Не выполнялась задача синхронизация обновлений windows update больше указанного времени

Автор

Tamerlan1602

О великие умы передовых технологий. Недавно, Я (простой пользователь) попал в этот мир 2024 года из 2016года. (7 лет консервации  сделали своё дело, теперь я опять дерево). Хочу продолжить свой рост( хотя наверно правильно будет сказать начать свой рост) в мире, пусть и не сильно передовых технологий . Очень по человечески прошу помочь мне ссылками на образовательные (реально образовательные) онлайн курсы. Как у всех пришельцев из прошлого у меня тоже нет средств на обучение, (пока нет), но потратив ещё 2 года на заработок я чувствую, что пенсия придёт раньше чем моё образование. Буду весьма-весьма благодарен на такие ссылки как работа с нейросетью, электронный маркетинг, настройка сайтов и заполнение, работа с конструкторами сайтов, как работать с программами типа LENSA-AI и что ещё надо знать для работы с ней (с английским и раньше было так себе на два с плюсом а теперь вообще всё плохо). Помогите чем можете поделитесь опытом из имеющихся  ссылок и рекомендаций как дальше жить и зарабатывать, не воруя коды карточек.  Мая почта email: tutmoskva@mail.ru : 16tut@mail.ru; Ruslan Grinevetski     За ранее благодарю за помощь и понимание. В свою очередь обещаю выполнить ваши пожелания. По мере моей компетенции и больше.

When attempting to update Windows 11, you may encounter an error message stating: «We couldn’t install updates because there’s a problem with the date and time information on your device. Make sure your date, time, and time zone settings are correct and we’ll try again later.» This frustrating issue can stem from various causes, including misconfigured time settings, incorrect active hours, or expired certificates. Fortunately, there are several methods you can try to resolve this problem and successfully install Windows updates.

Verify and adjust time and date settings

The first step in troubleshooting this issue is to ensure your computer’s time, date, and time zone are set correctly:

1. Right-click on the time and date display in the taskbar’s bottom-right corner
2. Select «Adjust date and time» from the menu

Картинка с сайта: allthings.how

1. In the Date & time settings window, ensure the «Set time automatically» option is enabled

Картинка с сайта: allthings.how

1. Select your correct time zone from the dropdown menu

Картинка с сайта: allthings.how

1. Scroll down to the Additional settings section and click «Sync now» to synchronize your time with the Windows time server

Картинка с сайта: allthings.how

After adjusting these settings, attempt to install the updates again.

Configure active hours to automatic

Windows uses the Active Hours setting to determine when to install updates and restart your device without interrupting your work. Ensuring this setting is configured correctly may help resolve update issues:

1. Open the Start menu and click on «Settings»

Картинка с сайта: allthings.how

1. In the left sidebar, select «Windows Update»
2. Click on «Advanced options» in the right pane

Картинка с сайта: allthings.how

1. Click on the «Active hours» option

Картинка с сайта: allthings.how

1. Ensure the «Adjust active hours» option is set to «Automatically»

Картинка с сайта: allthings.how

After making this change, restart your computer and try installing the updates again.

Use the Windows Update troubleshooter

Windows includes a built-in troubleshooter that can identify and resolve common update-related issues:

1. Open Windows Settings by pressing Win + I
2. Navigate to the «System» tab
3. Click on «Troubleshoot» in the right pane

Картинка с сайта: allthings.how

1. Select «Other troubleshooters»

Картинка с сайта: allthings.how

1. Locate «Windows Update» in the Most frequent section and click «Run»

Картинка с сайта: allthings.how

1. The troubleshooter will scan your system, identify potential issues, and attempt to resolve them automatically. It may also provide suggestions for manual fixes if needed.

