效率是这样提升起来的——Windows Update Services 部署心得

什么是ＷＳＵＳ？有什么特性？

Windows 更新服务器（WSUS），SUS的继任者。此次升级后可以提供网络管理必需的报告功能，而且可以更新 Office XP/2003，Exchange 2003 和 SQL 2000。最重要的是增加了客户端的发现和监控功能。

同SUS一样属于免费软件，申请下载地址：http://www.microsoft.com/windows

serversystem/updateservices/evaluation/trial/default.mspx]

安装前的要求

１． 硬件（根据用户量增加配置）

1 GHz以上的处理器，1 GB 以上的 RAM

系统分区和安装 WSUS 的分区都必须使用 NTFS 格式

系统分区至少需要 1 GB 的可用空间

WSUS 用于存储内容的卷至少需要 6 GB 的可用空间，建议预留空间为 30 GB

如果用于安装 Windows SQL Server 2000 Desktop Engine (WMSDE)，需要 2 GB 的可用空间

２． 软件

推荐操作平台：Windows 2003 Server

Internet 信息服务(IIS)

用于后台智能传输服务 (BITS) 2.0 和 WinHTTP 5.1 Windows Server 2003 的更新程序（http://go.microsoft.com/fwlink/?LinkId=47251）

Microsoft .NET Framework 1.1 Service Pack 1

安装最新版本的 WSUS 之前，如果原系统上存在早期版本必须卸载

WSUS 要求在 SQL Server 中打开嵌套触发器选项，在SQL Server中操作如下

（1）查看嵌套触发器是否已打开（sp_configure 'nested triggers'）

（2）打开嵌套触发器选项：

sp_configure 'nested triggers', 1

GO

RECONFIGURE

GO

建议您不要在运行终端服务的服务器上安装 WSUS

３． 网络环境

WSUS服务器使用80 和443端口下载更新，所以防火墙要有针对性地开启端口。

可支持的部署方案

１． 单个 ＷＳＵＳ 服务器（小型或简单网络）

在小型或简单网络方案中，根据计划发布，管理员可以在企业防火墙内设置运行 WSUS的服务器，这样可以直接从外部的公共 Windows Update 站点同步内容，并将更新分发到客户端计算机，如图1所示。





２． 多个独立的 ＷＳＵＳ 服务器

在此计划方案中，管理员可以部署多个配置好的服务器，这样每个服务器可以单独管理，并且每个服务器可以将其内容与 Windows Update 同步，如图2所示。

此方案中的部署方法适用于将不同的局域网（LAN）或广域网（WAN）的网段作为独立实体（如分支机构办公室）进行管理的情况。也适用于当一个运行 WSUS 的服务器配置为仅对运行某一定操作系统（如 Windows 2000）的客户端部署更新而另一个服务器配置为仅对运行其他操作系统（如 Windows XP）的客户端部署更新的情况。在这些情况下，两个服务器无须同步内容。

３． 多个内部同步 ＷＳＵＳ 服务器

管理员可以部署多个运行 WSUS 的服务器，其中这些服务器在组织的 Intranet 内同步所有内容。在这种情况下，一个服务器设置为父服务器或上游服务器，然后其他服务器将同步其上的来源。附加运行 WSUS 的服务器、子服务器或下游服务器，从上游服务器同步内容的服务器。子服务器可以执行手动或自动同步，同步包括更新以及批准更新的列表，或只有更新而无列表。如果适用，可以在地理上分散的网络中定位服务器，以提供对所有客户端的最佳连接，如图3所示。



４． 断开连接的 ＷＳＵＳ 服务器

如果网络的、基于 Windows 的计算机没有连接到 Internet，在此计划方案中，管理员可以设置运行 WSUS 的内部服务器，如下图所示。在此示例中，创建了一个与 Internet 相连但与 Intranet 隔离的服务器。当在此服务器上完成下载、测试和审批后，管理员在 Intranet 内向运行 WSUS 的服务器以及向分发点手动发送媒体，如图4所示。



安装过程

利用下载的WSUSSetup.exe进行安装，一路“下一步”直到选择“本地存储路径”，指定磁盘，这里的磁盘必须大于6GB，如图5所示。



在“数据库选项”页上，选择用于管理 WSUS 数据库的软件。默认情况下，如果要安装的计算机运行 Windows Server 2003，WSUS 安装程序将提出安装 WMSDE。

如果Windows2000系统中无法使用 WMSDE，则必须为 WSUS 提供可以使用的 SQL Server 实例，具体操作方法是：单击“使用该计算机上现有的数据库服务器”，然后在“选择 SQL 实例名”框中键入实例名，如图6所示。



在“网站选择”页上，指定 WSUS 将使用的网站，或者使用另外的端口。此时要记住管理界面的访问地址http://servername/WSUSAdmin ，如图7所示。



