2 WSUS Server in einer Domaine

[goat82 2]

Hallo Zusammen,

ich möchte gerne unser Wsus 3.0 (Server2008R2) auf 6.2 (Server2016) upgraden damit ich auch Windows 10 Funktionsupdates bedienen kann.

Kann man bedenkenlos 2 Server nebeneinander laufen lassen (beide Server funktieren als Stand alone und ziehen sich die Updates von MS?

Entscheidend ist hier ja glaub ich nur die GPO: Zielgruppennamen und Interne Updatedienstadresse:neuer Server und Intranetserver für die Statistik.

Wenn ich diese GPOs für die Windows10 Clients anpasse dann dürften die am alten Wsusserver nicht mehr erscheinen.

Ich würde nämlich erstmal nur Windows10 Clients auf dem neuen Wsus bedienen und alle Windows7 Maschinen mit dem alten Wsus bedienen lassen und dann nach und nach umschwenken.

Wofür braucht Wsus 6.1 IIS? Der Webservice hierbei läuft aber ich habe hier keine Funktionen außer Porteinstellung und eine  IIS Webseite gefunden.

Schnackelt der neue Wsusserver welche Updates auf den Clients bereits installiert worden sind, oder müssen diese erneut freigegeben werden?

 

Viele Grüße Goat

 

 

[Dukel 457]

Ja die Wsus Server sind unabhängig von einander. Ich würde aber trotzdem nur einen nutzen und alle Clients mit dem neuen Server versorgen.

Der Wsus nutzt HTTP als Transportprotokoll und deswegen baucht er den IIS.

Die Clients melden, welche Patches benötigt werden und nur diese müssen freigegeben werden.

[mwiederkehr 384]

Das geht problemlos. Der WSUS ist quasi eine Kopie des Windows Updateservers. Er greift nicht aktiv auf die Clients zu, sondern diese holen sich die Updates so, wie sie es auch beim Server von Microsoft tun würden (über HTTPS, deshalb der IIS).

 

Der WSUS weiss nichts von den Clients, was die ihm nicht berichtet haben. Welche Updates man für welchen Client freigegeben hat, kann er also nicht wissen. Diese Information müsste vom alten WSUS übertragen werden.

[Dukel 457]

2 minutes ago, mwiederkehr said:

Der WSUS weiss nichts von den Clients, was die ihm nicht berichtet haben. Welche Updates man für welchen Client freigegeben hat, kann er also nicht wissen. Diese Information müsste vom alten WSUS übertragen werden.

Oder neu genemigen. Oft hat man zu viel genemigt.

[goat82 2]

ok, super. Im zweiten Schritt werde ich den Wsus 3.0 natürlich abschalten wenn alles einwandfrei läuft.

D.h. angenommen Update X ist an Pc1 über Wsus 3.0 freigegeben und installiert.

Wsus 6.3 wird das update dann nicht erneut installieren, wenn ich es freigebe?

 

[Dukel 457]

Wieso sollte ein Update zwei mal installiert werden?

Außerdem macht der Client alles. Der sagt was fehlt und holt das dann (wenn es genemigt und heruntergeladen wurde).

[Sunny61 809]

@goat82

Du kannst den neuen WSUS als  Downstream vom alten konfigurieren. Jetzt werden alle Updates und Freigaben zum neuen WSUS synchronisiert. Gruppen ebenfalls. Irgendwann im GPO auf den neuen umstellen, schon melden sich die Clients beim neuen WSUS. Du kannst dann in den Optionen umschalten, so dass der WSUS sich ab sofort die Updates von Microsoft zieht. Zusätzlich noch Upgrades aktivieren, fertig ist die Laube.

 

Bezüglich IIS und WSUS ist dieser Artikel hilfreich: https://www.404techsupport.com/2016/03/21/iis-wsus-private-memory/

[goat82 2]

ja, aber da der alte Server eh abgestellt wird, lasse ich die Updates beim neuen auch vom downstreamserver laden.

