WSUS Problem - keine Updates am Client

[bill_mustermann 1]

Hallo, ich habe einen Server 2012 Std mit dem neusten WSUS. Die Rechner werdenn per GPO in den WSUS aufgenommen. Jetzt läuft dr schon fast 1 oche und von 41 Rechner sind nur 8 haben einen Przentwert bei "Prozentsatz Installiert". Alle anderen haben 0%. Auffällig ist das alle Win 8 Rechner scheinbar funktionieren und alle Win7 bei 0% stehen. Unter Produkte und Klassifizierungen habe ich aber einen Haken bei Win7. Was kann dafür die Ursache sein? gruesse

[Sunny61 811]

Was genau hast Du denn im GPO konfiguriert? Wie meinst Du das mit den 41 Rechnern und nur 8 haben was genau?

 

Auf der Startseite vom WSUS gibt es einen Link 'Nicht genehmigte Updates'. Klick dort drauf, bekommst Du dort nicht genehmigte, aber benötigte Updates angezeigt?

[the_dolphin 10]

Hi,

 

und haben die Win7 PC's schon einen Bericht erstellt?  Wenn Du

 

net stop wuauserv

del C:\Windows\SoftwareDistribution

net start wuauserv

 

wuauclt.exe /resetauthorization /detectnow

 

durchführst, passiert was? Bekommen die Win 7 Rechner dann Updates?

[bill_mustermann 1]

Hallo,

 

einen Link nicht genehmigte Updates habe ich nicht da ich alle Updates automatisch genehmigen lasse. Über Sinn oder Unsinn möchte ich an dieser Stelle nicht diskutieren ;) In der GPO habe ich konfiguriert

Automatische Updates konfigurieren: 4 - Autom. Herunterladen und laut Zeitplan installieren 
Die folgenden Einstellungen sind nur erforderlich und anwendbar, wenn die Option 4 ausgewählt wurde. 
Während automatischer Wartung installieren Deaktiviert 
Geplanter Installationstag:  0 - Täglich 
Geplante Installationszeit: 04:00 

Zielgruppenname für diesen Computer Mannheim 

Suchhäufigkeit für automatische Updates Aktiviert  
In folgenden Abständen (Stunden) 
nach Updates suchen:  
 

Im WSUS unter Alle Computer -> Mannheim bekomme ich 41 Computer angezeigt. 8 davon haben einen Prozentsatz von 99%. Dr Rest der Computer hat 0%.

 

Die Win7 Rechner haben noch keinen Bericht erstellt.

 

Das hier durchzuführen wird schwer:

net stop wuauserv

del C:\Windows\SoftwareDistribution

net start wuauserv

 

wuauclt.exe /resetauthorization /detectnow

dazu müsste ich an jeden PC einzeln gehen. Das ist mir bei 41 - 8 etwas zu arg Turnschuhadministration.

 

gruesse

[Sunny61 811]

einen Link nicht genehmigte Updates habe ich nicht da ich alle Updates automatisch genehmigen lasse. Über Sinn oder Unsinn möchte ich an dieser Stelle nicht diskutieren ;)

Den Link gibt es auf jedem WSUS, Du hast den auch. Nur hast Du keine Updates mehr, die nicht genehmigt sind. Und ja, das ist richtig großer Unsinn!

 

 

In der GPO habe ich konfiguriert

Automatische Updates konfigurieren: 4 - Autom. Herunterladen und laut Zeitplan installieren 
Die folgenden Einstellungen sind nur erforderlich und anwendbar, wenn die Option 4 ausgewählt wurde. 
Während automatischer Wartung installieren Deaktiviert 
Geplanter Installationstag:  0 - Täglich 
Geplante Installationszeit: 04:00 

 

 

Sind denn die Rechner auch um 04.00 Uhr eingeschaltet?

Wenn Du für die betroffenen Benutzer die *zweite* Benutzereinstellungen aus diesem Beispiel GPO setzt, kannst Du es auch auf 12.00 Uhr setzen, denn dann kriegen die Benutzer nichts mit.

http://www.wsus.de/images/WSUSGPO.png

 

 

 

Zielgruppenname für diesen Computer Mannheim 

Suchhäufigkeit für automatische Updates Aktiviert  
In folgenden Abständen (Stunden) 
nach Updates suchen:  
 

 

Und im WSUS hast Du in den Optionen > Computer auch eingeschaltet, dass der WSUS die Computer in die Gruppe einsortiert?

 

 

Im WSUS unter Alle Computer -> Mannheim bekomme ich 41 Computer angezeigt. 8 davon haben einen Prozentsatz von 99%. Dr Rest der Computer hat 0%.

