WSUS

Что такое WSUS?

WSUS также известен как Windows Server Update Services - помогает распространять обновления, исправления и другие релизы, доступные в Центре обновления Майкрософт(Microsoft Update). Вы можете использовать WSUS для надежного и безопасного управления, распространения и установки обновлений для продуктов Microsoft в ИТ-сети организации.

Как работает WSUS?

WSUS работает как роль Windows Server. Вы можете развернуть один или несколько серверов WSUS в зависимости от количества клиентских компьютеров, включая серверы, обновлениями которых вы хотите управлять через WSUS, и других технических соображений в ИТ-сети вашей организации.

Если вы развертываете более одного сервера WSUS, вы можете подключить один или несколько серверов WSUS к Центру обновления Майкрософт. Серверы, подключенные к Центру обновления Майкрософт, могут служить источником обновлений для других серверов WSUS в ИТ-сети.

Серверы WSUS, предоставляющие обновления другим серверам WSUS, называются вышестоящими серверами. Вы можете ограничить количество вышестоящих серверов до одного, поскольку один сервер WSUS может синхронизировать все остальные серверы WSUS. Этот подход также помогает ограничить количество серверов WSUS, подключенных к Интернету.

Однако, если несколько нижестоящих серверов пытаются синхронизироваться с вышестоящим сервером одновременно, это может привести к проблемам с пропускной способностью и производительностью интрасети. Таким образом, вы должны оптимизировать процесс синхронизации для эффективной работы.

При необходимости вы можете развернуть несколько серверов WSUS в многоуровневой иерархии, чтобы более эффективно распространять обновления на клиентские компьютеры, расположенные в разных географических точках. Если вы также управляете мобильными устройствами, которые нечасто подключаются к ИТ-сети вашей организации и выходят из нее, вы можете разрешить им получать обновления с ближайшего сервера WSUS.

После того как вы завершили архитектуру и настроили восходящий и нисходящий серверы, вы должны разрешить и подключить клиентские машины для получения обновлений с серверов WSUS. Соответственно, всякий раз, когда доступны обновления, вы можете просматривать и тестировать эти обновления, а затем распространять их на определенные клиентские машины. Вы также можете определить группы для управления клиентскими машинами по категориям и распространения обновлений на основе групповых политик.

Режимы сервера WSUS

Вы можете развернуть серверы WSUS в двух разных режимах:

1. Autonomous Mode (Автономный режим) это вариант установки по умолчанию для служб обновления Windows Server, который помогает реализовать распределенное администрирование. Сервер WSUS, настроенный в этом режиме, получает обновления только с вышестоящего сервера, но вы должны отдельно проверять, утверждать и распространять обновления на клиентские машины, подключенные к этому серверу.

1. Replica Mode (Режим реплики) Этот режим помогает реализовать централизованное администрирование. Вам не нужно отдельно управлять серверами WSUS, развернутыми в этом режиме. Эти серверы получают обновления, статусы утверждения и политики распространения с вышестоящего сервера.

Преимущества WSUS

Microsoft регулярно выпускает несколько обновлений для своих продуктов, в том числе критические обновления, обновления безопасности, драйверы, пакеты обновлений и инструменты. Установка этих обновлений на клиентские компьютеры необходима для устранения уязвимостей в системе безопасности и обеспечения правильной работы клиентских компьютеров.

Однако просмотр, утверждение и установка обновлений вручную — утомительный и трудоемкий процесс. Более того, ручное обеспечение получения всеми клиентскими машинами соответствующих обновлений чревато ошибками и может сделать вашу ИТ-среду уязвимой для киберугроз.

С помощью служб обновления Windows Server можно централизовать и автоматизировать управление обновлениями для продуктов Microsoft. Это поможет вам определить, как и когда распространять обновления, а также какие машины требуют определенного обновления.

Вы также можете сканировать клиентские компьютеры, ожидающие установки обновлений, и планировать обновления, не прерывая производительность сотрудников. Этот подход также помогает сэкономить пропускную способность корпоративного Интернета, поскольку серверы WSUS используют вашу корпоративную интрасеть для распространения обновлений.

Если вы поддерживаете нижестоящий сервер в другом филиале, вы можете разрешить нижестоящему серверу в вашем филиале получать обновления непосредственно из Центра обновления Майкрософт. При таком подходе вы можете преодолеть ограничения пропускной способности между вашим центральным офисом и филиалом.