Ich habe noch eine Spezialfrage:

Umgebung: WSUS 6.2/2008R2 Forest. Domaine Xyz, WORKGROUP mit 12 Clients (davon täglich max. 8 aktiv)

Die Domaine ist mit der Workgroup via VPN verbunden. Ein Domainezugriff ist nicht geplant, da kein DC/RODC am Remoteort installiert werden kann. Leider funktioniert die Domaienanmeldung auch nicht immer wenn die Clients lange offline sind, daher lassen wir das mal.

Ich würde die Workgroup (Windows7-10 Pro) gerne mit dem Wsus aus der Domaine administrieren. Allerdings sollten die Clients die Updates natürlich aus dem Internet und nicht über das VPN ziehen.

Wäre soetwas technisch möglich.

Die Rechner der Workgroup sind manuell im DNS der Domaine eingetragen und Pingbar. Wäre sowas über ein Script oder so möglich?

[Sunny61 809]

vor 37 Minuten schrieb goat82:

Ich würde die Workgroup (Windows7-10 Pro) gerne mit dem Wsus aus der Domaine administrieren. Allerdings sollten die Clients die Updates natürlich aus dem Internet und nicht über das VPN ziehen.

Wäre soetwas technisch möglich.

Die Rechner der Workgroup sind manuell im DNS der Domaine eingetragen und Pingbar. Wäre sowas über ein Script oder so möglich?

 

Dafür bräuchtest Du einen zweiten WSUS. Alternativ kannst Du den BITS, das ist der Dienst der die Updates vom Server holt, in der Bandbreite einschränken. So machst Du das VPN nicht zu. https://wsus.de/de/HowTo/Background-Intelligent-Transfer-Services-BITS

[goat82 2]

So funktioniert soweit alles, habe alle Einstellungen wie beim alten Server gemacht. Ebenso die automatische Genehmigungsregel. Nun ist mit jedoch die Platte 30Gb vollgelaufen.

Updates ablehnen und Bereinigung durchführen bringt leider nix. Speicherplatz = 0%.

Ich habe nun alles außer Windows 7 abgehackt. Beim alten WSUS 3.0 System ist deutlich mehr akiviert und nutzt nur 8GB, trotz (Windows7+10 Sicherheitsupdates, Definitionsdateien, wichtige Updates und mehr).

Wie kann das sein? Hatte ausversehen Upgrades aktiviert, das wirds wohl gewesen sein. Kann ich dies wieder irgendwie ohne WSUS Neuinstallation bereinigen bzw. rückgängig machen?

Abhacken und Serverbereinigung bringt hier nix.

Am liebsten würd ich das fest zugeteilte WSUS Laufwerk löschen und größer neu erstellen. (Ist leider keine virtuelle Partition, daher muss ich zum Vergrößern das Laufwerk neu erstellen.

Die Auswahl beim erstmaligen Konfigurationsassistenten wo ich das Laufwerk anwählen oder abwählen kann, kommt ja nur einmalig bei der Installation.

Am einfachsten ist wohl die Neuinstallation von Wsus, dauert auch keine 5 Minuten oder kommt hier noch einen Tipp wie ich das mit der Partition hinbekommen kann?

 

PS: Wenn ich bei einer Neuinstallation die Option " Updatedateien nicht lokal speichere" wähle, trifft dann folgende Vermutung zu?

- Annahme: Updates werden automatisch genehmigt

- Client 1-100 melden bei WSUS brauche Update 22-88, WSUS speichert dies und ladet nur diese Updates vom MS-Updateserver herunter

- Hierbei speichert er nur diese Updates dennoch lokal um die Clients bedienen zu können.

- Es macht hier ja keinen Sinn wenn er für ein identisches Update einen erneuten Download durchführt.

- Passt das so ? Wenn ja, dann werde ggf. neu installieren und die untere Option wählen.

 

Kann ich diesen Dialog im nachhinein irgendwie finden bzw. ohne Neuinstallation ändern?

Gibt es hierbei irgendwelche Nachteile?