WSUS提供进行镜像更新服务，可以从内部的其他WSUS服务器更新数据，如果是第一台服务器可以跳过“镜像更新设置”，如图8所示。单击下一步，复查安装列表后进入自动配置过程。安全完毕后可以自动启动管理工具，此处略过。



管理方法

WSUS的用户界面和SUS有很大的不同。WSUS使用屏幕右上角的几个大按钮作为导航栏。“主页”页面显示了WSUS的活动情况等综合信息，如图9所示。





按照一般操作和使用的流程，我将需要管理和配置的选项分别列出，大致分为：

内容１：设置同步选项

点击右上角的“选项”图标，继续选择“同步选项”，可以从左侧面板中进行“立即同步”和“保存设置的操作，同时可以看到“同步状态”等。根据需求在右侧面板中进一步配置，如图10所示。

自动更新时间上要考虑到对企业网络带宽的影响，尽量避免高峰期。“产品分类”中可以选择需要提供服务的操作系统的版本，一般这里不作更改。在“更新分类”中默认只有“安全更新和关键更新”两类，我推荐你在这里仔细考虑增加的更新分类，在一般的情况下需要添加“Service Pack”和“更新汇总”两项内容，如图11所示。



根据网络情况、客户端操作系统的语言种类，需要对“代理服务器”、“更新源”、“语言”进行配置。检查无误后，点击“保存设置”，如果此时你已经迫不及待地想尝试其他的选型，可以选择“立即同步”，然后进行其他的配置调试。

内容２：调整“自动批准”

点击右上角的“选项”图标，选择“自动批准选项”。进入界面后，可以看到有4个内容允许我们调整。首先是需要定义客户端到WSUS Server后进行检测更新的内容，在“批准进行检测”栏目下选择“添加/删除分类”，根据需求更改，比如增加“Service Pack”等。 下面的“计算机组”的设置可以选择默认就OK了，毕竟我们对所有的客户端都要进行自动的检测，关于如何进行计算机分组的知识，下面还会有介绍。

“批准进行安装”，这一步马虎不得。如果你的网络是慢速连接的话，在这里默认就可以了，千万不要把“Service Pack”选中，不然动辄百兆的补丁集成包在慢速连接的环境中部署，客户端的投诉电话就能把管理员烦死了。

在这里还有两点要注意：一、对于补丁安装前一定要建立一个“测试组”，模拟现在网络的所有应用，一般找一台配置较高的PC就可以了，然后启动几个VMWare（虚拟机）进行测试；二、如果安装规则和检测规则出现冲突，将使用安装规则。后面的“更新的修订”与“WSUS更新”默认就可以了，完成后保存设置，如图12所示。



内容３：计算机分组

返回上一层，点击“计算机选项”。提示：服务器发现客户端的过程是一个缓慢的过程，并且没有设置过的计算机都会自动分到“未指定的计算机”组。如果你的网络属于“域”管理模型，可以选择使用包含“组策略”的选项；如果是松散的管理模型或者大型的网络结构，采用“移动计算机”的方法来进行管理就可以了。当然，二者都有利弊，希望在WSUS的下一个版本中在此处会有更详细的配置信息。

下面我们就应该分析如何对客户端计算机分组了，点击右上角的“计算机”图标。出现界面后我们可以看到左侧分为三个选项，顾名思义，我这里就不再赘述它们的功能了。主要是如何分组的问题？根据经验，在增加测试组的以后，我们可以按照地理位置，单位名称，应用功能等进行分类。

提示：首次将某台计算机分配到某个目标组时，将使用目标组的信息来修改该计算机上的数据。数据将定期刷新或每小时刷新一次。因此，当计算机从一个计算机组移动到另一个计算机组时，这些信息可能最多需要一小时才能在客户端上刷新并在 ＷＳＵＳ 管理控制台中按照更改后的样子显示。

内容４：批准和部署更新

1. 在 WSUS 控制台工具栏上，单击“更新”。默认情况下将对更新列表进行筛选，从而只显示那些批准在客户端计算机上进行检测的关键更新和安全更新。测试时我们使用默认筛选条件，当然也可以针对“产品和分类”、“批准的选项”、“同步的时间”等方面进行筛选。

2. 在更新列表上，选择要批准安装的更新。有关选定更新的信息将显示在“详细信息”选项卡上（“Shift 键”配合选择多个连续的更新，“Ctrl 键”选择多个不连续的更新）。

3. 在“更新任务”下，单击“更改批准”。屏幕上将出现“批准更新”对话框。

4. 在“选定更新的组批准设置”列表中，针对不同的组可以设置不同的批准策略。比如：单击测试组“批准”列中列表内的“安装”，然后单击“确定”， 如图13所示。



内容５：状态分析

在以前的SUS中，除了利用第三方的工具外，对于客户端部署和更新的情况可以说是一无所知。WSUS最大的改进之一就是强化了管理功能，在报告中分成4个部分，图10详细说明了服务器和客户端的运行与更新状态。通过在 WSUS 控制台工具栏上，单击“报告”，就能让管理员对更新状况做到心中有数。