 

Die Win7 Rechner haben noch keinen Bericht erstellt.

 

Dann prüf doch einfach nach, welche Fehlermeldungen im Eventlog auf den Clients stehen.

 

 

Das hier durchzuführen wird schwer:

 

dazu müsste ich an jeden PC einzeln gehen. Das ist mir bei 41 - 8 etwas zu arg Turnschuhadministration.

 

Du hast noch nichts von RDP gehört? MSTSC /Admin > Name des Rechner eingeben, als Admin anmelden, fertig.

Alternativ kann man auch mit der PSEXEC.EXE von MS sich Remote auf einen Rechner schalten und dann die Befehle ausführen.

 

Beispiel:

 

PSEXEC \\Name_des_Rechner cmd [ENTER]

 

Natürlich nur in einer administrativen Commandline, d.h. Du mußt die CMD.EXE mit Rechtsklick > Ausführen als Administrator öffnen.

bearbeitet 9. Januar 2015 von Sunny61

[bill_mustermann 1]

Hallo,

 

>>Sind denn die Rechner auch um 04.00 Uhr eingeschaltet?
Wenn Du für die betroffenen Benutzer die *zweite* Benutzereinstellungen aus diesem Beispiel GPO setzt, kannst Du es auch auf 12.00 Uhr setzen, denn dann kriegen die Benutzer nichts mit.
http://www.wsus.de/images/WSUSGPO.png

 

Das interessiert mich....müssen die Rechner denn angeschaltet sein um 4 Uhr? Den zweiten Satz verstehe ich nicht. Fakt ist das ich gerne alle Updates automatisch auf den Rechner herunterladen lassen würde und diese auch automatisiert installiert werden sollen. Problem ist das die Rechner sich auf keine Fall rebooten dürfen so lange jemand daran arbeitet. Wie kann ich das umsetzen?

 

gruesse

[Sunny61 811]

Das interessiert mich....müssen die Rechner denn angeschaltet sein um 4 Uhr?

Wie installierst Du Updates, wenn der Rechner ausgeschaltet ist?

 

 

Den zweiten Satz verstehe ich nicht. Fakt ist das ich gerne alle Updates automatisch auf den Rechner herunterladen lassen würde und diese auch automatisiert installiert werden sollen. Problem ist das die Rechner sich auf keine Fall rebooten dürfen so lange jemand daran arbeitet. Wie kann ich das umsetzen?

 

Hatte ich doch geschrieben. Schau in den Link zur Beispiel GPO, dort gibt es Computer- und Benutzereinstellungen. In den Benutzereinstellungen ist die zweite Einstellung dafür verantwortlich, dass die Benutzer auf die die Einstellung wirkt, nichts von WU im Hintergrund mitbekommen. Die Updates kannst Du dann um 12.00 Uhr Mittags installieren lassen, fertig.

 

Wenn Du es testen willst, erstell dir eine TestOU, einen Testuser und schnapp dir einen Testcomputer. Beide, Computer und User in die TestOU verschieben, GPO für den WSUS incl. der Benutzereinstellung auf die OU verlinken und 30 Minuten vor dem vorher eingestellten Zeitpunkt als der betroffene Benutzer anmelden. Warte dann einfach ab bis die Updates installiert werden sollen. Im Eventlog Installation siehst Du dann mehr.

[bill_mustermann 1]

Hallo,

 

ah ok. Und für was sind deine Einstellungen in der ersten Rubrik (Comüputerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Systemdienste)? Den Punkt Automatische Updates gibt es bei mir übrigens nicht an genau dieser Stelle.

 

gruesse

[Sunny61 811]

ah ok. Und für was sind deine Einstellungen in der ersten Rubrik (Comüputerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Systemdienste)?

Welche Dienste Automatisch gestartet werden, Zugriffsberechtigungen. Ganz wichtig ist der Eintrag DIENST in den Berechtigungen für XP und ältere Systeme.

 

 

Den Punkt Automatische Updates gibt es bei mir übrigens nicht an genau dieser Stelle.

 

Überleg doch mal welcher Dienst das sein könnte. Die Auswahl ist nicht groß. :)

 

 

EDIT: Pass nur auf dass Du die Benutzereinstellungen auch nur auf 'normale' Benutzer wirken lässt, die Admins sollen davon nicht betroffen werden. Ansonsten siehst Du auf den Servern auch keine Updates mehr.

bearbeitet 12. Januar 2015 von Sunny61

[bill_mustermann 1]

Hallo,

 

>> Überleg doch mal welcher Dienst das sein könnte. Die Auswahl ist nicht groß. :)

 

WSUS Dienst? oder Windows Update?