 

 

 

Hab nun alle Updates abgelehnt und bereinigt und dann war der Platz wieder leer. Wie kann ich nun die abgelehnten Updates der abgewählten Kategorie aus der Datenbank entfernen? Muss man hier wirklich bei der Neuinstallation alle 5000 Updates durchgehen und manuell genehmigen? Oder wie kann man vermeiden dass er alles runterläd unabhängig ob der Client es überhaupt braucht?

Es macht doch keinen Sinn wenn er uralte Updates herunterläd obwohl kein Client sie braucht.

Wie bekomme ich den Stand vom alten Wsusserver auf den neuen, sprich die abgelehnten Updates usw. Am alten habe ich hierbei knapp 10.000.

 

bearbeitet 21. November 2018 von goat82

[Dukel 457]

3 hours ago, goat82 said:

So funktioniert soweit alles, habe alle Einstellungen wie beim alten Server gemacht. Ebenso die automatische Genehmigungsregel.

Diese nutzt man nicht! Es gibt genug Themen hier, dass das schlecht ist.

Man genehmigt (höchstens mit einem Regelmäßigen Script) nur die Updates die benötigt werden und nicht die, die verfügbar sind.

Wenn der Wsus neu ist, dann installiere den einfach neu.

[goat82 2]

Neuinstallation ist kein Problem. Mein Problem ist folgendes:

Ist Umgebung: WSUS 3.0, 65 Clients Windows7+10. Status 100%=90%, 90%=10%, <90%=0%

Neue Umgebung: WSUS 2016 neuste Version.

Wenn ich die Produkte im neuen Wsus aktiviere, dann ladet er mit direkt ca. 80GB herunter unabhängig ob der Client es überhaupt braucht. Die Updates sind dann auch automatisch genehmigt. Wenn ich alle Ablehne, dann weiß ich ja nicht welche der Client davon benötgt. Ich will jedoch keine 4000 Updates laden die ich eventuell nicht brauche. Habe z.B nur Wx neuste Version da brauch ich keine alten Featureupdates. Ich will nur die neuen Updates laden und will nicht alle abgelehnten Abdates vom Wsus 3.0 mühsam abgleichen. Wie kann ich das machen ?

Wie macht ihr das mit dem Script ? Microsoft schickt jeden Monat hunderte Updates, testet ihr die alle? Ich habe eine Testgruppe, wenn du gut läuft, dann wird für alle automatisch aktualisiert.

Meine Frage oben ist auch noch offen ob ich die Option Updates direkt herunterladen aktivieren soll und wenn ja, ob dann für alle clients verteilt wird oder im schlimmsten Fall er das gleiche Update erneut runterläd.

Wenn es so ist dass er alles runterläd egal ob der Client es braucht, dann ist es Mist

 

bearbeitet 21. November 2018 von goat82

[Dukel 457]

Nicht alles und vor allem nicht automatisch genehmigen!

 

Es gibt auf der Übersicht einen Knopf, wo nur die benötigten Patches angezeigt werden. Nur diese genehmigst du und gut ist.

Da kannst du dann auch alle Kategorien und die meisten der Typen anwählen.

[goat82 2]

das wäre ja schön wenn das so wäre. Wenn MS neue Updates zur Verfügung stellt dann werden diese automatisch runtergeladen. Ich habe nur 30-50GB frei und ruckzuck ist die Platte voll. Wie bekomm ich wenigstens die alten Updates die installiert worden sind wieder runter?

Woher soll ich wissen welche Updates mein Client braucht wenn ich sie nicht genehmige, dann weiß es Wsus ja nicht ?

Wenn ich neu installiere, dann findet wsus knapp 4200 Updates die ich alle sofort alle verweigern muss, da diese sofort heruntergeladen werden. Wie also aus dem Teufelskreislauf entkommen ? Sorry aber für Office 2010-2016 und Windows 7+10 möchte ich keine 150GB Platz, schon gar nicht wenn bei 10 Clients!

Beim alten Wsus wird alles automatisch genehmigt, da habe ich nur 8GB Platz und es funktioniert.

bearbeitet 21. November 2018 von goat82

[NorbertFe 2.089]

Nein werden sie nur, wenn du sie genehmigst. ;)