Automatischer Neustart verhindern

[heggener81 10]

Hallo,

ich habe jetzt schon das I-net einmal komplett durchforstet und finde nicht das richtige, hoffe mir kann hier geholfen werden ;-)

 

Wir haben mehrere Büchsen, welche 2k3 als Betriebssystem installiert haben und fungieren als Druckerserver. Es kommt nun immer wieder vor dass die Server selbstständig, nach einem Update, neustarten. Allerdings nicht immer.

Im Nezt finde ich immer Lösungsvorschläge wie zb.

„Computerkonfiguration ⇒ Richtlinien ⇒ Administrative Vorlagen ⇒ Windows-Komponenten ⇒ Windows-Update ⇒ Keinen automatischen Neustart für geplante Installationen automatischer Updates durchführen, wenn Benutzer angemeldet sind“.

Der Knackpunkt ist allerdings das auf diesen Servern kein Benutzer aktiv angemeldet ist und daher die Richtlinie nicht greift?

Hat jemand noch eine andere Idee?

 

Gruß

Heggener81

[Muffel 11]

Hallo,

ich habe jetzt schon das I-net einmal komplett durchforstet

 

Ja ja. :D

 

Wir haben mehrere Büchsen, welche 2k3 als Betriebssystem installiert haben und fungieren als Druckerserver. Es kommt nun immer wieder vor dass die Server selbstständig, nach einem Update, neustarten. Allerdings nicht immer.

Im Nezt finde ich immer Lösungsvorschläge wie zb.

„Computerkonfiguration ⇒ Richtlinien ⇒ Administrative Vorlagen ⇒ Windows-Komponenten ⇒ Windows-Update ⇒ Keinen automatischen Neustart für geplante Installationen automatischer Updates durchführen, wenn Benutzer angemeldet sind“.

Der Knackpunkt ist allerdings das auf diesen Servern kein Benutzer aktiv angemeldet ist und daher die Richtlinie nicht greift?

 

Korrekt. Naja, nicht ganz, die Richtlinie greift schon, aber sie wirkt halt nicht.

 

Es hilft auch nichts eine Uhrzeit zur Installation am Rechner lokal einzustellen, denn wenn niemand angemeldet ist startet die Kiste neu nachdem sie die Updates auf der Stelle installiert hat. An einem Client mag das kein Problem sein, aber an Servern finde ich auch merkwürdig dass das Microsoft so zulässt.

 

Es gibt auch noch die Richtlinie Allow Automatic Updates immediate installation (ich weiß gerade nicht wie die deutsche Variante lauet), theoretisch passt die nicht ganz auf dein Problem, aber bei eigenen Tests ist mir aufgefallen, dass das doch irgendwie mit unerwarteten neustarts korelliert.

 

Hat jemand noch eine andere Idee?

 

Ein WSUS-Server, der Updates mit einer Timeline verteilt, hilft. Bei mir werden alle Updates am 2. Sonntag nach Erscheinen der Updates (2. Dienstag jeden Monat) um 0.00 Uhr UTC gewaltsam auf die Rechner geprügelt und genau dann wird auch neu gestartet. Dabei ist es vollkommen egal was lokal am Rechner eingestellt wurde, meine WSUS-Einstellungen überschreiben das. Je nach Sommer/Winterzeit ist das dann 1.00 bzw. 2.00 Uhr am Sonntagmorgen. Wer am Rechner die Update-Funktion aufruft sieht die Updates natürlich schon vorher und kann den Neustart so auch selber festlegen. Der Admin vor Ort hat also 12 Tage Zeit sich zu kümmern.

 

Ich halte nichts davon alles auf manuell festzulegen, das führt nämlich häufig dazu dass das irgendwann vergessen wird und nie wieder Updates installiert werden. Wer aber regelmäßig prüft braucht beim WSUS keine festen Zeiten einzustellen und wird so auch nicht von Neustarts überrascht.

[Sunny61 812]

Wir haben mehrere Büchsen, welche 2k3 als Betriebssystem installiert haben und fungieren als Druckerserver. Es kommt nun immer wieder vor dass die Server selbstständig, nach einem Update, neustarten. Allerdings nicht immer.

 

Habt ihr einen WSUS im Einsatz? Wenn ja, wie genau sieht die komplette GPO für die Server aus?

 

„Computerkonfiguration ⇒ Richtlinien ⇒ Administrative Vorlagen ⇒ Windows-Komponenten ⇒ Windows-Update ⇒ Keinen automatischen Neustart für geplante Installationen automatischer Updates durchführen, wenn Benutzer angemeldet sind“.

Der Knackpunkt ist allerdings das auf diesen Servern kein Benutzer aktiv angemeldet ist und daher die Richtlinie nicht greift?

