Обновлено 09.11.2016
Добрый день уважаемые читатели и гости блога, продолжаем с вами изучение серверной операционной системы от компании Microsoft и сегодня будет показана базовая настройка windows server 2016 standard, так как перед вводом в эксплуатацию, она максимально должна быть прокачана в плане оптимизации производительности и в плане безопасности, так как постоянно со временем выходит много бюллетеней безопасности, которых нет в стандартных сборках на сайте microsoft.com. Обо всем по порядку.
Настройка windows server 2016 с нуля
И так в предыдущей статье я вам дал ссылку, где можно скачать windows server 2016, залита она для вашего удобства на яндекс диск и со временем так же будет обновляться, встроенными обновлениями, раз в квартал, так, что в декабре ждите свежую версию. Так же я вам подробно рассказал, как производится установка windows server 2016 и мы рассмотрели, что нового появилось в данной операционной системе, и как я и писал выше, дальше от вас требуется в windows server 2016 настройка всевозможных параметров, перед вводом ее в продакшен.
Настройка сети в windows server 2016
С чего начинается настройка windows server 2016 с нуля, логично, что с настройки сети, а именно:
- Необходимо выделить и задать статический ip адрес
- Прописать шлюз
- Прописать ip адреса dns серверов
Для этого вы должны определиться какой ip выдать, если не знаете, то обратитесь к вашему сетевому инженеру, после чего идем на сервер и открываем Центр управления сетями и общим доступом, сделать это можно двумя методами
- Нажать WIN+R и ввести ncpa.cpl
- Щелкнуть правым кликом по значку сети и выбрать Центр управления сетями и общим доступом
Далее выбираете сетевой интерфейс, переходите в его свойства, я обычно отключаю использование протокола ipv6, так как он у меня на работе не используется и заходим дальше в свойства IP версии 4 (TCP/Ipv4). Задаем все пункты, вашей сети и жмем ок.
Установка обновлений безопасности
Следующим важнейшим шагом, является установка самых последних обновлений операционной системы, так как их на тот момент уже может появиться очень много. Делается это очень просто, для этого существую горячие клавиши Windows, жмем WIN+I, у вас откроется окно Параметры Windows, переходим там в пункт Обновление и безопасность, именно этот пункт позволит скачать самые свежие апдейты.
После установки выполните перезагрузку сервера.
Задать имя сервера
И так продолжается настройка Windows Server 2016 и следующим важным этапом идет, задание серверу dns имени, которое соответствует стандартам принятым в вашей организации. Для этого щелкаем правым кликом по кнопке пуск и выбираем пункт Система.
В окне Система нажмите Изменить параметры > Изменить > и задайте имя для сервера с Windows Server 2016, при желании можете ввести его в домен Active Directory.
Если вы поменяете рабочую группу, то увидите окно с приглашением
И для применения имени, вам потребуется перезагрузить сервер.
Отключаем индексирование в Windows Server 2016
Если вы часто не пользуетесь на сервере поиском файлов, то данная служба вам не нужна, и ее отключение позволит увеличить, хоть на немного скорость жесткого диска. Открываем проводник и щелкаем правым кликом по нужному локальному диску, и выбираем свойства.
И снимаем галку Разрешить индексировать содержимое файлов на этом диске в дополнение к свойствам файла.
Применяем ко всему диску и ко всем вложенным папкам и файлам.
Если выскочит окно с предупреждением жмем Продолжить.
Далее пропустить все.
Обновить драйвера в Windows и на железо
Перед тем как передавать сервер, требуется установить самые последние стабильные драйвера в Windows и по возможности обновить прошивки у всего оборудования, что есть.
- Для обновления драйверов Windows я использую сборник SamDrivers, о его работе я уже писал, читайте по ссылке слева.
- Обновить прошивку на RAID контроллере. Тут все зависит от производителя. Вот вам пример обновления firmware LSI
- Обновить прошивки с помощью специальных ISO образов от вендоров, примером может служить процедура обновления прошивок IBM или обновление прошивок HP.
Отключение не нужных служб
Да и такие, тоже присутствуют, как вы знаете, чем меньше служб запущено, тем меньше потребляется ресурсов сервера и меньше фронт сетевых атак. Нажимаем WIN+R и вводим services.msc.
Так как у нас уже настроена сеть в виде статического Ip, то смысла в использовании службы DHCP у нас нет, далее отключаем Диспетчер печати, если не собираетесь использовать Windows Server как сервер печати или терминал сервер, выключите службу Темы.
Вот такая стандартная настройка выходит у меня при установке операционной системы Windows Server 2016, если еще, что то появится я обязательно допишу это тут.
Службы обновления Windows Server ( WSUS ) — это программа, разработанная Microsoft, которая является эффективным инструментом для администраторов обновлений Windows.
