欢迎光临亚游平台官网,亚游会游戏平台,亚洲最佳游戏平台
亚游平台官网,亚游会游戏平台,亚洲最佳游戏平台 > 技术文章 >
技术文章
WSUS补丁服务器部署详细

  为了让用户的windows系统与其他microsoft产品能够更安全,更稳定,因此microsoft会不定期在网站上推出最新的更新程序供用户下载与安装,而用户可以通过以下方式来取得这些程序:

  WSUS是一个可以解决上述问题的产品,企业内部可以通过WSUS服务器集中从Microsoft update网站下载更新程序,并且在完成这些更新程序的测试工作,确定对企业内部计算机没有不良影响后,在通过网管审批程序,将程序部署到客户机上。

  对于基本WSUS架构来说,WSUS服务器与客户端计算机都必须满足适当的条件才能享受WSUS的好处。

  可以在windows server 2012内通过新增角色的方式来安装WSUS。安装WSUS之前,需要安装以下组件。

  注:WSUS服务器的系统分区与安装WSUS的磁盘分区的文件系统都必须是NTFS。

  WSUS客户端计算机必须支持自动更新功能,Windows 2000 sp4以后的客户端都支持。

  可以利用WSUS服务器内置的WSUS管理控制台执行WSUS服务器的管理工作,还可以在其他计算机上管理WSUS服务器。不过,需要在这些计算机上安装WSUS控制台,但是这些计算机必须已安装下列组件:

  如果能够将企业内部客户端计算机适当分组,就可以更容易与明确地将更新程序部署到指定计算机上。系统默认内置2个计算机组,即所有计算机与未分配的计算机,客户端计算机在第一次与WSUS服务器接触时,系统默认会见该计算机加入者2个组内。可以在添加更多的组。可以创建测试计算机组,新的补丁部署到测试计算机组,没有问题在应用到业务计算机组内。

  也可以创建更复杂的WSUS服务器架构,也就是创建多台WSUS服务器,并设置让其中一台WSUS服务器从microsoft 网站获取更新程序,但是其他服务器并不直接连接Microsoft网站,而是从上游的组服务器来获取程序,而下游服务器从上游服务器获得更新程序。

  :上游WSUS服务器会与下游服务器共享更新程序,也就是下游服务器会从上游服务器获取更新程序,但是并不包含更新程序的审批状态,计算机组信息。因此下游服务器必须自行决定是否要审批这些更新程序与自行创建所需的计算机组。

  :上游服务器会与下游服务器共享更新程序,更新审批与计算机组信息。下游服务器可以获取上游服务器的数据,所有可以在上游服务器管理的项目都无法在下游服务器自行管理,例如不能自行更改新程序的审批状态等。

  注意,上述计算机组信息只有计算机组本身而已,并且不包含计算机组的成员,必须自行在下游服务器来管理组成员,而客户端计算机在第一次与下游WSUS服务器接触时,这些计算机会默认被同时加入到所有计算机和未分配计算机组内。

  采用上下游WSUS服务器串接架构,还需要考虑到不同语言的更新,例如,如果上游服务器在总部,总部需要简体中文的程序,而下游架设在分公司,分公司需要的语言是英文,虽然总公司需要的语言是简体中文,当必须在中公司的上游服务器选择同事下载中文和英文版的更新程序。连接Microsoft网站的上游服务器必须下载所有下游服务器需要的所有语言的更新程序,否则下游服务器将无法获取所需语言的更新程序。

  注:这种上下游串联的方式,建议最好不要超过3层(虽然理论上没有层数限制),因为每增加一层,就会增加延迟时间,因而拉长将更新程序传递到每台计算机的时间。

  更新程序的属性:例如更新程序的名称,描述,相关的knowledge base文章编号等。

  然而上述数据库并不会存储更新程序文件本身,必须另外选择更新程序文件的存储地点,有以下两种选择。

  存储在WSUS服务器的本地硬盘内:此时WSUS服务器会从Microsoft网站下载更新程序,并将其存储到本地硬盘内。此种方式让客户端直接从WSUS服务器获取更新程序,不用到Microsoft网站下载,这样可以节省网络带宽。

