL Server
- На странице «Ready to Install» просмотрите устанавливаемые компоненты и нажмите на кнопку «Install». По завершении установки нажмите на кнопку «Next» и на «Complete» закройте мастер установки по нажатию на кнопку «Close».
Рис. 9. Страница «Installation Progress» мастера установки SQL Server
Установка роли WSUS
На этом этапе вам предстоит установить саму роль Windows Server Update Services. Процесс установки данной роли очень простой. Для того чтобы установить на ваш сервер роль WSUS, выполните следующие действия:
- Откройте консоль «Диспетчер сервера». Если после загрузки операционной системы окно диспетчера сервера не открылось, в меню «Пуск» откройте подменю «Администрирование», а затем выберите команду «Диспетчер сервера». В окне консоли «Диспетчер сервера» нажмите на кнопку «Добавить роли» в разделе «Сводка по ролям». Также вы можете в дереве консоли нажать правой кнопкой мыши на узле «Роли» и из контекстного меню выбрать команду «Добавить роли»;
- Откроется диалоговое окно «Мастер добавления ролей». На первой странице мастера вы можете узнать краткую информацию о назначении данного мастера. Если вы не хотите впредь видеть этот шаг, установите флажок на опции «Пропустить эту страницу по умолчанию». Ознакомьтесь с информацией, приведенной на этом шаге, после чего нажмите на кнопку «Далее»;
- На странице «Выбор ролей сервера» вам предоставляется выбор ролей, которые будут установлены на вашем сервере. Одновременно вы можете выбрать как одну, так и несколько ролей. В данном случае установите флажок на опции «Windows Server Update Services», ознакомьтесь с информацией, указанной в области «Описание». После установки флажка откроется окно мастера добавления ролей «Windows Server Update Services требует наличие служб ролей», где вы можете просмотреть, какие роли требуются для работы данной технологии. Это просто информационное диалоговое окно, в котором вам нужно подтвердить установку требуемых компонентов, то есть, нажмите на кнопку «Добавить требуемые службы роли». Нажмите на кнопку «Далее»;
Рис. 10. Мастер добавления ролей, требуемых для установки WSUS
- На странице «Веб-сервер (IIS)» вы также можете ознакомиться с технологией Internet Information Server, перейдя по ссылкам в разделе «Дополнительные сведения». Нажмите на кнопку «Далее»;
- На странице «Выбор служб ролей» роли IIS оставьте все выбранные компоненты без изменений. Все они необходимы для полноценной работы сервера обновлений WSUS. При необходимости вы можете добавить для установки дополнительные компоненты. Ознакомьтесь со всеми выбранными компонентами по умолчанию и нажмите на кнопку «Далее»;
Рис. 11. Страница «Выбор ролей сервера» мастера добавления ролей
- На странице «Windows Server Update Services» вы также можете ознакомиться с технологией WSUS, перейдя по ссылкам в разделе «Дополнительные сведения». Нажмите на кнопку «Далее»;
- На странице «Подтверждение выбранных элементов для установки» просмотрите сводную информацию и нажмите на кнопку «Установить»;
Рис. 12. Страница подтверждения выбранных элементов
- На странице «Ход выполнения установки» мастер добавления ролей предоставляет вам возможность следить за процессом установки ролей веб-сервера и сервера WSUS. Для завершения установки роли «Windows Server Update Services», мастер добавления ролей вызовет диалоговое окно мастера установки служб WSUS, при помощи которого вы можете завершить установку своего сервера обновлений. О данном этапе вы узнаете из следующего раздела данной статьи.
Завершение установки WSUS-сервера
После установки компонентов роли Windows Server Update Services автоматически запустится диалоговое окно «Мастер установки служб Windows Server Update Services 3.0 с пакетом обновления 2 (SP2)» при помощи которого вы можете завершить установку своего сервера обновлений. Для того чтобы настроить свой WSUS-сервер, выполните следующие действия:
- На первой странице мастера ознакомьтесь с предоставленной информацией и нажмите на кнопку «Далее»;
Рис. 13. Первая страница мастера установки служб WSUS
- На странице «Лицензионное соглашение» ознакомьтесь с соглашением, после чего установите переключатель на опцию «Я принимаю условие лицензионного соглашения» и нажмите на кнопку «Далее»;
- На следующей странице, странице «Выбор источника обновлений» вам нужно указать диск, который будет использоваться в качестве хранилища обновлений, обеспечивая их быструю загрузку на клиентские компьютеры. На этом этапе выберите специально выделенный раздел, предназначенный непосредственно для хранилища обновлений. По умолчанию флажок «Хранить обновления локально» установлен и обновления будут храниться на сервере WSUS в указанном вами месте. Если же вы снимите данный флажок, то клиентские компьютеры будут получать одобренные вами обновления, подключаясь, непосредственно, к центру обновлений Microsoft. В данном случае обновления загружаются на системный раздел, но в производственной среде так ни в коем случае делать нельзя;
Рис. 14. Страница «Выбор источника обновлений» мастера установки служб WSUS
- На странице «Параметры базы данных» вам нужно выбрать базу данных, которая будет использоваться WSUS-сервером. На этом этапе вы можете выбрать внутреннюю базу данных Windows, которая выбрана по умолчанию, базу данных SQL сервера на локальном или удаленном компьютерах. В том случае, если вам нужно указать путь к базе данных на удаленном компьютере, введите имя экземпляра в соответствующее поле. Указывать имя экземпляра нужно в следующем виде: <ServerName>\<instanceName>, где serverName представляет собой имя сервера баз данных, а instanceName, соответственно, имя самого экземпляра. Так как мы на первом этапе устанавливали SQL сервер, устанавливаем переключатель на опцию «Существующий сервер баз данных на этом компьютере» и из соответствующего списка выбираем нужную базу (в данном случае — WSUS);
Рис. 15. Страница «Параметры базы данных» мастера установки служб WSUS
Процесс подключения к SQL серверу может у вас занять некоторое время. Если серверу WSUS удастся успешно подключиться к SQL-серверу, вы увидите сообщение, которое отображено на следующей иллюстрации. Если же у вас возникнут проблемы при подключении к серверу базы данных, проверьте доступность и работоспособность своего SQL сервера. Когда подключение будет успешно выполнено, для продолжения нажмите кнопку «Далее».