１． 更新的状态

在“报告”页上，如图14所示。单击“更新的状态”，对更新列表进行筛选。比如在“查看”下选择“所有计算机组”为范围条件，“需要”为检索条件，然后单击“应用”。通过这样的操作就能够了解到那些关键更新还没有部署到客户端，进而部署更新的工作。



２． 计算机的状态

可以非常详细的针对网络中某个计算机组，或者计算机查询对应的情况，由于操作同上面大致相同，这里略过操作步骤。

３． “同步操作”与“设置摘要”

通过查看报告中“同步操作”的内容查看是同步的时间、摘要，以及是否出现下载错误等；而通过“设置摘要”可以查看对WSUS每个配置选项的配置清单。以上4个报告都支持打印功能，这些都为“实施文档”的管理作了非常详细的准备，由此可以看出微软对于免费的安全产品的重视程度已经有了重大的改变。

客户端部署详解

客户端软件的基本要求和SUS相同，Windows 2000 需要Service Pack 3以上、Windows XP 需要Service Pack 1以上、Windows Server 2003默认即可。

１． 利用本地策略

如果是工作组管理模式就比较麻烦，在客户端的运行中输入“gpedit.msc”打开组策略编辑器，并依次展开“计算机配置——管理模板”，然后在“管理模板”上点击鼠标右键，选择“添加/删除模版”，点击“添加”按钮，并找到“%windir%\inf”目录下的“Wuau.adm”文件，双击“添加”。接着继续打开“Windows组件——Windows Update”（这一项只有在安装了客户端软件并添加后才会出现），在窗口右侧就会显示出两条可用的策略。其中“配置自动更新”可以让你设置进行更新的时间和处理方法，“指定企业内部互联网…”则用来指定服务器的位置，你可以以“http://服务器名称”或者“http://服务器IP”的方式输入。

２． “域”中的组策略

打开Active Directory用户和计算机设置窗口，在要创建策略的OU或者域上点击鼠标右键，选择“属性”，然后在属性窗口中打开“组策略”选项卡，并点击“新建”按钮，给新建的策略命名（例如叫做WSUS，）。选中新建的组策略，点击“编辑”按钮，接着会弹出一个组策略设置窗口，这跟我们平常运行gpedit.msc打开的窗口很类似，不过这里可以为整个域中的所有计算机设置组策略。

３． 编辑注册表

如果你想省去每个客户端部署的麻烦，完全可以自己制作一个注册表导入文件，内容如下：

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]

"WSUServer"="http://服务器名称或IP"

"WSUStatusServer"=" http://服务器名称或IP "

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]

"UseWSUServer"=dword:00000001

注：更详细的内容参加WSUS的白皮书，或者微软客户端补丁管理方法等。

http://www.microsoft.com/china/technet/

itsolutions/smbiz/mits/pm/mit_pm_3.mspx

部署问题精选

1. 如何配置客户端自动加入目标组？如何运行自动更新行为？

（1）添加Wuau.adm文件后，组策略中\计算机配置\Windows 组件\Windows Update\允许客户端目标设置；或者导入注册表文件，在相应位置添加TargetGroup=组名。

（2）客户端运行wuauclt.exe /detectnow

2. 尝试访问 WSUS 管理控制台时，出现 System.IO.FileNotFoundException 错误消息？

通常是由于服务器安全加固后造成的，请在 Windows Server 2003 操作系统中，授予 Network Service 账户对“%systemroot%\Temp” 的读/写访问权限。

3. 在“物理隔离”的网络中如何部署？

有些政府或者财政专网中无法连接到Internet，由于安全的需要，部署脱机的WSUS完全可行。方法如下：

（1）将要导出数据的服务器同导入服务器“同步高级选项”里面设置保持一致。

（2）将导出数据的服务器更新，使用Ntbackup备份此服务器存放更新的文件夹，默认为drive:\WSUS\WSUSContent\；在导入服务器使用ntbackup还原备份，还原时选择“替换位置”，位置指定为默认的drive:\WSUS\WSUSContent\。

（3）数据库的导出与导入

C:\Program Files\Update Services\Tools

\wsusutil export c:\export.cab c:\export.log

源服务器执行下面的命令后，将cab与Log文件复制到目标服务器，执行下面命令：

C:\Program Files\Update Services\Tools

\wsusutil import c:\export.cab c:\export.log

总结：ＷＳＵＳ基本上接近了Ｗｉｎｄｏｗｓ ｕｐｄａｔｅ网站的更新功能，如何利用好这个免费的“大馅饼”还依靠大家共同努力了。

（张崎）