  WSUS服务器的硬盘必须有足够空间来存储更新程序文件,最少要有20g的可用空间。实际需要更多的空间。

  存储在Microsoft网站上:此时WSUS服务器并不会从Microsoft网站下载更新程序,换句话说,当执行WSUS服务器与Microsoft网站之间的同步工作时,WSUS服务器只会从网站下载更新程度的metadata数据,并不会下载更新程序本身。

  因此,当你审批客户端可以安装某个更新程序后,客户端是自己连接到网站下载。如果客户端计算机数量不多,或客户端与WSUS服务器之间的连接速度比较慢,但是与网络之间的连接速度较快时,可以选择此选项。

  WSUS允许你延期下载更新程序文件,也就是WSUS服务器会先下载更新程序的metadata,之后再下载更新程序文件。更新程序文件只有在你审批该程序后才会被下载,这种方式可以节省带宽与WSUS服务器的硬盘空间使用量。Microsoft建议你采用延迟下载更新的方式,也就是默认值。

  客户端计算机要安装更新程序时,此计算机内可能已经有该更新文件的旧版本,这个旧文件和新更新之间的差异可能不大。如果客户端能够只下载新版与旧版之间的差异,然后利用将差异合并到旧文件的方式来更新,可以减少从wsus服务器下载的数据量,降低企业内部网络的负担。

  不过采用这种方式,WSUS服务器从Microsoft网站下载的文件会比较大,因为此文件内必须包含新更新程序和各旧版自己的差异,因此WSUS服务器在下载文件时会占用对外的网络带宽。

  例如,假如更新程序原始大小100mb,未使用快速安装的情况,此服务器会从microsoft网站下载100mb的文件,客户端也是从服务器下载100mb的数据量。使用快速安装的情况下,此文件变为比较大的200mb(假设)。虽然WSUS服务器必须从microsoft下载的文件大小为200mb,但是客户端从WSUS服务器仅下载30mb的数据量,系统默认未使用快速安装文件。

  构建WSUS并不需要AD域环境,然而为了利用组策略来充分管理客户端的自动更新设置,建议采用AD域环境。

  我们将利用下图所示的环境进行说明。安装一台域控DC,WSUS服务器为成员服务器,计算机名为WSUS;另外,图中多台客户端可以为win7,win8等,我们假设他们也都加入域。

  如果要将手动同步改成自动同步,需要设置同步计划。前面安装的所有设置,都可以通过选项界面进行更改。在同步尚未完成之前,无法存储更改的设置,需要等待同步完成后更改设置。

  我们要让客户端计算机能够通过WSUS服务器下载更新程序,而这个设置可以通过以下两种方法来完成。

  本地计算机策略:如果没有AD域环境,或客户端计算机未加入域,则可以通过本地计算机策略进行设置。

  我们利用组策略来进行说明。在域中创建一个GPO,WSUS策略,然后通过这个GPO来设置域内的所有客户端计算机的自动更新配置。

  :在下载更新程序前会通知已登录的系统管理员,由他自行决定是否现在下载;下载完成后和准备安装前也会通知系统管理员,然后由他自行决定是否现在安装。

  :自动下载更新程序,下载完成后和准备安装前会通知已登录的系统管理员,然后由他自行决定是否现在安装。

  选择指定intranet Microsoft更新服务位置,然后指定让客户端从wsus服务器获取更新程序,同时也设置让客户端将更新结果报告给WSUS服务器,这两处请输入。

  设置完成后,必须等域内的客户端应用这个策略才能有效,而客户端计算机默认每隔90-120分钟应用一次。到客户端计算机上执行gpupdate/force命令。

  应用完成后,还必须等客户机与wsus服务器接触后,在wsus管理控制台才能看到这些客户机。不过需要等待20分钟才会主动联系WSUS服务器。在客户机上执行wuauclt/detectnow 命令。

  在wsus管理界面可以看到所有客户端机器,如果还有机器仍为显示,可以想到这些计算机上执行组策略刷新命令。

  注:如果客户端有新的更新状态可报告,而你希望立即报告,请到客户端计算机上执行wuauclt/reportnow.