 

>> EDIT: Pass nur auf dass Du die Benutzereinstellungen auch nur auf 'normale' Benutzer wirken lässt, die Admins sollen davon nicht betroffen werden. Ansonsten siehst Du auf den Servern auch keine Updates mehr.

 

ach herje :) wie mache ich das denn nun wieder?

 

gruesse

bearbeitet 12. Januar 2015 von bill_mustermann

[Sunny61 811]

>> Überleg doch mal welcher Dienst das sein könnte. Die Auswahl ist nicht groß. :)

 

WSUS Dienst?

Was hat der WSUS Dienst mit den Clients zu tun? In diesem Fall nichts. Hast Du noch ein XP zur Verfügung? Wenn ja, dann sieh dort nach. Alternativ einfach dAS GPO nochmal genau anschauen, Du kommst sicherlich drauf. ;)

 

 

>> EDIT: Pass nur auf dass Du die Benutzereinstellungen auch nur auf 'normale' Benutzer wirken lässt, die Admins sollen davon nicht betroffen werden. Ansonsten siehst Du auf den Servern auch keine Updates mehr.

 

ach herje :) wie mache ich das denn nun wieder?

 

Wie trennt man Benutzerkonten von Adminkonten? Richtig, durch unterschiedliche OUs.

Basiswissen: http://www.gruppenrichtlinien.de/artikel/erstellen-einer-gruppenrichtlinie/

bearbeitet 12. Januar 2015 von Sunny61

[bill_mustermann 1]

Hallo,

 

>> Was hat der WSUS Dienst mit den Clients zu tun? In diesem Fall nichts. Hast Du noch ein XP zur Verfügung? Wenn ja, dann sieh dort nach. Alternativ einfach dAS GPO nochmal genau anschauen, Du kommst sicherlich drauf. ;)

 

nein, wir haben kein XP mehr im Einsatz. Aber ich tippe mal auf Windows Update.

 

>> Wie trennt man Benutzerkonten von Adminkonten? Richtig, durch unterschiedliche OUs.

 

Das ist mir klar :) Was mir noch nicht ganz klar ist: Die GPO beinhaltet ja jetzt ca 95% Computerkonfiguration und 5% Benutzerkonfiguration. Die GPO habe ich in die OUs der Computer verlinkt. Bedeutet das das die Benutzerkonfiguration erstmal nicht greift so lange bis ich diese GPO AUCH in den OUs der User verlinke? Ich hoffe man versteht was ich hier nicht verstehe ;)

 

gruesse

[Sunny61 811]

>> Was hat der WSUS Dienst mit den Clients zu tun? In diesem Fall nichts. Hast Du noch ein XP zur Verfügung? Wenn ja, dann sieh dort nach. Alternativ einfach dAS GPO nochmal genau anschauen, Du kommst sicherlich drauf. ;)

 

nein, wir haben kein XP mehr im Einsatz. Aber ich tippe mal auf Windows Update.

 

Yeah! Der Kandidat hat 100 Punkte! :)

Schau mal auf dem Screenshot ganz oben links auf das Erstellungsdatum, da ware W7 noch weit weg. ;)

 

 

 

>> Wie trennt man Benutzerkonten von Adminkonten? Richtig, durch unterschiedliche OUs.

 

Das ist mir klar :) Was mir noch nicht ganz klar ist: Die GPO beinhaltet ja jetzt ca 95% Computerkonfiguration und 5% Benutzerkonfiguration. Die GPO habe ich in die OUs der Computer verlinkt. Bedeutet das das die Benutzerkonfiguration erstmal nicht greift so lange bis ich diese GPO AUCH in den OUs der User verlinke? Ich hoffe man versteht was ich hier nicht verstehe ;)

Richtig, so ist es. Du kannst natürlich den Benutzerteil in ein eigenes GPO verlagern, in dem andere GPO dann aber entfernen. Entsprechend benennen, dann ist die Welt wieder in Ordnung. ;)

[bill_mustermann 1]

Hallo,

 

ok, jetzt hab ich alles verstanden und entsprechend umgesetzt.

 

Vielen Dank!

 

gruesse

[Sunny61 811]

ok, jetzt hab ich alles verstanden und entsprechend umgesetzt.

 

Gut. Wenn Du alles richtig gemacht hast, sehen deine Benutzer ab sofort Mittags um 12.00 Uhr keine Windows Updates mehr, sie bekommen nicht mit von der Installation. Es popt kein Neustarthinweis andauernd auf, nichts, silent. Die Benutzer werden es dir danken. ;)

 

 

 

Vielen Dank!

 

Bitte, gern geschehen. ;)