Medio juni 2005 lanceerde Microsoft versie 6 van zijn updatesite, waar nu niet alleen Windows-updates te downloaden zijn, maar ook updates voor een geïnstalleerd Office-pakket, Exchange- en SQL-servers, enz.

In lijn met de nieuwe functies die online beschikbaar zijn, had Microsoft ook de opvolger van de “Software Update Services (SUS)”: Terwijl de SUS (zoals de oude Windows-updatepagina op het net) alleen lokaal Windows-updates kon verspreiden, is zijn opvolger WSUS (Windows Server Update Services) onvergelijkbaar veel krachtiger.

Eigenschappen en vereisten

Met de “Windows Server Update Services” (WSUS) is het nu mogelijk om Office en andere patches lokaal te verspreiden, de clients in het LAN kunnen worden samengevoegd tot groepen, enz. Het scala aan functies is aanzienlijk uitgebreid en er zijn parallellen te trekken met de “System Management Server (SMS)”. – Het aantal functies is aanzienlijk toegenomen en er zijn parallellen met de “System Management Server (SMS)”. Alleen de distributie van eigen software is niet mogelijk met WSUS.

Net als bij de SUS kunnen alleen systemen met Windows 2000 SP3 of hoger via WSUS worden bijgewerkt; alle oudere systemen zijn uitgesloten. Ook de monitoring is verbeterd. WSUS houdt nauwgezet in een database bij welke client welke updates heeft geladen en geïnstalleerd en wanneer, waar zich problemen hebben voorgedaan, enz. Als u niet over een SQL-server beschikt, levert de WSUS-installatie een versie van de MSDE (Microsoft SQL Desktop Engine). De keuze wordt dan gemaakt tijdens de installatie. Voor Windows Server 2000 moet de MSDE afzonderlijk worden gedownload en geïnstalleerd.

Installatie

Volgens Microsoft zijn de officiële systeemvereisten voor het gebruik van een WSUS een Windows 2000 Server SP3 of hoger of een Windows 2003 Server met geïnstalleerde Internet Information Server (IIS) en ~ 30GB vrije schijfruimte. Voorts zijn het Microsoft .NET Framework 1.1 met SP1, Internet Explorer 6 met SP1 en de BITS-systeemdienst in versie 2.0 of hoger vereist. Bij Windows Server 2003 ontbreekt meestal alleen SP1 voor .NET Framework.

Voor het artikel gaan we uit van een geïnstalleerde Windows 2003 server met Service Pack 1 met een Active Directory domein en geïnstalleerde GPMC, waarin zich verschillende Windows XP clients bevinden. In ons geval wordt WSUS rechtstreeks op de domeincontroller (DC) geïnstalleerd.

Na het downloaden van WSUS kunt u de installatie direct starten; een dubbelklik op de exe start de setup.

Installatie Klik op de afbeelding om te vergroten

Klik op “Volgende” om de installatieroutine te starten.

Opslagpad voor lokale updates Klik op de afbeelding om te vergroten

Het vinkje “Updates lokaal opslaan” moet zo worden gezet dat de server de updates daadwerkelijk van het netwerk downloadt en de distributie lokaal plaatsvindt. Anders kunnen de te installeren updates worden beheerd, maar worden ze nog steeds rechtstreeks van Microsoft gedownload, wat tot zeer veel verkeer leidt. De WSUS-directory op station D dient hier als opslaglocatie: als er meerdere partities of stations zijn, selecteert de installatie van WSUS automatisch de partitie/het station met de meeste vrije opslagruimte.

Opslagpad SQL-server Klik op de afbeelding om te vergroten

Omdat we geen SQL-server beschikbaar hebben, installeren we de “SQL Server Desktop Module” in dezelfde directory als de WSUS zelf.
Als u de MSDE afzonderlijk hebt gedownload en geïnstalleerd onder Windows Server 2000, voert u “ServernameWSUS” in als de bestaande databaseserver.