Картинка с сайта: allthings.how

1. Once the troubleshooting process is complete, attempt to update Windows again.

Картинка с сайта: allthings.how

Manually install updates using Microsoft Update Catalog

If previous methods haven’t resolved the issue, you can try manually downloading and installing the problematic updates:

1. Identify the Knowledge Base (KB) number of the failing update from the Windows Update settings

Картинка с сайта: allthings.how

1. Visit the Microsoft Update Catalog website
2. Enter the KB number in the search field and click «Search»

Картинка с сайта: allthings.how

1. Locate the appropriate update for your system architecture and click «Download»

Картинка с сайта: allthings.how

1. In the pop-up window, click the provided link to download the update file

Картинка с сайта: allthings.how

1. Choose a download location and click «Save»

Картинка с сайта: allthings.how

1. If the downloaded file has a .msu extension, double-click it to install

Картинка с сайта: allthings.how

1. If the file has a .cab extension, follow these additional steps:
   • Double-click the .cab file to open it
   • Select all contents (Ctrl + A)
   • Right-click and choose «Extract»
   • Select a destination for the extracted files
   • Locate and run the «Setup» file in the extracted folder

Reset Windows Update components and policies

If all previous methods fail, you can try resetting Windows Update components and policies. This process involves using Command Prompt to stop services, delete temporary files, and reset various Windows Update-related settings:

1. Open Command Prompt as administrator
2. Restart your computer
3. Restart the previously stopped services:

net start bits
net start wuauserv
net start appidsvc
net start cryptsvc

1. Reset Winsock:

netsh winsock reset
netsh winsock reset proxy

1. Re-register BITS and Windows Update-related DLL files (enter each command separately):

regsvr32.exe atl.dll
regsvr32.exe urlmon.dll
regsvr32.exe mshtml.dll
regsvr32.exe shdocvw.dll
regsvr32.exe browseui.dll
regsvr32.exe jscript.dll
regsvr32.exe vbscript.dll
regsvr32.exe scrrun.dll
regsvr32.exe msxml.dll
regsvr32.exe msxml3.dll
regsvr32.exe msxml6.dll
regsvr32.exe actxprxy.dll
regsvr32.exe softpub.dll
regsvr32.exe wintrust.dll
regsvr32.exe dssenh.dll
regsvr32.exe rsaenh.dll
regsvr32.exe gpkcsp.dll
regsvr32.exe sccbase.dll
regsvr32.exe slbcsp.dll
regsvr32.exe cryptdlg.dll
regsvr32.exe oleaut32.dll
regsvr32.exe ole32.dll
regsvr32.exe shell32.dll
regsvr32.exe initpki.dll
regsvr32.exe wuapi.dll
regsvr32.exe wuaueng.dll
regsvr32.exe wuaueng1.dll
regsvr32.exe wucltui.dll
regsvr32.exe wups.dll
regsvr32.exe wups2.dll
regsvr32.exe wuweb.dll
regsvr32.exe qmgr.dll
regsvr32.exe qmgrprxy.dll
regsvr32.exe wucltux.dll
regsvr32.exe muweb.dll
regsvr32.exe wuwebv.dll
regsvr32.exe wudriver.dll

1. Reset BITS and Windows Update services:

sc.exe sdset bits D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)

sc.exe sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)

1. Rename SoftwareDistribution and catroot2 folders:

Ren %Systemroot%\SoftwareDistribution\DataStore DataStore.bak
Ren %Systemroot%\SoftwareDistribution\Download Download.bak
Ren %systemroot%\system32\catroot2 catroot2.bak

1. Delete BITS-related files:

Del "%ALLUSERSPROFILE%\Application Data\Microsoft\Network\Downloader\*.*"

1. Stop Windows Update services by entering these commands:

net stop bits
net stop appidsvc
net stop wuauserv
net stop cryptsvc

After completing these steps, attempt to run Windows Update again. If you encounter issues with any of these commands, try booting your computer into Safe Mode with Command Prompt and running the commands there.

Ksc давно не выполнялся поиск обновлений windows как убрать

Kaspersky Security Center Cloud Console присваивает статус каждому управляемому устройству. Конкретный статус зависит от того, выполнены ли условия, определенные пользователем. В некоторых случаях при присвоении статуса устройству Kaspersky Security Center Cloud Console учитывает видимость устройства в сети (см. таблицу ниже). Если Kaspersky Security Center Cloud Console не находит устройство в сети в течение двух часов, видимость устройства принимает значение Не в сети.

Существуют следующие статусы:

• Критический или Критический/Видим в сети.
• Предупреждение или Предупреждение/Видим в сети.
• ОК или ОК/Видим в сети.

В таблице ниже приведены условия по умолчанию для присвоения устройству статуса Критический или Предупреждение и их возможные значения.