Содержание
- Что такое Windows Update
- Введение в службы обновления Windows Server
- Системные требования для WSUS
- Настройка лаборатории WSUS
- Порты/исключения брандмауэра WSUS
- Установка роли WSUS на Windows Server 2016
- Роли сервера — Windows Server Update Services
- Тип базы данных WSUS — службы ролей
- Расположение содержимого WSUS
- Конфигурируем IIS
- Настройка служб обновления Windows Server (WSUS)
- Выберите вышестоящий сервер WSUS
- Прокси сервер
- Выберите языки для обновлений
- Выберите продукты
- Выберите Обновить классификации
- Настройка расписания синхронизации WSUS
- Установка Microsoft Report Viewer
- Настройка WSUS
- Классификация обновлений
- Настройка групп компьютеров WSUS
- Настройка ПК на получение обновлений WSUS через GPO
- Политика установки обновлений WSUS для рабочих станций
- Назначаем политики WSUS на OU Active Directory
Что такое Windows Update
Давайте начнем с некоторых основ. Когда вы устанавливаете операционную систему или создаете образ машины, вы всегда следите за тем, чтобы на нее были установлены последние обновления. Не только операционная система, но и почти каждое программное обеспечение, которое мы используем, нуждается в постоянном обновлении.
Обновления Windows выпускаются для исправления ошибок, устранения проблем безопасности в ОС и добавления новых функций в операционную систему. Обновления Windows полагаются на службу Центра обновления Windows, которая по умолчанию настроена на автоматический запуск.
Служба Windows Update автоматически загружает и устанавливает рекомендуемые и важные обновления.
Обновления Microsoft можно разделить на следующие категории:
- Критические обновления
- Обновления безопасности
- Обновления определений
- Драйверы
- Накопительные пакеты обновлений
- Пакеты услуг
- Инструменты
- Пакеты функций
- Обновления
Если вы перешли с Windows 7 на Windows 10, вы заметите множество новых опций в Центре обновления Windows. Вы получаете несколько интересных опций, таких как приостановка обновлений на 7 дней, изменение активных часов для установки обновлений. В дополнение к этому есть много полезных опций в разделе «Дополнительные параметры».
Введение в службы обновления Windows Server
Службы Windows Server Update Services (WSUS) позволяют администраторам развертывать последние обновления продуктов Microsoft. WSUS — это роль сервера Windows Server, и при ее установке вы можете эффективно управлять обновлениями и развертывать их.
Одной из наиболее важных задач системных администраторов является постоянное обновление клиентских и серверных компьютеров с помощью последних исправлений программного обеспечения и обновлений безопасности. Без WSUS было бы очень сложно управлять развертыванием обновлений.
Если в вашей установке есть один сервер WSUS, обновления загружаются непосредственно из Центра обновления Майкрософт. Однако, если вы устанавливаете несколько серверов WSUS, вы можете настроить сервер WSUS для работы в качестве источника обновлений, который также известен как вышестоящий сервер.
Вместо того, чтобы позволять нескольким компьютерам загружать обновления непосредственно из Интернета, вы можете настроить сервер WSUS и указать клиентам загружать все обновления с сервера WSUS. При этом вы экономите пропускную способность интернета, а также ускоряете процесс обновления Windows.
Системные требования для WSUS
Минимум требования к оборудованию для WSUS
| Процессор | Процессор x64 1,4 ГГц (2 ГГц или выше повторно рекомендуется) |
| Память | Дополнительные 2 ГБ ОЗУ больше, чем требуется серверу |
| Доступное место на диске | 10 ГБ (рекомендуется 40 ГБ или больше) |
| Сетевой адаптер | 100 Мбит/с или больше |
В этом примере рассматривается процедура установки служб обновления Windows Server с использованием внутренней базы данных Windows (WID).
Настройка лаборатории WSUS
| Имя сервера | Операционная система | Роли | ip Адрес |
| server1.pentagon.loc | Server 2016 Standart | WSUS | 10.0.0.3 |
| dc1.pentagon.loc | Server 2016 Standart | AD,DNS | 10.0.0.1 |
Порты/исключения брандмауэра WSUS
При настройке сервера WSUS важно, чтобы сервер подключался к обновлению Microsoft для загрузки обновлений. Если между WSUS и Интернетом есть корпоративный брандмауэр, возможно, вам придется настроить этот брандмауэр, чтобы WSUS мог получать обновления.
Для получения обновлений из Центра обновления Майкрософт сервер WSUS использует порт 443 для протокола HTTPS. Вы должны разрешить доступ в Интернет из WSUS к следующему списку URL-адресов:
- http://windowsupdate.microsoft.com
- http://*.windowsupdate.microsoft.com
- https://*.windowsupdate.microsoft.com
- http://*.update.microsoft.com
- https://*.update.microsoft.com
- http://*.windowsupdate.com
- http://download.windowsupdate.com
- https://download.microsoft.com
- http://*.download.windowsupdate.com
- http://wustat.windows.com
- http://ntservicepack.microsoft.com
- http://go.microsoft.com
- http://dl.delivery.mp.microsoft.com
- https://dl.delivery.mp.microsoft.com
Установка роли WSUS на Windows Server 2016
Шаги по установке роли служб обновления Windows Server (WSUS) в Windows Server 2019 включают:
- Войдите на сервер Windows 2016, на котором вы планируете установить роль сервера WSUS, используя учетную запись, которая является членом группы локальных администраторов.
- В диспетчере серверов нажмите «Manage» и нажмите «Add Roles and Features » .
- На странице «Before you begin» нажмите « Next» .
- На странице выбора типа установки выберите вариант Role-based or feature-based installation . Нажмите «Next» .
На странице «Выбор сервера» проверьте имя сервера и нажмите « Next» .