Klik op de afbeelding om te vergroten

Hier wordt aanbevolen de standaard website van de IIS te gebruiken, tenzij deze server andere webservices levert. Dit is bijvoorbeeld het geval bij een “Small Business Server” die de “Share Point Services” aanbiedt. Als de tweede optie wordt gebruikt, moet later overal naar poort 8530 worden verwezen (ook in de groepsrichtlijnen) en moet er ook aan worden gedacht deze zo nodig in de firewall vrij te geven. De pagina met de poort wordt dan als volgt opgeroepen: http://servername:8530/WSUSAdmin/

De WSUS-server zelf ontvangt zijn updates via poort 80 voor HTTP en 443 voor HTTPS. Deze poorten kunnen niet worden gewijzigd. Een lijst van de doeldomeinen van de WSUS-server (voor de firewallconfiguratie) is te vinden in het stappendocument van Microsoft.

Overerving mogelijk Klik op de afbeelding om te vergroten

Als er al een WSUS in het netwerk is, kunt u de reeds gedownloade updates daarvan naar de nieuwe installatie laten vloeien – in ons geval synchroniseren we echter rechtstreeks met Microsoft, dus deze instelling blijft hier inactief.

Overzicht Klik op de afbeelding om te vergroten

Nadat we alle instellingen hebben gemaakt, begint de eigenlijke installatie.

Installatie Klik op de afbeelding om te vergroten

Installatie Klik op de afbeelding om te vergroten

Voltooiing Klik op de foto om te vergroten

Voordat we op “Voltooien” klikken, moet de beheerwebsite voor WSUS worden toegevoegd aan de zone “Lokaal intranet” (of anders moet de “Verbeterde beveiligingsconfiguratie” voor Internet Explorer worden verwijderd; aangezien dit een veiligheidsrisico vormt, wordt dit hier niet besproken).
Daartoe openen we het Configuratiescherm, dubbelklikken op de vermelding “Internetopties” en gaan naar het tabblad “Beveiliging”. Hier selecteren we “Lokaal intranet”, klikken op “Sites” en voegen http://servername toe (in dit geval http://wsustest) en slaan op met OK.

WSUS-webinterface

Vervolgens klikken we op “Finish” en komen we bij de wachtwoordvraag – standaard staat WSUS alleen beheerders toe voor de administratie-interface, dus authenticeren we ons als beheerders met het bijbehorende wachtwoord.

Inloggen Klik op de afbeelding om te vergroten

Na succesvolle aanmelding verschijnt de administratiepagina.

Als bij de installatie een andere poort is gebruikt voor WSUS, moet daar bij het inloggen natuurlijk rekening mee worden gehouden. Het juiste adres is dan bijvoorbeeld: http://servername:8530/WSUSAdmin/, anders http://servername/WSUSAdmin/.

Welkomstpagina van WSUS Klik op de afbeelding om te vergroten

Hier selecteren we eerst “Opties” om de synchronisatieopties voor onze WSUS in te stellen.

Opties van de WSUS Klik op de afbeelding om te vergroten

De WSUS synchroniseren Klik op de afbeelding om te vergroten

Eerst moeten we een tijdstip instellen waarop WSUS automatisch synchroniseert met de Microsoft-servers. Hier raden we een tijdstip buiten de normale kantooruren aan om de beschikbare bandbreedte niet te verminderen met het downloaden van patches.

De vermelding “Proxyserver” moet dienovereenkomstig worden geactiveerd, afhankelijk van de voorwaarden van het netwerk, de instelling “Updatebron” geeft ons de mogelijkheid achteraf de updates te laden van andere, lokaal reeds bestaande WSUS-servers. Beide instellingen zijn hier niet relevant en blijven dus gedeactiveerd.

Vervolgens klikken we op “Wijzigen” onder “Classificaties bijwerken” en activeren we alle vermeldingen.

Classificaties Klik op de afbeelding om te vergroten

Wanneer we deze instellingen met OK hebben bevestigd, scrollen we naar beneden op de pagina met opties, klikken op “Geavanceerd” onder “Bestanden en talen bijwerken” en vinken de vakjes aan zoals afgebeeld.