Условия присвоения статусов устройству

Программа безопасности не установлена

Агент администрирования установлен на устройстве, но не установлена программа безопасности.

• Переключатель включен.
• Переключатель выключен.

Обнаружено много вирусов

В результате работы задач антивирусной проверки, например, задачи Антивирусная проверка, на устройстве найдены вирусы, и количество обнаруженных вирусов превышает указанное значение.

Уровень постоянной защиты отличается от уровня, установленного администратором

Устройство видимо в сети, но уровень постоянной защиты отличается от уровня, установленного администратором в условии для статуса устройства.

• Остановлена.
• Приостановлена.
• Выполняется.

Давно не выполнялась антивирусная проверка

Устройство видимо в сети и на устройстве установлена программа безопасности, но задача поиска вирусов не выполнялась больше указанного времени. Условие применимо только к устройствам, которые были добавлены в базу данных Сервера администрирования семь дней назад или ранее.

Устройство видимо в сети и на устройстве установлена программа безопасности, но антивирусные базы не обновлялись на этом устройстве больше указанного времени. Условие применимо только к устройствам, которые были добавлены в базу данных Сервера администрирования день назад или ранее.

Давно не подключались

Агент администрирования установлен на устройстве, но устройство не подключалось к Серверу администрирования больше указанного времени, так как устройство выключено.

Обнаружены активные угрозы

Количество необработанных объектов в папке Активные угрозы превышает указанное значение.

Более чем 0 штук.

Устройство видимо в сети, но программа требует перезагрузки устройства дольше указанного времени, по одной из выбранных причин.

Более чем 0 минут.

Установлены несовместимые программы

Устройство видимо в сети, но при инвентаризации программного обеспечения, выполненной Агентом администрирования, на устройстве были обнаружены установленные несовместимые программы.

• Переключатель выключен.
• Переключатель включен.

Обнаружены уязвимости в программах

Устройство видимо в сети, и на нем установлен Агент администрирования, но в результате выполнения задачи Поиск уязвимостей и требуемых обновлений на устройстве обнаружены уязвимости в программах с заданным уровнем критичности.

• Предельный.
• Высокий.
• Средний.
• Игнорировать, если нельзя закрыть уязвимость.
• Игнорировать, если обновление назначено к установке.

Срок действия лицензии истек

Устройство видимо в сети, но срок действия лицензии истек.

• Переключатель выключен.
• Переключатель включен.

Срок действия лицензии скоро истекает

Устройство видимо в сети, но срок действия лицензии истекает менее чем через указанное количество дней.

Более чем 0 дней.

Давно не выполнялась проверка обновлений Центра обновления Windows

Не выполнялась задача Синхронизация обновлений Windows Update больше указанного времени.

Недопустимый статус шифрования

Агент администрирования установлен на устройстве, но результат шифрования устройства равен указанному значению.

• Не соответствует политике из-за отказа пользователя (только для внешних устройств).
• Не соответствует политике из-за ошибки.
• В процессе применения политики – требуется перезагрузка.
• Не задана политика шифрования.
• Не поддерживается.
• В процессе применения политики.

Параметры мобильного устройства не соответствуют политике

Параметры мобильного устройства отличаются от параметров, заданных в политике Kaspersky Endpoint Security для Android при выполнении проверки правил соответствия.

• Переключатель выключен.
• Переключатель включен.

Есть необработанные инциденты

На устройстве есть необработанные инциденты. Инциденты могут быть созданы как автоматически, с помощью установленных на клиентском устройстве управляемых программ «Лаборатории Касперского», так и вручную администратором.

• Переключатель выключен.
• Переключатель включен.

Статус устройства определен программой

Статус устройства определяется управляемой программой.

• Переключатель выключен.
• Переключатель включен.

На устройстве заканчивается дисковое пространство

Свободное дисковое пространство устройства меньше указанного значения или устройство не может быть синхронизировано с Сервером администрирования. Статусы Критический или Предупреждение меняются на статус ОК, когда устройство успешно синхронизировано с Сервером администрирования и свободное дисковое пространство устройства больше или равно указанному значению.

Устройство стало неуправляемым

Устройство определяется видимым в сети при обнаружении устройств, но было выполнено более трех неудачных попыток синхронизации с Сервером администрирования.