 

Wenn Du eine GPO für den WSUS im Einsatz hast, stell von Option 4 auf 3 um und installiere die Updates manuell.

[Sunny61 812]

Ein WSUS-Server, der Updates mit einer Timeline verteilt, hilft.

 

Ein WSUS verteilt nichts, er stellt nur zur Verfügung. Die Clients holen sich vom WSUS die Updates, die der Admin der Gruppe zum Download zur Verfügung stellt.

 

Bei mir werden alle Updates am 2. Sonntag nach Erscheinen der Updates (2. Dienstag jeden Monat) um 0.00 Uhr UTC gewaltsam auf die Rechner geprügelt und genau dann wird auch neu gestartet.

 

Die Clients holen sich die Updates. Im Fall der Fehlersuche ein wichtiges Detail. ;)

 

Dabei ist es vollkommen egal was lokal am Rechner eingestellt wurde, meine WSUS-Einstellungen überschreiben das. Je nach Sommer/Winterzeit ist das dann 1.00 bzw. 2.00 Uhr am Sonntagmorgen. Wer am Rechner die Update-Funktion aufruft sieht die Updates natürlich schon vorher und kann den Neustart so auch selber festlegen. Der Admin vor Ort hat also 12 Tage Zeit sich zu kümmern.

 

Bei Servern kann man das so machen.

 

Ich halte nichts davon alles auf manuell festzulegen, das führt nämlich häufig dazu dass das irgendwann vergessen wird und nie wieder Updates installiert werden. Wer aber regelmäßig prüft braucht beim WSUS keine festen Zeiten einzustellen und wird so auch nicht von Neustarts überrascht.

 

Vom WSUS wird man nie von Neustarts überrascht. Bei den Servern kann man das so machen wie Du, oder man nimmt die Option 3 in der GPO und downloaded und installiert manuell.

 

Bei Clients verwende ich diese Beispiel GPO. http://www.wsus.de/images/WSUSGPO.png Damit es beim Client keine unkontrollierten Neustarts gibt, aktiviert man die zweite Benutzereinstellung aus der Beispiel GPO. Schon bekommt der brave User nichts mit davon und wird auch nicht mit Neustartaufforderungen genervt.

[Muffel 11]

Vom WSUS wird man nie von Neustarts überrascht.

 

Da irrst du aber gewaltig! Wenn ich als WSUS-Admin ein Update auf dem WSUS-Server auf einen bestimmten Termin fällig stelle, dann ist es vollkommen egal was der Client eingestellt hat. Wenn der Client diesen WSUS benutzt, siehe Bedingungen unter [1], wird der Client (der auch ein Server sein kann) das Update zu genau der Zeit installieren die ich am WSUS-Server eingestellt habe. Und wenn für das update ein Neustart nötig ist bootet der anschließend auch, wenn nicht jemand vor Ort auf "später" klickt. Bei Nichteingriff wird also definitiv gebootet, ganz egal was die anderen Optionen am Client sagen!

 

[1]: Nur drei Einträge sind dafür notwendig, die man entsprechend auch per GPO einstellen kann:

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]

"WUServer"="protokoll://adresse:port"

"WUStatusServer"="protokoll://adresse:port"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]

"UseWUServer"=dword:00000001

[Sunny61 812]

Da irrst du aber gewaltig! Wenn ich als WSUS-Admin ein Update auf dem WSUS-Server auf einen bestimmten Termin fällig stelle, dann ist es vollkommen egal was der Client eingestellt hat.

 

Richtig, der Stichtag ist der einzige Stolperstein an dieser Stelle. Sollte man IMHO nie verwenden. ;)

[Muffel 11]

Bei Clients verwende ich diese Beispiel GPO. http://www.wsus.de/images/WSUSGPO.png Damit es beim Client keine unkontrollierten Neustarts gibt, aktiviert man die zweite Benutzereinstellung aus der Beispiel GPO. Schon bekommt der brave User nichts mit davon und wird auch nicht mit Neustartaufforderungen genervt.

 

Warum setzt du eigentlich die Option "Updates installieren und herunterfahren" im Dialogfeld "Windows herunterfahren" nicht anzeigen auf aktiviert? Es ist doch bequem den Rechner die Updates beim Shutdown installieren zu lassen!

 

Ergänzend: Der Eintrag "Wartezeit nach Systemstart (Minuten)" ist nach meinen (wirklich umfangreichen) Tests ein Placebo. Egal was da steht, der WSUS-Client (Dienst) kontaktiert sofort nachdem er gestartet ist den WSUS-Server und nudelt auf der Festplatte rum.