Рис. 16. Страница «Подключение к SQL-серверу» мастера установки служб WSUS
- На странице «Выбор веб-узла» вы можете указать веб-сайт, предназначенный для использования сервера WSUS. Если на данном сервере будет расположен только стандартный сайт сервера обновлений, находящийся на порту 80, достаточно будет установить переключатель на опции «Использовать существующий веб-узел IIS по умолчанию». Если же на 80 порту ранее был создан веб-сайт, вы можете привязать веб-сайт WSUS на порт 8530, выбрав опцию «Создать веб-сайт служб Windows Server Update Services с пакетом обновления 2 (SP2)». Так как в нашем случае веб-сервер устанавливался вместе с ролью WSUS, выбираем первую опцию. После того как вы сделаете выбор, нажмите на кнопку «Далее»;
Рис. 17. Страница «Выбор веб-узла» мастера установки служб WSUS
- На странице «Мастер готов к установке служб Windows Server Update Services с пакетом обновления 2 (SP2)» пересмотрите еще раз выбранные вами параметры и если вы все ранее указали правильно, нажмите на кнопку «Далее»;
Рис. 18. Страница подготовки к установке служб мастера установки служб WSUS
- После того как мастер завершит установку выбранных вами параметров, на последней странице мастера установки будет отображено, успешно ли он завершил свою работу. Если установка пройдет без непредвиденных обстоятельств, по нажатию на кнопку «Готово» будет автоматически запущен мастер настроек WSUS.
Рис. 19. Установка служб Windows Server Update Services
Продолжение слудует
Installation Steps:
- Launch the installer, click next
- Choose the “Full server installation including Administration Console”
- Installer will do a pre-requisite checks and gives you details of missing components if any
- Accept the EULA
- You’ll be prompted about the optional component required for reporting and you can have it installed later as well
- Specify the location where you’d like to have the downloaded updates files to be placed on the server, the default path would be C:WSUS.
- You can uncheck the “Store Updates Locally” option in which case all your clients will download the updates directly from the Microsoft Update servers. This option would be helpful for branch offices running over slow WAN link to contact WSUS server at main office instead they can contact the local Microsoft servers for faster responses
- Choose the DB (internal mdb or local/remote SQL)
- Choose the IIS site to be used for hosting the WSUS web site, leave to default web site if that server is not already running any other web sites on it
- Review the settings chosen
- Click Finish
- Then you’ll be presented with the WSUS Configuration Wizard
- Configuring WSUS server:
<ol> <li>Before proceeding to configure the WSUS server, you need to ensure below environment set</li> </ol><ol> <li>Firewall is configured to let Clients access the server</li> <li>Server is configured (Firewall) to access it upstream servers (this would be Microsoft updates server if it’s your first WSUS server)</li> <li>Have the credentials for Proxy server if needed</li> <a href="http://gunnalag.files.wordpress.com/2012/04/image49.png"><img style="background-image:none;border-bottom:0;border-left:0;padding-left:0;padding-right:0;display:inline;border-top:0;border-right:0;padding-top:0;" title="image" border="0" alt="image" src="http://gunnalag.files.wordpress.com/2012/04/image_thumb49.png" width="600" height="526" /></a></ol> <li>Select if you’d like to “Join the Microsoft Update Improvement Program”<a href="http://gunnalag.files.wordpress.com/2012/04/image50.png"><img style="background-image:none;border-bottom:0;border-left:0;padding-left:0;padding-right:0;display:inline;border-top:0;border-right:0;padding-top:0;" title="image" border="0" alt="image" src="http://gunnalag.files.wordpress.com/2012/04/image_thumb50.png" width="600" height="523" /></a></li> <li>Specify the Upstream server from where this WSUS server will attempt to download the updates<a href="http://gunnalag.files.wordpress.com/2012/04/image51.png"><img style="background-image:none;border-bottom:0;border-left:0;padding-left:0;padding-right:0;display:inline;border-top:0;border-right:0;padding-top:0;" title="image" border="0" alt="image" src="http://gunnalag.files.wordpress.com/2012/04/image_thumb51.png" width="600" height="526" /></a></li> <ol> <li>For your first WSUS server install, you’d choose the first option that is “Synchronize from Microsoft Update”</li> <li>If your network already have a WSUS server then you can use that as the upstream server for WSUS servers in branch office by selecting “Synchronize from another WSUS”</li> <li>If you choose “This is a replica of the upstream server” it simply becomes a mirror image of your upstream server and will have approvals, settings, computers and groups from its upstream/parent server.  Updates can be approved only from the Upstream server</li> </ol> <li>If you have a proxy server setup for accessing Upstream server or internet, then specify the proxy server details here<a href="http://gunnalag.files.wordpress.com/2012/04/image52.png"><img style="background-image:none;border-bottom:0;border-left:0;padding-left:0;padding-right:0;display:inline;border-top:0;border-right:0;padding-top:0;" title="image" border="0" alt="image" src="http://gunnalag.files.wordpress.com/2012/04/i
mage_thumb52.png” width=”600″ height=”528″ />