Роли сервера — Windows Server Update Services
На странице «Роли сервера» выберите роль « Windows Server Update Services ». Вы должны увидеть поле Add Features, необходимые для служб Windows Server Update Services. Нажмите « Add Features» и нажмите «Next» .
На странице «Select features» оставьте параметры по умолчанию и нажмите « Next» .
На странице Службы обновления Windows Server нажмите кнопку Далее .
Тип базы данных WSUS — службы ролей
Необходимо выбрать службы ролей/тип базы данных для установки служб Windows Server Update. Выберите «WID Connectivity» и «WSUS Services» . Нажмите «Next» .
Расположение содержимого WSUS
Укажите расположение содержимого для хранения обновлений. Я бы рекомендовал хранить обновления на другом диске, а не на диске C:. Размер этой папки со временем может увеличиться, и вы не хотите, чтобы эта папка находилась на диске C:. Поэтому выберите либо отдельный диск, либо храните обновления на удаленном сервере.
Нажмите «Далее» .
Далее у вас будет настройка роли Web Server Role(IIS) , нажмите пару раз next
Окончательное подтверждение перед установкой WSUS. Проверьте настройки и нажмите « Install» .
После завершения установки WSUS щелкните Launch Post-Installation tasks после установки .
Либо сделайте это тут
Дождитесь окончания процесса
Конфигурируем IIS
При большом количестве клиентов WSUS (более 1500) вы можете столкнутся с существенным снижением производительность пула IIS WsusPoll, который раздает обновления клиентам. Может появляться ошибка 0x80244022 на клиентах, или при запуске консоль WSUS падать с ошибкой Error: Unexpected Error + Event ID 7053 в Event Viewer (The WSUS administration console has encountered an unexpected error. This may be a transient error; try restarting the administration console. If this error persists).
Queue Length = 2000 (up from default of 1000)
Idle Time-out (minutes) = 0 (down from the default of 20)
Ping Enabled = False (from default of True)
Private Memory Limit (KB) = 0 (unlimited, up from the default of 1843200 KB)
Regular Time Interval (minutes) = 0 (to prevent a recycle, and modified from the default of 1740)Настройка служб обновления Windows Server (WSUS)
После установки WSUS вы можете настроить сервер WSUS с помощью мастера настройки сервера WSUS. Это одноразовая конфигурация, в которой вы настроите некоторые важные параметры WSUS.
Если вы не видите мастер настройки сервера WSUS или пропустили его по ошибке, не беспокойтесь. Вы можете запустить его, открыв WSUS Console > Options > WSUS Server Configuration wizard.
Примечание. Прежде чем приступить к настройке WSUS, несколько важных моментов.
- Убедитесь, что брандмауэр сервера разрешает клиентам доступ к серверу WSUS. Если у клиентов возникают проблемы с подключением к серверу WSUS, обновления не будут загружаться с сервера.
- WSUS загружает обновления с вышестоящего сервера, которым в нашем случае являются сервера обновления Microsoft. Поэтому убедитесь, что брандмауэр разрешает серверу WSUS подключаться к Центру обновления Майкрософт.
- Если в вашей настройке есть прокси-сервер, вы должны ввести учетные данные для прокси-сервера при настройке WSUS. Имейте их под рукой, поскольку они необходимы.
На странице «Перед началом» нажмите « Далее » .
Нажмите «Далее» .
Выберите вышестоящий сервер WSUS
Это важный раздел, в котором вы выбираете вышестоящий сервер. Вы получаете два варианта.
- Синхронизировать из Центра обновления Майкрософт — при выборе этого параметра обновления будут загружаться из Центра обновления Майкрософт.
- Синхронизировать с другого сервера служб обновления Windows Server — выберите этот параметр, если хотите, чтобы этот сервер WSUS загружал обновления с уже существующего сервера WSUS. Вы должны указать имя сервера и номер порта (8530) по умолчанию. Если вы выбираете вариант использования SSL во время синхронизации обновлений, убедитесь, что вышестоящий сервер WSUS также настроен на поддержку SSL.
Поскольку это будет мой единственный сервер WSUS, я выберу Synchronize from Microsoft Update . Нажмите «Далее» .
Прокси сервер
Укажите информацию о прокси-сервере, если он у вас есть. Если выбран этот параметр, убедитесь, что вы указали имя прокси-сервера и номер порта. В дополнение к этому укажите учетные данные для подключения к прокси-серверу. Если вы хотите включить базовую аутентификацию для пользователя, подключающегося к прокси-серверу, нажмите Разрешить базовую аутентификацию (пароль в открытом виде) .
Нажмите «Далее» .
На странице «Connect to upstream server» нажмите кнопку « Начать подключение » . Подключение может быть не быстрым, у меня оно было около часу, в любом случае дождитесь ответа , это будет либо ошибка либо даст возможность продолжить далее настроивать сервер
Выберите языки для обновлений
На странице «Выбор языков» у вас есть возможность выбрать языки из обновлений. Если вы выберете загрузку обновлений на всех языках, вы найдете обновления на всех языках в консоли WSUS.
Однако, если вы хотите получать обновления только для определенных языков, выберите Загружать обновления только на этих языках . Выберите языки, для которых вы хотите получать обновления.
Нажмите «Далее» .
Выберите продукты
На этой странице вы выбираете продукты, для которых хотите получать обновления. Продукт — это конкретная версия операционной системы или приложения.