• Переключатель выключен.
• Переключатель включен.

Устройство видимо в сети, но программа безопасности на устройстве отключена больше указанного времени.

Более чем 0 минут.

Программа безопасности не запущена

Устройство видимо в сети и программа безопасности установлена на устройстве, но не запущена.

• Переключатель выключен.
• Переключатель включен.

Kaspersky Security Center Cloud Console позволяет настроить автоматическое переключение статуса устройства в группе администрирования при выполнении заданных условий. При выполнении заданных условий клиентскому устройству присваивается один из статусов: Критический или Предупреждение. При невыполнении заданных условий клиентскому устройству присваивается статус ОК.

Разным значениям одного условия могут соответствовать разные статусы. Например, по умолчанию при соблюдении условия Базы устарели со значением Более 3 дней клиентскому устройству присваивается статус Предупреждение, а со значением Более 7 дней – статус Критический.

Когда Kaspersky Security Center Cloud Console присваивает устройству статус, для некоторых условий (см. графу «Описание условий») учитывается видимость устройств в сети. Например, если управляемому устройству был присвоен статус Критический, так как выполнено условие Базы устарели, а затем для устройства стало видимо в сети, то устройству присваивается статус ОК.

Источник

KSC 12 в качестве сервера WSUS

Автор ФСНКЦ,
16 октября, 2020 в Помощь по корпоративным продуктам

Рекомендуемые сообщения

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Похожий контент

Добрый день, что-то никак не получается разобраться c настройкой wsus через касперского. В сети используется уже wsus на базе самого microsoft, но часть клиентов необходимо перевести на обновление через касперского.

Что я сделал, для нужного подразделения создал отдельную политику агента сервера администрирования, где включил галку использовать сервер в качестве сервера wsus, провел синхронизацию, на всех клиентах произошло замещение в настройках с локального wsus microsoft на localhost:1550, т.е. клиенты переключились на источник обновления на каспера.
Затем я запускаю задачу синхронизация обновлений с windows update выбрав сборку os windows 1903 and later, в качестве пакетов тестово выбрал все, на классическом wsus у меня стоят только критические обновления и сек апдейты.
Прошла синхронизация, затем запускаю задачу для тестового подразделения поиск необходимых обновлений и закрытие уязвимостей.
Для тестовой машины текущая сборк 18363 это билд 1903 соответственно для ее апдейта нужно пройти 1909-2004 и так далее вплоть до h22. Но задача поиск обновлений выдает только 1 критическое обновление и то не связанное с обновлением системы.
Если запустить на самой машину сканирование обновлений вручную то она сама находит все нужные обновления, и тут возникают вопросы:

1) Почему через задачу поиск необходимых обновлений система не выдает все необходимые обновления в виде апдейтов системы которые сама система находит в ручном режиме.
2) Из мануала касперского соверешенно не понятно качает ли каспер обновления к себе централизиванно как классический wsus или нет, привожу выдержку из мануала:

Установите флажок Использовать Сервер администрирования в роли WSUS-сервера, чтобы загружать обновления Windows на Сервер администрирования и затем распространять их на клиентские устройства средствами Агента администрирования.
Если флажок снят, обновления Windows не загружаются на Сервер администрирования. В этом случае клиентские устройства получают обновления Windows напрямую с серверов Microsoft.

И тут же следует дальше следующий момент в этой же инструкции:

Если в мастере первоначальной настройки в окне Параметры управления обновлениями вы выбрали вариант Использовать Сервер администрирования в роли WSUS-сервера, задача синхронизации обновлений Windows Update создается автоматически. Запустить задачу можно в папке Задачи. Функция обновления программного обеспечения Microsoft доступна только после успешного завершения задачи Синхронизация обновлений Windows Update.
Задача Синхронизация обновлений Windows Update загружает с серверов Microsoft только метаданные. Если в сети не используется WSUS-сервер (сам же касперский работает wsus о чем они вообще ведут речь. ) , то каждое клиентское устройство самостоятельно загружает обновления Microsoft с внешних серверов.

Это мне сломало голову, так в итоге касперский грузит к себе обновления или нет? В первом случае они пишут что грузит во втором если в сети нет wsus то не грузит.

3) Синхронизация обновлений с windows через задачу не приводит к увеличению занимаемого места на сервере, почему?