  为了便于利用WSUS管理控制台来部署客户端计算机所需的更新程序,建议将计算机进行分组。例如要创建一个名为业务部计算机的组,并将隶属于业务部的计算机移动到此组内。

  WSUS下载的所有更新程序都要经过审批后,客户端计算机才可以安装此更新程序,此处假设要审批某个安全更新,以便让业务组计算机安装此更新。

  由于WSUS默认会延迟下载更新程序,也就是WSUS服务器与Microsoft Update同步时仅会下载更新程序的metadata。当我们审批更新程序后,更新程序才会下载。由于我们刚审批上述更新,WSUS服务器正要开始下载此更新,必须等下载完成后,客户端计算机才可以开始安装此更新。

  下图,审批栏目出现了安装1/3字样,表示当前有3个计算机组,只有其中一个组已经被审批安装此更新。

  客户端默认每隔17.6-22小时才会连接服务器检查是否有更新程序下载,可利用wuauclt/detectnow来手动检查。检查到后根据组策略的设置来进行更新。

  客户端可以通过组策略自动更新检测频率来更新检查时间。如果希望客户端计算机能够早一点自动检测,可以修改此值。

  单击某个程序右侧的拒绝,则系统将解除其审批,同时在WSUS数据库内与此更新有关的报告数据都将删除,还有在此界面上也看不到此更新程序。如果要看到被拒绝的更新程序,请到审批处选择已拒绝后单击重新整理。

  可以设置当WSUS服务器与Windows Update同步时,自动审批下载的更新程序。例如,如果希望所有下载的安全更新与重要更新都能够自动审批给所有计算机:单击选项中的自动审批,在前景图中勾选默认的自动审批规则。如果还要将此规则应用到已经同步的更新程序,请单击允许规则。

  自动审批已审批的更新的修订:如果已审批的更新程序未来有修订版,则自动审批此修订版本的更新程序。

  当新修订导致更新过去时自动拒绝更新:当未来有新修订版本出现,而使得旧版本过期时,则自动拒绝这个过期的旧更新程序。

  本站介绍更多的关于自动更新的组策略,以便进一步管理客户端计算机与WSUS服务器之间的通信方式。通过另外创建GPO的方式进行配置,尽量不要通过内置的Defult Domain Policy GPO进行设置。

  当更新程序下载完成并且准备好安装时,会根据配置自动更新的策略来决定何时更新。启用此策略后,某些新程序会立刻安装。这些更新是指那些即不会中断Windows服务,也不会重新启动Windows系统的更新程序。

  如果通过计划制定某个时间点来执行安装更新程序,但是时间到达时,客户端计算机却没有开机。此策略用来设置客户端计算机重新开机后,需要等多少时间后开始安装更新。

  应用此设置的所有计算机会自动加入指定的计算机组内,不需要管理员手动加入。

  如果此策略启用,客户计算机就可以从WSUS服务器下载由第三方开发和签名的更新程序;如果未启用,客户端只能下载Microsoft签名的更新程序。

  虽然WSUS客户端可以通过WSUS服务器来进行更新,但是系统本地管理依然可以通过开始菜单的windows更新来私自连接Microsoft Update网站。为了减少这种情况发生,建议通过此策略将客户计算机的windows update链接删除。完成后开始菜单的连接不会显示,控制面板的更新检查更新也会失效。

  如果启用此策略,则会禁止客户端访问Microsoft更新网站,例如客户端通过开始菜单的Windows更新链接无法访问Windows Update网站,直接在浏览器里输入windows update网页也无法访问,不过客户机依然可以通过WSUS来获取。

  没有整理与归纳的知识,一文不值!高度概括与梳理的知识,才是自己真正的知识与技能。 永远不要让自己的自由、好奇、充满创造力的想法被现实的框架所束缚,让创造力自由成长吧! 多花时间,关心他(她)人,正如别人所关心你的。理想的腾飞与实现,没有别人的支持与帮助,是万万不能的。