Из списка продуктов вы можете выбрать отдельные продукты или семейства продуктов, для которых вы хотите, чтобы ваш сервер синхронизировал обновления. В этом случае в качестве продуктов я выбрал , все, но вы можете выбрать отдельно к примеру Windows Server 2016, windows 10, windows 7-8-9-xp-11
Например, если вы уверены, что в вашей сети не осталось компьютеров с Windows 7 или Windows 8, не выбирайте эти опции.
Нажмите «Далее» .
Выберите Обновить классификации
В начале поста я перечислил типы обновлений. На странице Choose Classifications выберите нужные классификации. Я выбрал критические обновления , обновления безопасности и накопительные пакеты обновлений .
Нажмите «Далее» .
Настройка расписания синхронизации WSUS
Вы должны решить, как вы хотите выполнять синхронизацию WSUS. На странице Set Sync Schedule (Установить расписание синхронизации) можно выбрать, выполнять ли синхронизацию вручную или автоматически.
Если вы выберете Синхронизировать вручную , вы должны вручную запустить процесс синхронизации из Консоли администрирования WSUS. Если выбран этот параметр, вам придется каждый раз выполнять синхронизацию вручную. Поэтому не выбирайте этот параметр, если вы настраиваете WSUS в рабочей среде.
Если вы выберете « Синхронизировать автоматически », сервер WSUS будет синхронизироваться через заданные промежутки времени. Вы можете установить время первой синхронизации. Затем установите количество синхронизаций в день. В раскрывающемся списке вы можете выбрать значение от 1 до 24.
Нажмите «Далее» .
Щелкните Начать первоначальную синхронизацию . Нажмите «Далее» .
Наконец, на последней странице нажмите « Готово » . На этом шаги по настройке WSUS завершены.
Установка Microsoft Report Viewer
Открываем консоль Windows Server Update Services, в разделе Reports выбираем любой из пунктов и видим сообщение что необходима установка Microsoft Report Viewer
Переходим по ссылке и скачиваем
Запускаем инсталляцию ReportViever и получаем следующее сообщение.
Установка Microsoft System CLR Types for SQL Server
Скачиваем и устанавливаем
после установки при нажатии на репорт ошибка осталась,закройте консоль WSUS и откройте заново.
Теперь при нажатии на любой из репортов должно открываться новое окно, для проверки открываем Update Status Summary
Настройка WSUS
Открываем раздел Options.
Здесь можно изменить те данные, которые вносились при первичной настройке WSUS, либо запустить настройку заново.
Открываем Update files and Languages и задаем скачивание обновлений после утверждения.
Тем самым с Microsoft не будут загружаться не нужные обновления и захламлять место на диске. Минус данного способа в том, что если пользователь ПК решил обновить свой Windows, а обновления еще не были утверждены и закачены на сервер, то это вызовет ошибку в обновлении на ПК пользователя.
Если галочка убрана, то все обновления нужные и не нужные после синхронизации с Microsoft будут загружаться на сервер.
Что следует понимать под не нужными обновлениями. Предположим вы не давно обновили версию Windows на Windows 10 и на всех компьютерах у вас версия 1909. Соответственно обновления для всех остальных версий вам не нужны.
Определить версию операционной системы Windows
В командной строке выполним systeminfo, получаем:
Windows 10 (2004) 19041.423
Windows 10 (1909) 18363.997
Windows 10 (1903) 18362.997
Windows 10 (1809) 10.0.17763
Windows 10 (1803) 10.0.17134
Windows 10 (1709) 10.0.16299
Windows 10 (1703) 10.0.15063
Windows 10 (1607) 10.0.14393
Windows 10 (1511) 10.0.10586
Windows 10 10.0.10240
Windows Server 2016 (Long-Term Servicing Channel) 1607 14393.0Классификация обновлений
На этом этапе мы разделим обновления по классификации.
Выбираем Updates и правой кнопкой, выбираем New Update View.
1. Устанавливаем галочки
2. Выбираем классификацию обновления
3. Выбираем продукт
4. Задаем имя.
В нашем примере мы создаем более мелкие классификации обновлений.
Если этот вариант Вам не нравится, Вы можете объединить в один
Update View все обновления, например, для Windows 10 или один тип обновлений для нескольких ОС.
Для Windows Defender выбираем Definition Updates.
Windows Defender проверяет наличие обновлений через клиента автоматического обновления.
Настройка групп компьютеров WSUS
Создавая группы компьютеров, вы можете сначала тестировать и нацеливать обновления на определенные компьютеры. Когда вы откроете консоль WSUS, вы найдете две группы компьютеров по умолчанию — « All Computers » и «Unassigned Computers» .
Вы можете создавать настраиваемые группы компьютеров для управления обновлениями в вашей организации. Согласно Microsoft, вы должны создать хотя бы одну группу компьютеров в консоли WSUS. Тестируйте обновления, прежде чем развертывать их на других компьютерах в вашей организации.
Чтобы создать новую группу компьютеров в консоли WSUS
В консоли администрирования WSUS в разделе «Службы обновления» разверните сервер WSUS. Разверните компьютеры, щелкните правой кнопкой мыши All Computers и выберите Add Computer Group .
В диалоговом окне «Добавить группу компьютеров» укажите имя новой группы и нажмите « Add» .
Созданим 2 группы — WorkStation , Servers
Данное условие не касается обновлений например для Windows Defender, которое можно установить на автоматическое обновление без утверждений, но об этом поговорим позже.