Источник

Ksc давно не выполнялся поиск обновлений windows как убрать

Kaspersky Security Center присваивает статус каждому управляемому устройству. Конкретный статус зависит от того, выполнены ли условия, определенные пользователем. В некоторых случаях при присваивании статуса устройству Kaspersky Security Center учитывает видимость устройства в сети (см. таблицу ниже). Если Kaspersky Security Center не находит устройство в сети в течение двух часов, видимость устройства принимает значение Не в сети.

Существуют следующие статусы:

• Критический или Критический / Видим в сети.
• Предупреждение или Предупреждение / Видим в сети.
• ОК или ОК / Видим в сети.

В таблице ниже приведены условия по умолчанию для присвоения устройству статуса Критический или Предупреждение и их возможные значения.

Условия присвоения статусов устройству

Программа безопасности не установлена

Агент администрирования установлен на устройстве, но не установлена программа безопасности.

• Переключатель включен.
• Переключатель выключен.

Обнаружено много вирусов

В результате работы задач поиска вирусов, например, задачи Поиск вирусов, на устройстве найдены вирусы, и количество обнаруженных вирусов превышает указанное значение.

Уровень постоянной защиты отличается от уровня, установленного администратором

Устройство видимо в сети, но уровень постоянной защиты отличается от уровня, установленного администратором в условии для статуса устройства.

• Остановлена.
• Приостановлена.
• Выполняется.

Давно не выполнялся поиск вирусов

Устройство видимо в сети и на устройстве установлена программа безопасности, но задача Поиск вирусов не выполнялась больше указанного времени. Условие применимо только к устройствам, которые были добавлены в базу данных Сервера администрирования семь дней назад или ранее.

Устройство видимо в сети и на устройстве установлена программа безопасности, но антивирусные базы не обновлялись на этом устройстве больше указанного времени. Условие применимо только к устройствам, которые были добавлены в базу данных Сервера администрирования день назад или ранее.

Давно не подключались

Агент администрирования установлен на устройстве, но устройство не подключалось к Серверу администрирования больше указанного времени, так как устройство выключено.

Обнаружены активные угрозы

Количество необработанных объектов в папке Активные угрозы превышает указанное значение.

Более чем 0 штук.

Устройство видимо в сети, но программа требует перезагрузки устройства дольше указанного времени, по одной из выбранных причин.

Более чем 0 минут.

Установлены несовместимые программы

Устройство видимо в сети, но при инвентаризации программного обеспечения, выполненной Агентом администрирования, на устройстве были обнаружены установленные несовместимые программы.

• Переключатель выключен.
• Переключатель включен.

Обнаружены уязвимости в программах

Устройство видимо в сети, и на нем установлен Агент администрирования, но в результате выполнения задачи Поиск уязвимостей и требуемых обновлений на устройстве обнаружены уязвимости в программах с заданным уровнем критичности.

• Предельный.
• Высокий.
• Средний.
• Игнорировать, если нельзя закрыть уязвимость.
• Игнорировать, если обновление назначено к установке.

Срок действия лицензии истек

Устройство видимо в сети, но срок действия лицензии истек.

• Переключатель выключен.
• Переключатель включен.

Срок действия лицензии скоро истекает

Устройство видимо в сети, но срок действия лицензии истекает менее чем через указанное количество дней.

Более чем 0 дней.

Давно не выполнялась проверка обновлений Центра обновления Windows

Не выполнялась задача Синхронизация обновлений Windows Update больше указанного времени.

Недопустимый статус шифрования

Агент администрирования установлен на устройстве, но результат шифрования устройства равен указанному значению.

• Не соответствует политике из-за отказа пользователя (только для внешних устройств).
• Не соответствует политике из-за ошибки.
• В процессе применения политики – требуется перезагрузка.
• Не задана политика шифрования.
• Не поддерживается.
• В процессе применения политики.

Параметры мобильного устройства не соответствуют политике

Параметры мобильного устройства отличаются от параметров, заданных в политике Kaspersky Endpoint Security для Android при выполнении проверки правил соответствия.

• Переключатель выключен.
• Переключатель включен.

Есть необработанные инциденты

На устройстве есть необработанные инциденты. Инциденты могут быть созданы как автоматически, с помощью установленных на клиентском устройстве управляемых программ «Лаборатории Касперского», так и вручную администратором.