Поскольку WSUS является компонентом серверной роли операционной системы Windows Server, для него не требуется дополнительное лицензирование, если вы уже приобрели лицензии Windows Server.

Возможные ограничения WSUS

Известно, что службы Windows Server Update Services имеют три основных ограничения, с которыми вы можете столкнуться:

1. Вы можете запускать WSUS только на Windows Server. В зависимости от масштаба вашей ИТ-инфраструктуры может потребоваться приобретение значительного количества дополнительных лицензий Windows Server.
2. Хотя службы Windows Server Update Services могут распространять обновления для продуктов Microsoft, их способность поддерживать сторонние программные приложения ограничена, а распространение сторонних обновлений с помощью WSUS может создать лишнюю нагрузку.
3. Службы Windows Server Update Services не поддерживают клиентские компьютеры с операционными системами, отличными от Windows, такими как Linux или macOS. Это означает, что вам придется полагаться на дополнительные решения по управлению исправлениями для управления компьютерами, отличными от Windows, в вашей ИТ-среде.

Установка роли WSUS в Windows Server

Сервис WSUS можно установить через консоль Server Manager или с помощью PowerShell. Для установки в Server Manager нужно выбрать Manage > Add Roles and Features

В списке Server Roles нужно выбрать Windows Server Update Services.

Система автоматически выберет и предложит установить необходимые компоненты веб сервера IIS.

В качестве базы данных WSUS вы можете использовать:

• Windows Internal Database (WID) – встроенная база данных Windows, опция WID Connectivity (это рекомендуемый и работоспособный вариант даже для больших инфраструктур);
• Отдельная база Microsoft SQL Server, развернутая на локальном или удаленном сервере.

---

Также вы можете установить сервер WSUS с внутренней базой данный WID с помощью PowerShell:

Install-WindowsFeature -Name UpdateServices, UpdateServices-WidDB, UpdateServices-Services, UpdateServices-RSAT, UpdateServices-API, UpdateServices-UI –IncludeManagementTools

Настройка сервера обновлений WSUS в Windows Server

После окончания установки роли WSUS нужно выполнить его первоначальную настройку. В Server Manager нужно нажать на флажок и выбрать Post-Deployment Configuration > Launch Post-Installation tasks.

Затем нужно открыть консоль Windows Server Update Services. Запустится мастер первоначальной настройки сервера обновлений WSUS.

В настройках можно настроить будет ли сервер WSUS скачивать обновления с сайта Microsoft Update напрямую (Synchronize from Microsoft Update) или он должен получать их с вышестоящего WSUS сервера (Synchronize from another Windows Update Services server), выбрать языки продуктов, для которых WSUS будет получать обновления и продукты, для которых WSUS должен скачивать обновления. Первоначальная синхронизация сервера WSUS с сервером обновлений может занять несколько дней (в зависимости от количества продуктов, которое выбрали ранее).

После окончания работы мастера запустится консоль WSUS. Консоль WSUS состоит из нескольких разделов:

• Updates – обновления, доступные на сервере WSUS (здесь можно управлять одобрением обновлений и назначать их для установки)
• Computers – здесь можно создать группы клиентов WSUS (компьютеры и серверы)
• Downstream Servers – позволяет настроить, будете ли вы получать из обновления Windows Update или вышестоящего сервера WSUS
• Syncronizations –расписание синхронизации обновлений
• Reports – отчёты WSUS
• Options – настройка сервера WSUS

Установка консоли администрирования WSUS в Windows 10/11

Для администрирования сервера обновления WSUS используется консоль Windows Server Update Services wsus.msc. Можно управлять серверов WSUS как с помощью локальной консоли, так и по сети с удаленного компьютера.

Консоль администрирования WSUS для компьютеров с Windows 10 или 11 входит в состав RSAT. Для установки компонента Rsat.WSUS.Tool, нужно выполнить следующую PowerShell команду:

Add-WindowsCapability -Online -Name Rsat.WSUS.ToolsGrisinao (talk) 11:15, 6 October 2022 (EEST)0.0.1.0

Если нужно установить консоль WSUS в Windows Server, выполните команду:

Install-WindowsFeature -Name UpdateServices-Ui<\code>