Распределение компьютеров по группам может происходить двумя разными способами. Можно заполнить вручную с помощью консоли администрирования WSUS или автоматически с использованием групповой политики. Во вкладке Options выбираем Computers и выбираем нужный способ распределения компьютеров.
В нашем случае установим через Group Policy. Все новые компьютеры будут появляться в каталоге Unassigned Computers откуда мы их будем разносить по нужным группам и применять к ним обновления. Опция Use group Policy or registry settings on computers — Это выбор через групповые политики.
Настройка ПК на получение обновлений WSUS через GPO
Групповые политики AD позволяют администратору автоматически назначить компьютеры в различные группы WSUS, избавляя его от необходимости ручного перемещения компьютеров между группами в консоли WSUS и поддержки этих групп в актуальном состоянии. Назначение клиентов к различным целевым группам WSUS основывается на метке в реестре на клиенте (метки задаются групповой политикой или прямым редактированием реестра). Такой тип соотнесения клиентов к группам WSUS называется client side targeting (Таргетинг на стороне клиента).
Предполагается, что в нашей сети будут использоваться две различные политики обновления — отдельная политика установки обновлений для серверов (Servers) и для рабочих станций (Workstations). Эти две группы нужно создать в консоли WSUS в секции All Computers.
Политика использования сервера обновлений WSUS клиентами во многом зависит от организационной структуры OU в Active Directory и правил установки обновлении в организации. Это всего лишь частный вариант, позволяющий понять базовые принципы использования политик AD для установки обновлений Windows.
В первую очередь необходимо указать правило группировки компьютеров в консоли WSUS (targeting). По умолчанию в консоли WSUS компьютеры распределяются администратором по группам вручную (server side targeting). Нас это не устраивает, поэтому укажем, что компьютеры распределяются в группы на основе client side targeting (по определенному ключу в реестре клиента). Для этого в консоли WSUS перейдите в раздел Options и откройте параметр Computers. Поменяйте значение на Use Group Policy or registry setting on computers (Использовать на компьютерах групповую политику или параметры реестра).
Теперь можно создать GPO для настройки клиентов WSUS. Откройте доменную консоль управления групповыми политиками (Group Policy Management) и создайте две новые групповые политики: ServerWSUSPolicy и WorkstationWSUSPolicy.
Теперь можно создать GPO для настройки клиентов WSUS. Откройте доменную консоль управления групповыми политиками (Group Policy Management) и создайте две новые групповые политики: ServerWSUSPolicy и WorkstationWSUSPolicy.
Для запуска консоли групповых политик можно установить дополнительно пакет Grop Policy Management либо настроивать через контроллер домена и пакет модуля RSAT для работы с AD
Создадим две OU в AD , под компьютеры
После запускаем gpmc.msc — Group Policy Manager
Выдяляем OU Servers и создаем в нем груповую политику и именуем ее в ServerWSUSPolicy
Начнем с описания серверной политики ServerWSUSPolicy.
Настройки групповых политик, отвечающих за работу службы обновлений Windows, находятся в разделе GPO: Computer Configuration -> Policies-> Administrative templates-> Windows Component-> Windows Update (Конфигурация компьютера -> Административные шаблоны -> Компоненты Windows -> Центр обновления Windows > Разрешить клиенту присоединится к целевой группе). По английски будет Enable client-side targeting
В нашей организации мы предполагаем использовать данную политику для установки обновлений WSUS на сервера Windows. Предполагается, что все попадающие под эту политику компьютеры будут отнесены к группе Servers в консоли WSUS. Кроме того, мы хотим запретить автоматическую установку обновлений на серверах при их получении. Это значит, что продуктивные сервера не будут автоматически устанавливать обновления и перезагружаться без подтверждения администратора (обычно эти работы выполняются системным администратором в рамках ежемесячных плановых регламентных работ). Для реализации такой схемы зададим следующие политики:
- Configure Automatic Updates (Настройка автоматического обновления): Enable. 3 – Auto download and notify for install (Автоматически загружать обновления и уведомлять об их готовности к установке) – клиент автоматически скачивает новые обновлений и оповещает об их появлении;
- Specify Intranet Microsoft update service location (Указать размещение службы обновлений Майкрософт в интрасети): Enable. Set the intranet update service for detecting updates (Укажите службу обновлений в интрасети для поиска обновлений): http://server1:8530, Set the intranet statistics server (Укажите сервер статистики в интрасети): http://server1:8530 – здесь нужно указать адрес вашего сервера WSUS и сервера статистики (обычно они совпадают);
- No auto-restart with logged on users for scheduled automatic updates installations (Не выполнять автоматическую перезагрузку при автоматической установке обновлений, если в системе работают пользователя): Enable – запретить автоматическую перезагрузку при наличии сессии пользователя;
- Enable client-side targeting (Разрешить клиенту присоединение к целевой группе): Enable. Target group name for this computer (Имя целевой группу для данного компьютера): Servers – в консоли WSUS отнести клиенты к группе Servers.
Включим в этой же политике принудительный запуск обновлений windows
Для этого в разделе Computer Configuration -> Policies-> Windows Setings -> Security Settings -> System Services найдите службу Windows Update и задайте для нее автоматический запуск (Automatic).