• Переключатель выключен.
• Переключатель включен.

Статус устройства определен программой

Статус устройства определяется управляемой программой.

• Переключатель выключен.
• Переключатель включен.

На устройстве заканчивается дисковое пространство

Свободное дисковое пространство устройства меньше указанного значения или устройство не может быть синхронизировано с Сервером администрирования. Статусы Критический или Предупреждение меняются на статус ОК, когда устройство успешно синхронизировано с Сервером администрирования и свободное дисковое пространство устройства больше или равно указанному значению.

Устройство стало неуправляемым

Устройство определяется видимым в сети при обнаружении устройств, но было выполнено более трех неудачных попыток синхронизации с Сервером администрирования.

• Переключатель выключен.
• Переключатель включен.

Устройство видимо в сети, но программа безопасности на устройстве отключена больше указанного времени.

Более чем 0 минут.

Программа безопасности не запущена

Устройство видимо в сети и программа безопасности установлена на устройстве, но не запущена.

• Переключатель выключен.
• Переключатель включен.

Kaspersky Security Center позволяет настроить автоматическое переключение статуса устройства в группе администрирования при выполнении заданных условий. При выполнении заданных условий клиентскому устройству присваивается один из статусов: Критический или Предупреждение. При невыполнении заданных условий клиентскому устройству присваивается статус ОК.

Разным значениям одного условия могут соответствовать разные статусы. Например, по умолчанию при соблюдении условия Базы устарели со значением Более 3 дней клиентскому устройству присваивается статус Предупреждение, а со значением Более 7 дней – статус Критический.

Если вы обновляете Kaspersky Security Center с предыдущей версии, значение условия Базы устарели для назначения статуса Критический или Предупреждение не изменится.

Когда Kaspersky Security Center присваивает устройству статус, для некоторых условий (см. графу «Описание условий») учитывается видимость устройств в сети. Например, если управляемому устройству был присвоен статус Критический, так как выполнено условие Базы устарели, а затем для устройства стало видимо в сети, то устройству присваивается статус ОК.

Источник

В Windows Server 2016 можно столкнуться с ситуацией, когда встроенный клиент Windows Update очень долго выполняет проверку обновлений. Характерно то, что проблема может проявляться плавающим образом и воспроизводиться не всегда. Замечено, что чаще всего проблема проявляется в случае, если система была недавно включена или перезагружена. В этой заметке мы поговорим о том, какие могут быть причины у такого поведения и как это можно попробовать исправить.

При попытке вызвать проверку обновлений из интерфейса настроек системы в Settings > Update & security > Windows Update мы можем столкнуться с длительным циклом ожидания в статусе «Checking for updates…»

Картинка с сайта: blog.it-kb.ru

Результатом такого ожидания может стать возникновение ошибки типа:

We couldn't connect to the update service. We'll try again later, or you can check now. If it still doesn't work, make sure you're connected to the Internet.

Это привносит проблемы и в других операциях обслуживания системы.

Отражение проблемы с Windows Update в Failover Cluster Manager

В качестве примера отрицательного влияния проблемной работы Windows Update можно привести мастер проверки конфигурации кластера, вызываемый из оснастки Failover Cluster Manager. В ходе выполнения валидации кластера, на этапе сбора информации об установленных на кластерных узлах обновлениях («List Software Updates«) мы можем получить состояние длительного ожидания.

Картинка с сайта: blog.it-kb.ru

В ходе изучения ситуации по следам «коллективного разума» я обнаружил, что самые разнообразные проблемы c Windows Update в Windows Server 2016 известны давно и с ними столкнулись многие:

• TechNet Forums : Windows Server 2016 Updates slow!
• Superuser : Windows Update stuck on Checking for updates
• Born’s Tech and Windows World : Windows Server 2016: Slow updates

Методом «а если попробовать…» было выявлено, что в качестве обходного решения в вышеописанной ситуации с Failover Cluster Manager, может быть простой перезапуск службы «Windows Update«.

Возможно, потребуется сделать лишь остановку этой службы, а запустится служба через несколько секунд автоматически. Если служба не остановилась с первого раза (остановка привела к ошибке), то пробуем выполнить остановку повторно. Выполнить остановку службы можно как через оснастку управления службами services.msc, так и через PowerShell.

