WSUS

Что такое WSUS?

WSUS также известен как Windows Server Update Services - помогает распространять обновления, исправления и другие релизы, доступные в Центре обновления Майкрософт(Microsoft Update). WSUS используется для надежного и безопасного управления, распространения и установки обновлений для продуктов Microsoft в ИТ-сети организации.

Как работает WSUS?

WSUS работает как роль Windows Server. Можно развернуть один или несколько серверов WSUS в зависимости от количества клиентских компьютеров, включая серверы, обновлениями которых нужно управлять через WSUS, и других технических соображений в ИТ-сети организации.

Если развернуть более одного сервера WSUS, можно подключить один или несколько серверов WSUS к Центру обновления Майкрософт. Серверы, подключенные к Центру обновления Майкрософт, могут служить источником обновлений для других серверов WSUS в ИТ-сети.

Серверы WSUS, предоставляющие обновления другим серверам WSUS, называются вышестоящими серверами. Можно ограничить количество вышестоящих серверов до одного, поскольку один сервер WSUS может синхронизировать все остальные серверы WSUS. Этот подход также помогает ограничить количество серверов WSUS, подключенных к Интернету.

Однако, если несколько нижестоящих серверов пытаются синхронизироваться с вышестоящим сервером одновременно, это может привести к проблемам с пропускной способностью и производительностью интрасети. Таким образом, процесс синхронизации должен быть оптимизирован для эффективной работы.

Режимы сервера WSUS

Можно развернуть серверы WSUS в двух разных режимах:

1. Autonomous Mode (Автономный режим) это вариант установки по умолчанию для служб обновления Windows Server, который помогает реализовать распределенное администрирование. Сервер WSUS, настроенный в этом режиме, получает обновления только с вышестоящего сервера, но нужно отдельно проверять, утверждать и распространять обновления на клиентские машины, подключенные к этому серверу.

1. Replica Mode (Режим реплики) Этот режим помогает реализовать централизованное администрирование. Не нужно отдельно управлять серверами WSUS, развернутыми в этом режиме. Эти серверы получают обновления, статусы утверждения и политики распространения с вышестоящего сервера.

Преимущества WSUS

Microsoft регулярно выпускает несколько обновлений для своих продуктов, в том числе критические обновления, обновления безопасности, драйверы, пакеты обновлений и инструменты. Установка этих обновлений на клиентские компьютеры необходима для устранения уязвимостей в системе безопасности и обеспечения правильной работы клиентских компьютеров.

Однако просмотр, утверждение и установка обновлений вручную — утомительный и трудоемкий процесс. Более того, ручное обеспечение большому количеству машин соответствующих обновлений чревато ошибками и может сделать ИТ-среду уязвимой для киберугроз.

С помощью служб обновления Windows Server можно централизовать и автоматизировать управление обновлениями для продуктов Microsoft. Это поможет определить, как и когда распространять обновления, а также какие компьютеры требуют определенного обновления.

Также можно сканировать клиентские компьютеры, ожидающие установки обновлений, и планировать обновления, не прерывая производительность сотрудников. Этот подход также помогает сэкономить пропускную способность корпоративного Интернета, поскольку серверы WSUS используют корпоративную локальную сеть для распространения обновлений.

Поскольку WSUS является компонентом серверной роли операционной системы Windows Server, для него не требуется дополнительное лицензирование.

Возможные ограничения WSUS

Известно, что службы Windows Server Update Services имеют три основных ограничения, с которыми можно столкнуться:

1. WSUS можно запускать только на Windows Server. В зависимости от масштаба ИТ-инфраструктуры может потребоваться приобретение значительного количества дополнительных лицензий Windows Server.
2. Хотя службы Windows Server Update Services могут распространять обновления для продуктов Microsoft, их способность поддерживать сторонние программные приложения ограничена, а распространение сторонних обновлений с помощью WSUS может создать лишнюю нагрузку.
3. Службы Windows Server Update Services не поддерживают клиентские компьютеры с операционными системами, отличными от Windows, такими как Linux или macOS. Это означает, что придется полагаться на дополнительные решения по управлению исправлениями для управления компьютерами, отличными от Windows, в ИТ-среде.

Установка роли WSUS в Windows Server

Сервис WSUS можно установить через консоль Server Manager или с помощью PowerShell. Для установки в Server Manager нужно выбрать Manage > Add Roles and Features

В списке Server Roles нужно выбрать Windows Server Update Services.

Система автоматически выберет и предложит установить необходимые компоненты веб сервера IIS.

В качестве базы данных WSUS вы можете использовать:

• Windows Internal Database (WID) – встроенная база данных Windows, опция WID Connectivity (это рекомендуемый и работоспособный вариант даже для больших инфраструктур);
• Отдельная база Microsoft SQL Server, развернутая на локальном или удаленном сервере.

---

Также вы можете установить сервер WSUS с внутренней базой данный WID с помощью PowerShell:

Install-WindowsFeature -Name UpdateServices, UpdateServices-WidDB, UpdateServices-Services, UpdateServices-RSAT, UpdateServices-API, UpdateServices-UI –IncludeManagementTools

Настройка сервера обновлений WSUS в Windows Server

После окончания установки роли WSUS нужно выполнить его первоначальную настройку. В Server Manager нужно нажать на флажок и выбрать Post-Deployment Configuration > Launch Post-Installation tasks.

Затем нужно открыть консоль Windows Server Update Services. Запустится мастер первоначальной настройки сервера обновлений WSUS.

В настройках можно настроить будет ли сервер WSUS скачивать обновления с сайта Microsoft Update напрямую (Synchronize from Microsoft Update) или он должен получать их с вышестоящего WSUS сервера (Synchronize from another Windows Update Services server), выбрать языки продуктов, для которых WSUS будет получать обновления и продукты, для которых WSUS должен скачивать обновления. Первоначальная синхронизация сервера WSUS с сервером обновлений может занять несколько дней (в зависимости от количества продуктов, которое выбрали ранее).

После окончания работы мастера запустится консоль WSUS. Консоль WSUS состоит из нескольких разделов:

• Updates – обновления, доступные на сервере WSUS (здесь можно управлять одобрением обновлений и назначать их для установки)
• Computers – здесь можно создать группы клиентов WSUS (компьютеры и серверы)
• Downstream Servers – позволяет настроить, будете ли вы получать из обновления Windows Update или вышестоящего сервера WSUS
• Syncronizations –расписание синхронизации обновлений
• Reports – отчёты WSUS
• Options – настройка сервера WSUS

Установка консоли администрирования WSUS в Windows 10/11

Для администрирования сервера обновления WSUS используется консоль Windows Server Update Services wsus.msc. Можно управлять серверов WSUS как с помощью локальной консоли, так и по сети с удаленного компьютера.

Консоль администрирования WSUS для компьютеров с Windows 10 или 11 входит в состав RSAT. Для установки компонента Rsat.WSUS.Tool, нужно выполнить следующую PowerShell команду:

Add-WindowsCapability -Online -Name Rsat.WSUS.Tools˜˜˜˜0.0.1.0

Если нужно установить консоль WSUS в Windows Server, выполните команду:

Install-WindowsFeature -Name UpdateServices-Ui<\code>