Политика установки обновлений WSUS для рабочих станций
Выдяляем OU Workstation и создаем в нем груповую политику и именуем ее в WorkstationWSUSPolicy
Мы предполагаем, что обновления на клиентские рабочие станции, в отличии от серверной политики, будут устанавливаться автоматически ночью сразу после получения обновлений. Компьютеры после установки обновлений должны перезагружаться автоматически (предупреждая пользователя за 5 минут).
В данной GPO (WorkstationWSUSPolicy) мы указываем:
Computer Configuration -> Policies-> Administrative templates-> Windows Component-> Windows Update
- Allow Automatic Updates immediate installation (Разрешить немедленную установку автоматических обновлений): Disabled — запрет на немедленную установку обновлений при их получении;
- Allow non-administrators to receive update notifications (Разрешить пользователям, не являющимся администраторами, получать уведомления об обновлениях): Enabled — отображать не-администраторам предупреждение о появлении новых обновлений и разрешить их ручную установку;
- Configure Automatic Updates: Enabled. Configure automatic updating: 4 — Auto download and schedule the install. Scheduled install day: 0 — Every day. Scheduled install time: 05:00 – при получении новых обновлений клиент скачивает в локлаьный кэш и планирует их автоматическую установку на 5:00 утра;
- Enable client-side targeting: Workstation – в консоли WSUS отнести клиента к группе Workstation;
- No auto-restart with logged on users for scheduled automatic updates installations: Disabled — система автоматически перезагрузится через 5 минут после окончания установки обновлений;
- Specify Intranet Microsoft update service location: Enable. Set the intranet update service for detecting updates: http://server1:8530, Set the intranet statistics server: http://server1:8530 –адрес корпоративного WSUS сервера.
- Do not allow update deferral policies to cause scans against Windows Update — Отключение обновления из интернета , если не доступен wsus
Включим в этой же политике принудительный запуск обновлений windows
Для этого в разделе Computer Configuration -> Policies-> Windows Setings -> Security Settings -> System Services найдите службу Windows Update и задайте для нее автоматический запуск (Automatic).
Назначаем политики WSUS на OU Active Directory
Следующий шаг – назначить созданные политики на соответствующие контейнеры (OU) Active Directory. В нашем примере структура OU в домене AD максимально простая: имеются два контейнера – Servers (в нем содержаться все сервера организации, помимо контроллеров домена) и Workstation (Workstations –компьютеры пользователей).
Чтобы назначить политику на OU, щелкните в консоли управления групповыми политиками по нужному OU, выберите пункт меню Link as Existing GPO и выберите соответствующую политику.
Осталось обновить групповые политики на клиентах для привязки клиента к серверу WSUS:
gpupdate /force
и получить обновления на клиенте , после они появятся в списке
Установка обновлений рекомендуется для повышения стабильности и производительности системы, для установки или апгрейда новых компонентов, которые используются многими программами и системой, например установка Net Framework 4.7 выполняется через установку обновлений. Также регулярные обновления помогают устранять уязвимости и повышают безопасность системы в целом.
Самый простой способ установить обновления — через Центр обновлений Windows.
Для всех версий Windows Server процедура установки обновлений почти одна и та же, за исключением минимальных отличий.
Установка обновлений на Windows Server 2012 R2
Чтобы попасть в Центр обновлений Windows, нужно нажать на кнопку Стартового Меню в левом нижнем углу рабочего стола и проследовать по пути:
Старт Меню (Start Menu) -> Панель управления (Control Panel) -> Система и безопасность (System and Security) -> Центр обновления Windows (Windows Update)
Либо можно войти в Старт Меню, ввести текст «update», если у Вас англоязычная версия Windows или «Центр обновления» для русскоязычной версии Windows, Вы увидите в списке найденных программ — Центр обновления Windows (Windows Update), нажмите на данную опцию.
Также в Центр обновления Windows можно попасть через командную строку Powershell, набрав команду «control update» и подтвердив ввод кнопкой Enter
В центре обновления Windows нажмите кнопку Поиск обновлений (Cheсk for updates).
После окончания поиска видно, что найдены важные и опциональные пакеты обновлений, нажмите кнопку Установить обновления (Install updates):
После того, как пакеты обновлений будут скачаны и установлены, Вы увидите сообщение об успешном обновлении, либо кнопку с требованием перезагрузить сервер для применения новой конфигурации (после нажатия кнопки сервер перезагрузится, все программы остановят свою работу, связь через удалённый рабочий стол станет недоступна, поэтому обязательно сохраните все Ваши файлы и незавершённые настройки/программы перед нажатием кнопки).
Если готовы, нажмите кнопку Перезагрузить сейчас (Restart now):
Также сервер можно перезапустить из Стартового меню:
Далее начнётся завершение работы и установка новых компонентов, иногда это может занимать несколько минут, а иногда может занять и полчаса, поэтому Ваш сервер может быть некоторое время недоступен для подключения, подождите 5-30 минут и затем пробуйте подключаться к серверу. (Вы всегда можете отслеживать процесс загрузки системы на наших серверах, используя окно VNC/IPMI-подключения.)
Обновления установлены.
Рекомендуется повторить процедуру установки обновлений и перезагрузить сервер снова, так как не все обновления устанавливаются сразу, некоторые становятся доступны только после установки предыдущих.