Geavanceerde opties Klik op de afbeelding om te vergroten

In principe zouden alleen de Duitse updates volstaan, maar het kan nooit kwaad om de Engelse versies “erbij te doen”.
Belangrijk bij deze instellingen: Een synchronisatie downloadt alleen de lijst met alle beschikbare updates, pas na hun goedkeuring door de admin vindt de eigenlijke download van de bestanden plaats. Ook hier kunt u veel verkeer besparen door geen service packs en dergelijke goed te keuren die niet nodig zijn.
Na bevestiging met OK moeten de instellingen worden opgeslagen – de betreffende knop staat linksboven op de pagina.

Instellingen opslaan

Na het opslaan van de instellingen is het tijd om de server voor het eerst te synchroniseren. Hiervoor gaan we naar de startpagina en klikken op “Nu synchroniseren”. De status van de synchronisatie wordt weergegeven op de startpagina.

Status

Cliënten verbinden

Terwijl de server bezig is met synchroniseren – wat even zal duren – kunnen we de groepsbeleidinstellingen voor de clients implementeren met behulp van de GPMC.

Open hiervoor de GPMC op de server, maak een nieuwe GPO met de naam WSUS onder “Group Policy Objects” en open deze met “Edit”.

Open vervolgens de tak “Computerconfiguratie => Administratieve sjablonen => Windows-onderdelen => Windows Update” en configureer de afzonderlijke instellingen door te dubbelklikken. In de afbeelding ziet u een voorbeeldconfiguratie. Als u het beleid niet hebt, moet het bestand wuau.adm worden ingelezen via “Sjablonen toevoegen” in het contextmenu van de tak “Administratieve sjablonen”. U vindt dit bestand in de Windows INF-directory.

GPO-editor Klik op de afbeelding om te vergroten

De individuele waarden zien er in ons voorbeeld zo uit:

Beleid	Instelling
Automatische updates configureren	Ingeschakeld
Automatische updates configureren	4 – Automatisch downloaden en installeren volgens schema
De volgende 2 instellingen zijn alleen vereist en alleen van toepassing wanneer 4 is geselecteerd.
Geplande installatiedag	0 – dagelijks
Geplande installatietijd	11:00
Automatische updates onmiddellijk installeren	Ingeschakeld
Client-side target mapping inschakelen	Ingeschakeld
Doelgroepnaam voor deze computer	WSUSTest
De standaardoptie “Updates installeren en afsluiten” in het dialoogvenster “Windows afsluiten” niet aanpassen	Schakelt uit.
Opnieuw vragen om opnieuw op te starten voor geplande installaties	Uitgeschakeld
Intern pad opgeven voor Microsoft-updateservice	Ingeschakeld
Interne updateservice om updates te detecteren (voorbeeld: http://IntranetUpd01)	http://wsustest
Intranetserver voor statistieken	http://wsustest
Niet automatisch herstarten voor geplande installaties	Ingeschakeld
Herstart voor geplande installaties uitstellen	Uitgeschakeld
Niet-beheerders toestaan updatemeldingen te ontvangen	Uitgeschakeld
De optie “Updates installeren en afsluiten” in het dialoogvenster “Windows afsluiten” niet weergeven	Uitgeschakeld
Controlefrequentie voor automatische updates	Uitgeschakeld
Wachttijd na systeemstart (minuten): 5	5

“Uitgeschakeld” betekent in dit geval niet dat deze instelling niet wordt toegepast, maar zet deze instelling op de standaardwaarden.

Let op voor “Interne updateservice om updates te bepalen” dat u hier mogelijk de WSUS moet opgeven als u deze hebt gewijzigd (http://wsustest:8530).

Aangezien er in elk instellingendialoog een uitleg is over de respectieve functie, zal ik hier niet verder in detail treden.

Beschrijving van elke optie

Als alle instellingen zijn gemaakt, sluiten we het venster Bewerken en koppelen we deze GPO aan het domein door te slepen.

GPO koppelen

De instellingen zijn nu beschikbaar en kunnen worden afgedwongen op de clients met gpudate /force.

gpudate /force

Het groepsbeleid zou ook regelmatig worden bijgewerkt, maar het afdwingen ervan verkort de wachttijd.

Cliënten handmatig verbinden

Het instellen van de clients kan ook handmatig via het register. De instellingen zijn te vinden in het register onder HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdate. De vereiste registersleutels worden beschreven in de Engelstalige Deployment Guide vanaf pagina 68.

