WSUS (Windows Server Update Services) – это централизованная система управления обновлениями Windows в локальной сети через единый сервер. Клиенты получают обновления без прямого доступа в Интернет.

Работает следующим образом: обновления загружаются на сервер, затем, под контролем администратора или автоматически, обновления распространяются на клиентов внутри сети. Клиенты настраиваются на получение обновлений с сервера, а не из Интернета через GPO.

В техническом плане WSUS – это роль Windows Server. Чтоб успешно использовать WSUS требуется доменная сеть с контроллером домена. На DC устанавливать WSUS не рекомендуется.

 

Порядок действий.

Часть 1.

Создание ВМ

Настройка роли.

Первоначальная настройка сервера.

 

Часть2.

Добавление клиентов через GPO.

Утверждение обновлений вручную и автоматически.

Расписание.

 

Создание ВМ.

Устанавливаем ОС, добавляем в домен, выполняем другие базовые настройки. Обязательно настраиваем доступ в Интернет для скачивания обновлений.

Системные параметры сервера в данном случае такие:

ВМ Windows Server 2019.

CPU: 6 ядер.

ОЗУ динамическая: мин. 8Гб, макс 12Гб.

Системный диск: 100Гб.

Диск для данных: 300Гб.

Размер диска зависит от количества обновляемых продуктов Windows.

Под управлением WSUS-сервера находится 400 компьютеров.

 

​

Настройка роли.

Добавляем роль стандартным способом через диспетчер серверов.

 

Выбираем роль WSUS.

 

 

Следующий шаг – службы ролей.

WID Connectivity – это компонент, который подключает WSUS к базе WID (Windows Internal Database).

Если выбран WID Connectivity, значит WSUS будет использовать встроенную БД. Отдельный SQL Server не нужен.

 

Указываем расположение обновлений на подготовленном диске.

 

При выборе роли WSUS так же выбирается IIS. WSUS раздаёт обновления клиентам по HTTP/HTTPS. Для этого ему нужен веб-сервер и таким веб-сервером является IIS.

В данном выборе ничего не меняем и оставляем предлагаемые по умолчанию параметры.

Клиентские ПК подключаются к WSUS как к веб-сайту по адресу:

IIS обслуживает этот трафик. Без IIS WSUS работать не может.

 

Проверяем, подтверждаем установку и ожидаем.

 

Запуск послеустановочных задач – это обязательный этап, без которого WSUS не заработает. На этом шаге сервер инициализирует базу данных (WID), создаёт структуру WSUS, привязывает IIS, готовит хранилище обновлений. Нажимаем и ожидаем 5-10мин.

 

Первоначальная настройка WSUS.

Открываем в средствах добавленную роль и проходим мастер первоначальной настройки.

 

Первый шаг – далее.

 

Выбираем Synchronize from Microsoft Update. WSUS синхронизируется напрямую с Microsoft Update.

 

Прокси не используем – далее. Если используется, то его нужно указать.

 

Далее шаг проверки подключения и первой синхронизации.

На этом этапе WSUS подключается к Microsoft Update и скачивает метаданные (список продуктов, типы обновлений, доступные языки и тп).

Нажимаем кнопку «Начать подключение». Ожидаем 10-30мин.

Переходим далее.

 

Выбираем только необходимые языки обновлений, чтоб не занимать место на диске не используемыми данными.

 

Выбираем продукты, для которых получать обновления. Отмечаем те версии Windows, которые реально есть в организации среди клиентов, чтобы WSUS раздавал обновления безопасности и кумулятивные обновления и при этом не раздувался на сотни ГБ из-за вспомогательных пакетов и не используемых драйверов.

Upgrade & Servicing Drivers – основные кумулятивные обновления и обновления функций для конкретной версии Windows.

Просто «Windows 11» – это обобщённая категория, чтобы WSUS не упустил новые версии (для будущих сборок).

Microsoft рекомендует выбирать продукт «Windows 11» (и аналогично другие Windows), а детализированные позиции вида «Windows 11 Client, version ХХHХ and later …» использовать только при осознанной необходимости. Поэтому выбраны Windows 10, Windows 11, Windows Server 2019, 2022 и тп, то есть все имеющиеся в работе ОС и без детализации.

Если понадобится что-нибудь добавить или убрать, то это можно сделать позже в настройке сервера.

 

Выбор классов – здесь тоже выбираем только то, что реально нужно.

Отмечаем:

Критические обновления.

Накопительные пакеты обновления.

Обновления системы безопасности.

Upgrades – обновления версии ОС (21H1 >> 21H2). Для обычного контроля безопасности и кумулятивных обновлений не нужны, но можно оставить.

 

Далее расписание. Указываем время синхронизации WSUS-сервера с центром обновления в Интернете.

Для обычной эксплуатации ежедневная автоматическая синхронизация –  оптимально.

Первая синхронизация:1:00:00. Время лучше ставить вне рабочего дня, например ночью. WSUS автоматически добавляет случайную задержку до 30 минут, чтобы не перегружать сеть и сервер.

Число синхронизаций за день: 1 раз в день достаточно в большинстве случаев.

Первую синхронизацию можно сделать вручную, чтобы проверить соединение.

 

Запускаем первоначальную синхронизацию. Это создаст базу доступных обновлений на WSUS. Без этого не получится утверждать обновления и раздавать их клиентам.

 

На последнем шаге предлагаются ссылки для изучения работы с WSUS. Завершаем работу мастера на кнопку «Готово».

 

Далее откроется консоль сервера. Ожидаем синхронизацию. Первая синхронизация всегда самая долгая, несколько часов.

В консоли можно изменить все вводимые через мастер параметры.

​

Первоначальная настройка завершена.

На следующей странице представлен пример добавления клиентов и дальнейшая работа с обновлениями.