[Sunny61 812]

Warum setzt du eigentlich die Option "Updates installieren und herunterfahren" im Dialogfeld "Windows herunterfahren" nicht anzeigen auf aktiviert? Es ist doch bequem den Rechner die Updates beim Shutdown installieren zu lassen!

 

Weil es überhaupt nicht mehr zur kompletten GPO passt. Da bei genauer Umsetzung der GPO die Updates um 12.00 Uhr ohne Zutun des Users installiert werden, ist der o.g. Eintrag sinnlos. Außerdem tendiere ich dazu mich nicht auf die User zu verlassen. Stell dir vor das ist ein Laptop und der Benutzer muß schnell mit dem Gerät weg. Der wartet keine 2 Minuten sondern drückt auf den Knopf zum ausschalten bis die Kiste aus ist.

 

Ergänzend: Der Eintrag "Wartezeit nach Systemstart (Minuten)" ist nach meinen (wirklich umfangreichen) Tests ein Placebo. Egal was da steht, der WSUS-Client (Dienst) kontaktiert sofort nachdem er gestartet ist den WSUS-Server und nudelt auf der Festplatte rum.

 

Nein, das ist kein Placebo. Wenn die Installationszeit um 12.00 Uhr ist, und der Rechner wird um 12.05 Uhr gestartet, und die Wartezeit auf 10 Minuten steht, werden die Updates trotzdem noch gleich installiert. Wird der Rechner um 12.15 Uhr gestartet, werden keine ausstehenden Updates installiert.

[Muffel 11]

Da bei genauer Umsetzung der GPO die Updates um 12.00 Uhr ohne Zutun des Users installiert werden, ist der o.g. Eintrag sinnlos.

 

Das heißt dann aber auch, dass derjenige, der um 11.55 in die Mittagspause geht und den Rechner nur sperrt, am Ende der Mittagspause für einem neu gestarteten Rechner steht, der natürlich beim Neustart nichts gespeichert hat was gerade in Bearbeitugn war, oder?

 

Und die Halbtagskraft, die immer um 11.50 nach Hause geht, bekommt nie Updates?

 

Außerdem tendiere ich dazu mich nicht auf die User zu verlassen.

 

Na das sowieso. Deshalb sind bei mir Updates generell mit einer Deadline versehen.

 

Nein, das ist kein Placebo. Wenn die Installationszeit um 12.00 Uhr ist, und der Rechner wird um 12.05 Uhr gestartet, und die Wartezeit auf 10 Minuten steht, werden die Updates trotzdem noch gleich installiert. Wird der Rechner um 12.15 Uhr gestartet, werden keine ausstehenden Updates installiert.

 

Ach jetzt verstehe ich den Eintrag richtig, es geht lediglich um Installationen von Updates. Ich dachte immer es geht darum eine Updatesuche nach einem Neustart etwas zu verzögern (was bei langsamen Kisten ganz gut wäre).

[Sunny61 812]

Das heißt dann aber auch, dass derjenige, der um 11.55 in die Mittagspause geht und den Rechner nur sperrt, am Ende der Mittagspause für einem neu gestarteten Rechner steht, der natürlich beim Neustart nichts gespeichert hat was gerade in Bearbeitugn war, oder?

 

Nein, wenn der Rechner gesperrt wird ist ja jemand angemeldet, also wird auch nicht neu gestartet.

 

Und die Halbtagskraft, die immer um 11.50 nach Hause geht, bekommt nie Updates?

 

Richtig. Wenn man solche Fälle hat, kann man die Installation natürlich auch auf einen anderen Zeitpunkt legen. Oder man stellt die "Wartezeit nach Systemstart (Minuten)" hoch genug ein, dann bekommt die Teilzeitkraft am nächsten Tag um 08.00 Uhr die Updates installiert. ;)

 

Na das sowieso. Deshalb sind bei mir Updates generell mit einer Deadline versehen.

 

Und wenn die erreicht ist bootet der Client gnadenlos durch, egal was gerade am Client gearbeitet wird oder auch nicht. Das ist nicht die feine englische Art.

 

Ach jetzt verstehe ich den Eintrag richtig, es geht lediglich um Installationen von Updates. Ich dachte immer es geht darum eine Updatesuche nach einem Neustart etwas zu verzögern (was bei langsamen Kisten ganz gut wäre).

 

Die Startverzögerung von Diensten gibts erst ab VISTA oder 7, hab grad kein VISTA zum überprüfen zur Hand.

 

Du kannst auch die Startart von Diensten per GPO konfigurieren. Bei älteren Clients kann man den Dienst WUAUSERV stoppen und nur an zwei Tagen im Monat aktivieren.