Установки обновлений на Windows Server 2016 и Windows Server 2019
Процедура такая же как и для Windows Server 2012 (смотрите выше в данной статье), поэтому описывать процесс детально не буду, лишь приложу несколько скриншотов, так как графический интерфейс отличается от Windows Server 2012 r2
Чтобы попасть в Центр обновлений Windows, нужно нажать на кнопку Стартового Меню в левом нижнем углу рабочего стола и проследовать по пути:
Старт Меню (Start Menu) -> кнопка Настройки (Settings) -> Обновления и безопасность (Update and Security) -> Центр обновления Windows (Windows Update)
Или найдите через поиск в Стартовом меню, затем перейдите в опцию «Windows Update settings«:
Поиск обновлений:
Скачивание и дальнейшая установка обновлений:
По окончанию установок перезапустите систему:
Система начнет перезапуск и соединение с сервером через удалённый рабочий стол будет разорвано на время его перезапуска.
Дождитесь пока сервер снова станет доступен к подключению, приблизительное время: 5-30 минут. (Вы всегда можете отслеживать процесс загрузки системы на наших серверах, используя окно VNC/IPMI-подключения.)
Рекомендуется повторить всю процедуру, так как многие обновления становятся доступны только после установки предыдущих.
Однако обратите внимание, что не рекомендуется устанавливать полностью все обновления в Windows Server 2016-2019 на серверах с размером диска 20 Гб или менее, так как обновления имеют большой размер и могут занять все свободное пространство.
Skip to content
Windows Server Update Services on Windows Server 2016 – A brief overview
Windows Server Update Services on Windows Server 2016 – A brief overview
Windows Server Update Services (WSUS) enables information technology administrators to deploy the latest Microsoft product updates to computers that are running the Windows operating system. By using WSUS, administrators can fully manage the distribution of updates that are released through Microsoft Update to computers in their network.
Here we will be seeing how to enable Windows Server Update Services in Windows Server 2016.
Protect Your Data with BDRSuite
Open server manager and click on add roles, there you can find Windows Server Update Services Select that and click next. To install and run the Windows Server Update Services, we need to enable Web server (IIS) which will be added automatically and for our information, there will be an alert in the next screen.
These are the basic requirements needed to install Windows Server Update Services (WSUS). Installation will start once we click install.
After successful installation, we need to configure WSUS. You can click Task tab in Server manager and start the Post deployment configuration of WSUS. Now If you check the left side pane of Server manager you can find Windows Server Update Services.
Before proceeding once, please ensure that the server’s firewall is configured to allow clients to access the server and WSUS server can connect to the upstream server (such as Microsoft Update), the name of the proxy server and the user credentials for the proxy server, if needed, any restriction in connecting the Internet like firewall etc, and make sure that you have allowed the below url’s.
http://windowsupdate.microsoft.com
http://*.windowsupdate.microsoft.com
https://*.windowsupdate.microsoft.com
http://*.update.microsoft.com
https://*.update.microsoft.com
http://*.windowsupdate.com
http://download.windowsupdate.com
http://download.microsoft.com
http://*.download.windowsupdate.com
http://wustat.windows.com
http://ntservicepack.microsoft.com
http://go.microsoft.com
We will be configuring WSUS by using the WSUS Configuration Wizard.
Go to server manager and click tools. Here you can find Windows Server Update Services, Now the configuration wizard will start.
Upon clicking next, you will be asked to join the Microsoft Update Improvement Program. If you wish to participate, click the box given below and click next. In next page, you will be asked for upstream for updates. You have two choices first one is Synchronize from Microsoft Update and the second is Synchronize from Windows Server Update Services server. If you already using Windows Server Update Services you can get updates from that server. We are going to deploy a new server so select first option and click next.
If you are using any Proxy server check the box and fill up your proxy server details or else click next.
To test the connectivity with Microsoft Update Server click Start Connecting and after successful communication click next. Now we have to select the language which WSUS will receive updates. After selecting appropriate language click next.
In this page we need to specify the products which you need updates.
Select the appropriate products for your need and click next.
Next we need to choose classifications of updates you want to Synchronize and click next.
In next page configure Schedule for Synchronize. Two options will be present which will be automatic and manual. If you select manual, then you have to start the synchronization process from the WSUS Administration Console. If you select automatically Synchronize, the WSUS server will Synchronize at the selected time stamp. In next page click the Begin Initial synchronization and click finish. Depending on your Internet speed and the products you have chosen the first time, time of synchronization will vary
Configure WSUS computer groups:
Two default groups will be there in WSUS administration console. All computers and Unassigned computers. By default, all the computers will appear in Unassigned computers group. After creating the appropriate groups you can move the clients to that group.
To create a computer group:
Go to WSUS Administration Console and under update services expand the WSUS server here you can find computers expand it and navigate to All computers and right click and select add computer group and create a new group.
Now go to the Unassigned computers tab and right click the clients which you want to move to the new group and click change membership and select the appropriate group.
Setting Automatic Updates in Group Policies:
Open Group Policy Management Console and select the GPO which you want configure Automatic Updates and click edit. In the GPMC expand computer Configuration, next Policies, next Administrative Templates, next Windows components, and then click Windows Update. In the right pane, Open Configure Automatic Updates and click Enable. And select the appropriate option for your need.
Next select Enable client-side targeting, and enable and then type the name of the WSUS computer group in the Target group name for this computer box.
