MIS記錄｜痞客邦

WSUS 簡介
- 架設WSUS 服務，達到統一控管企業內部主機端及用戶端的更新程式
- 且降低企業對外連線頻寬網路負擔
WSUS 4.0 安裝需求工具軟體
- Windows Server 2008 光碟片
- Microsoft Report Viewer Redistributable 2008 或 Microsoft Report Viewer Redistributable 2008sp1
WSUS 3.0 安裝
[STEP0] 安裝 Microsoft Report Viewer Redistributable 2008 或 Microsoft Report Viewer Redistributable 2008sp1

[STEP1] 開啟伺服器管理員 —> 點選新增角色及功能

[STEP2] 下一步

[STEP2] 選取角色型或功能型安裝

[STEP3] 選擇目的伺服器

[STEP4] 勾選 Windows Server Update Services 然後會跳出需要額外安裝的服務或功能點選 [新增]

[STEP5] 勾選 .NET Framework 3.5 功能

[STEP6] 選擇wsus 服務使用的資料庫安裝類型，若有其他SQL 資料庫，請勾選資料庫
此範例選 WID 內建資料庫

[STEP7] 設定更新檔存放路徑，此範例為E:\WSUS

[STEP8] IIS 角色安裝，下一步即可

IIS相關角色服務安裝，點選下一步即可

[STEP9]
因為需要安裝　.NET Framework 3.5 (2.0) 在Windows Server 2012 光碟中的sources\sxs 目錄，所以可以點選
下方 [指定替代路徑] ,若沒有指令會連上windows update 網站下載


[STEP10] 點選安裝後即開始安裝WSUS
[STEP11] 安裝完畢，點選[啟動後續安裝工作]，完成後續設定

[STEP12] 切換至開始功能表選單，執行 Windows Server Update Services ，出現組態精靈設定下一步

[STEP13] 自行選擇是否參加改善方案

[STEP15] 選擇由 Microsoft Update 同步，若是企業內部有其他台WSUS 可以另外選擇

[STEP16] 若連接網際網路須透過proxy ，需要填寫proxy主機及相關所需帳號密碼等資訊

[STEP17] 點選開始連線，與Microsoft Update 取得更新程式相關資訊

[STEP18] 選擇所需更新程式語系

[STEP19] 選擇欲下載更新的各項產品

[STEP20] 選擇更新分類

[STEP21] 設定同步排程，自行選擇手動或自動同步
依據 technet 文件說明[自動同步]範例說明如下:
如果選擇 [自動同步處理]，則 WSUS 伺服器將在指定的間隔進行同步處理。
設定 [第一次同步處理] 的時間，並指定這部伺服器 [每天同步處理] 的次數。
例如，假設您指定每天從上午 3:00 開始進行四次同步處理，則同步處理時間將是上午 3:00、上午 9:00、下午 3:00 和下午 9:00。

[STEP22] 勾選開始初始同步處理

[STEP23] 在WSUS console 中，即可看到目前同步的進度
設定用戶端自動更新(AD環境)
在網域環境下，可使用群組原則的設定達成用戶端自動更新
[STEP1]至DC主機，打開群組原則工具

[STEP2] 在網域名稱上 > 滑鼠右鍵> [在這個網域中建立GPO並連結到]
也可以在群組原則裡面去做設定這裡主要是讓user登入網域就套用

新增一個名稱為 GPO-WSUS

[STEP3] 在GPO-WSUS >滑鼠右鍵>編輯

展開>電腦設定>系統管理範本>Windows 元件>Windows Update

[STEP4] 設定自動更新

選取 [啟用設定]
自動更新部分則依照公司政策來設定

其中選取 [自動下載和排程安裝]選項，則需設定安裝日期及時間

個人公司管理的經驗設定兩個GPO分別套用server及PC
- 伺服器主機設定自動下載更新，通知我安裝選項
- 用戶端PC則設定固定時間自動下載排程安裝
[STEP5]指定內部網路更新位置
預設 WSUS port 為
更新服務位置及統計伺服器輸入相同定即可

公司如果沒特別設定指直輸入ip就好了(例如http://127.0.0.1)
[測試]
此範例中網域有一台pc1 為 win8 且已經加入網域
當GPO設定完畢後，預設約90-120分鐘 PC端才會套用此設定，所以可以在PC端執行
gpupdate /force 來強制套用GPO-WSUS
更新GPO後用戶端，Windows Update 設定就無法更動

在WSUS主控台，可以看到PC1 報到
設定用戶端自動更新(none AD 環境)
未加入網域的電腦則可以直接使用gpedit.msc 本機群組原則(在命令提示字元下下達該指令)
範例為一台未加入 pmail.idv.tw 網域電腦

編輯本機群組原則

展開>電腦設定>系統管理範本>Windows 元件>Windows Update
設定自動更新

指定內部網路更新位置
預設 WSUS port 為
更新服務位置及統計伺服器輸入相同定即可
因該台win7尚未加入網域,所以連線 wsus 主機時DNS解析可能需要輸入完整的[hostname+domain name]
所以建議未加入網域的電腦，只接輸入IP位址及可

待本機群組原則生效後，就可以看到win7 來找 wsus 報到
WSUS 用戶端相關指令
- wuauclt /detectnow > 手動讓用戶端立即至WSUS報到
- wuauclt /reportnow > 手動讓用戶端立即回報更新狀態
  
  參考網址 http://blog.pmail.idv.tw/?p=3914