Clientbeheer in WSUS

Aan de “computerzijde” van de WSUS-server zijn nu alle machines beschikbaar die de GPO dienovereenkomstig hebben overgenomen, dus ook onze server.

Beheer van clients Klik op de afbeelding om te vergroten

Details

De client heeft nog geen statusrapport aangemaakt. Dit kan ook worden afgedwongen door in het dialoogvenster Uitvoeren op de client wuauclt.exe /detectnow in te voeren.

wuauclt.exe /detectnow

Met deze opdracht rapporteert de client binnen de volgende 5 minuten aan de WSUS-server.

Bij de eerste toegang tot de server kan de update-client automatisch worden bijgewerkt (vanaf XP met SP1 of W2000 met SP4).

Na enkele minuten is de client beschikbaar in de groep die hij heeft aangevraagd.

Details van het clientbeheer Klik op de afbeelding om te vergroten

Nadat de WSUS-server volledig is gesynchroniseerd, moeten alle updates eerst worden goedgekeurd voordat de clients deze updates daadwerkelijk installeren. Selecteer hiervoor alle updates op de updates pagina en klik op “Toepassen”.

Filterweergave

In het rechter venster staan nu alle beschikbare updates; met [CTRL]+[A] kunt u alle updates in één keer selecteren.

Updates selecteren Klik op de afbeelding om te vergroten

Klik op “Goedkeuren voor installatie” om alle gemarkeerde updates vrij te geven voor installatie op de clients.

Goedkeuren voor installatie

Na de installatievrijgave leest de client de volgende keer dat hij contact opneemt met de server de nieuw vrijgegeven lijst met updates en haalt de voor hem relevante updates op voor installatie.

Updates worden goedgekeurd Klik op de afbeelding om te vergroten

Op basis van de groepering en koppeling van de GPO’s aan verschillende OU’s kunnen computers worden samengevoegd tot groepen die zeker kunnen worden voorzien van de meest uiteenlopende updates. U kunt bijvoorbeeld veilig een “testgroep” aanmaken en hier uitgebreid het effect van de patches testen voordat de patches worden vrijgegeven voor de andere computers in de productieve omgeving.

Via de pagina “Computer” kan te allen tijde worden nagegaan welke client welke updates heeft geïnstalleerd of welke client problemen heeft ondervonden. De goedkeuringen kunnen ook worden teruggedraaid, maar reeds geïnstalleerde updates worden niet verwijderd.

Om de productieve omgeving niet in gevaar te brengen, kunt u testgroepen aanmaken en de patches hier eerst testen voordat u ze vrijgeeft voor andere computers. Aangezien Microsoft echter regelmatig nieuwe patches uitbrengt, moet u ook regelmatig de computerstatus van de computers controleren om te zien welke nieuwe patches ontbreken. In het onderstaande voorbeeld missen twee computers nieuwe updates.

Nieuwe updates voor de computers Klik op de afbeelding om te vergroten

Verbinding op commando

WSUS is een krachtig hulpmiddel en maakt patchbeheer veel gemakkelijker. Het enige vervelende is dat het aan de clients ligt wanneer ze verbinding maken met WSUS. Het is mogelijk om een verbinding met WSUS vanaf de clientzijde te forceren met wuauclt.exe /detectnow, maar dit zou voor elke client opnieuw moeten worden ingevoerd. Een centrale tool van de serverzijde ontbreekt. Een mogelijke oplossing is PsExec, dat programma’s op clients kan uitvoeren. Als u \* als wildcard invoert, geldt het commando en dus wuauclt.exe /detectnow voor het hele domein. PsExec maakt ook deel uit van het gratis PSTools.

Verdere links

• WSUS downloaden via WinTotal software archief
• Downloadpagina met tools voor WSUS
• Stapsgewijze instructies voor WSUS van Microsoft als Word-document
• WSUS.info
• WSUS.de
• WSUS startpagina op TechNet (DE)
• Microsoft Windows Server Update Services implementeren
• Microsoft Windows Server Update Services implementeren (DOC, Engels)