After successful setup of a client computer, it will take several minutes to appear on the computers page in the WSUS Administration Console.
To initiate WSUS detection Immediately open a command prompt with administrator privileges in client and run this command wuauclt.exe /detectnow.
You can check in Windows update in client machine for the settings change.
Now the client machine is all set to receive updates from the WSUS server. Deployment of WSUS role was not a tough task and is pretty straightforward although one needs basic knowledge of updation to understand how it works. Needless to say that it is beneficial for domain controlled computers and administrators who need hassle free IT management.
Follow our Twitter and Facebook feeds for new releases, updates, insightful posts and more.
Try BDRSuite for Free!
Schedule a live demo with one of our product experts
Start your full-featured 30-day free trial
Explore detailed pricing, editions & features
In this article, we will show how to install Windows Server 2016 Update Services also known as WSUS. This installation will be utilizing the built-in SQL services, meaning that an external SQL server will not be utilized. Additionally, a data drive (E:) has been created to store downloaded updates. Depending on your needs, an external SQL server or data storage for updates may be more appropriate.
This installation has been performed on a newly created server specifically for Update Services. No other Roles or Features has been configured besides what is needed for Update Services.
1. From Server Manager, click on Add roles and features.
2. Click Next.
3. Ensure Role-based or feature-based installation is selected and click Next.
4. Click Next ensuring the current server is selected.
5. Scroll down and click on the Windows Server Update Services.
6. Click Add Features.
7. Click Next.
8. Click Next on the Select features dialog.
9. Click Next.
10. Click Next.
Since we will be utilizing the built-in SQL, we will not select the SQL Server Connectivity required if we had opted to use an external SQL server.
11. As we have opted to save the downloaded updates locally, we will enter the path of the local drive selected for this purpose. In this instance, we have attached a drive (E:) and have created a folder named UPDATES. Type the path and click Next.
Depending on the type of updates selected, the size of the data drive must be sized appropriately. It is recommended that free space on this drive is monitored.
12. Click Next.
13. Click Next.
14. Click Install.
15. The installation may take a while, but you can click Close while the installation continues.
References
Deploy Update Services (Microsoft)
[contentblock id=3]
In this article, we are going to learn the ‘Complete Guide to Install and Configure WSUS Server 2016 (Windows Server Update Services)’. Windows Server Update Services (WSUS), formerly known as Software Update Services, is a computer program and network service developed by Microsoft Corporation that enables administrators to distribute Microsoft-issued updates and hotfixes for Microsoft products in a corporate environment.
Before proceeding with installation and configuration, make sure your machine meets the following requirements:
- The static IP address configured.
- Turned off the Windows firewall.
- The latest security updates from Microsoft are installed.
- The Internet connection is working.
Follow the below Steps To Install and Configure WSUS Server 2016 (Windows Server Update Services):
Step 1. Open Server Manager.
Step 2. Click Add Role and Features.
Step 3. Read the important requirements and try to meet them (this includes a strong password for the administrator account, stable IP configuration, and installation of the latest security updates). Click next to continue.
Step 4. Choose Role-based or Feature-based installation and click Next.
Step 5. Select a server from the server pool, and click next.
Step 6. Select the destination server for Windows Server Update Services from the server pool and click Next.
Step 7: Click Add Features
Step 8: Click Next
Step 9: Click Next
Step 10: Select WID Connectivity & WSUS Services then Click on Next.
Step 11: On the Content location selection page, type a valid location to store the updates. For example, you can create a folder named WSUS at the root of Private Drive D for this purpose and type WSUS as a valid location.
Step 12: The Web Server Role (IIS) page opens. Review the information, and then click Next.
Step 13: In select the role services to install for Web Server (IIS), retain the defaults, and then click Next.
Step 14: Click Install and the installation will begin which can take 10 – 15 minutes to complete.
Step 15: Now you can see the WSUS installation process is completed.
Also Read – Step by Step Configure WDS Server (Windows Deployment Services) On Windows Server 2016
Configuring WSUS Server:
Once the WSUS installation is complete, in the summary window on the Installation progress page, click Launch Post-Installation tasks. The text changes, requesting: Please wait while your server is configured. When the task has finished, the text changes to Configuration successfully completed. Click Close.
Step 1: Open your server manager dashboard, Click Tools -> Windows Server Update Services
Step 2: Click Next
Step 3: Click Next
Step 4: Select Synchronize From Microsoft Update or another server & click on Next.
Step 5: If you have a proxy server in your network, configure the proxy settings otherwise click Next
Step 6: Click Start Connecting to connect to the upstream server of Microsoft
Step 7: Select language and click Next.
Step 8: Select the product you need to download updates for. Click Next.
Step 9: Select the type of updates and click Next
Step 10: Select Synchronize manually and click Next. You can also set up an automatic schedule for synchronization.
Step 11: Click Next.
Step 12: Click Finish.
As you can see above we have successfully Configure WSUS Server 2016. open update service and click on synchronizing.
WSUS Update Snapshot:-
Also Read – Tips For Troubleshooting WSUS Client That Are Not Reporting To The WSUS Server
That’s all, In this article, we have explained the Complete Guide to Install and Configure WSUS Server 2016 (Windows Server Update Services). I hope you enjoy this article. If you like this article, then just share it. If you have any questions about this article, please comment.