Stop-Service "Windows Update"

Сразу после того, как служба будет остановлена (а затем сама автоматически запустится) мы увидим сдвиг в работе механизма проверки обновлений.

Картинка с сайта: blog.it-kb.ru

В случае с кластером, выполнить остановку/перезапуск службы «Windows Update» нам может потребоваться на всех узлах кластера, начиная с того, на котором запущен мастер проверки.

В попытках понять, что же не так с проверкой обновлений в Windows Server 2016 и проведения ряда экспериментов с видимыми настройками клиента Windows Update в графической среде, стало очевидно то, что наличие включённой опции «Defer feature updates» в Settings > Update & security > Windows Update > Advanced options явным образом влияет на воспроизведение проблемы.

Картинка с сайта: blog.it-kb.ru

То есть, как только мы отключаем данную опцию, включенную в Windows Server 2016 по умолчанию, то механизм проверки обновлений начинает работать так, как мы этого от него ожидаем при наличии сервера WSUS.

Дальнейшее изучение вопроса показало, что причиной странного поведения клиента Windows Update может являться механизм «Dual Scan» (подробней в статьях «Improving Dual Scan on 1607» и «Demystifying Dual Scan»), который заставляет при проверке обновлений в качестве источника использовать не только форсировано настроенный в доменных групповых политиках сервер WSUS в локальной сети, но и Интернет-службы Windows Update.

Соответственно, при условии, что компьютеры имеют ограниченный доступ в Интернет или не имеют его вовсе, может возникнуть эффект длительного ожидания с возникновением ошибок разного содержания.

Чтобы решить описанную проблему, нам потребуется провести настройку групповой политики Active Directory, с помощью которой настраиваются наши серверы на базе Windows Server 2016. Однако, как выяснилось, в этом вопросе всё не так очевидно, понятно и однозначно, как хотелось бы.

Варианты решения с готовыми политиками GPO (неработающие в нашем случае)

Примечание: Если важен только готовый рецепт и не интересны эксперименты по следам ранее предложенных в Интернете приёмов(которые в нашем случае не помогли), то можете смело пропустить этот раздел заметки и читать заключительный раздел.

В ранних выпусках Windows 10 (с версии 1607) и Windows Server 2016 за отключение попыток использования онлайн репозитория Windows Update отвечала политика:

«Do not allow update deferral policies to cause scans against Windows Update«

в разделе:

Computer Configuration > Administrative Templates > Windows Components > Windows Update.

Картинка с сайта: blog.it-kb.ru

В результате применения этой политики в системном реестре Windows появляется параметр DisableDualScan, установленный в 1:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"DisableDualScan"=dword:00000001

И, судя по старым статьям, на более ранних версиях Windows 10 описанная политика могла быть полезна для решения проблемы.

Однако, в более поздних версиях Windows 10 (начиная с версии 2004), Windows 11, а так же, возможно, в более новых версиях Windows Server, данная политика была перенесена в подраздел Legacy Policies и была заменена новой политикой:

«Specify source service for specific classes of Windows Updates«

в разделе:

Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Server Update Service.

Предполагается включение этой политики и выбор WSUS в качестве источника для всех предлагаемых типов обновлений.

Картинка с сайта: blog.it-kb.ru

В результате применения этой политики в системном реестре Windows появляется 4 параметра с соответствующими именами, установленных в 1:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"SetPolicyDrivenUpdateSourceForFeatureUpdates"=dword:00000001
"SetPolicyDrivenUpdateSourceForQualityUpdates"=dword:00000001
"SetPolicyDrivenUpdateSourceForDriverUpdates"=dword:00000001
"SetPolicyDrivenUpdateSourceForOtherUpdates"=dword:00000001

Логично предполагать, что включать и настраивать данную политику резонно лишь для серверных систем, которые в локальных сетях, как правило, обновляются с сервера WSUS и имеют ограниченный доступ в Интернет. Для клиентских же систем, часть из которых может оказаться мобильными и периодически перемещающимися из локальной сети во внешние сети с доступом в Интернет, в некоторых ситуациях может оказаться логичней использовать настроенный по умолчанию механизм выбора источника (то есть, чтобы в качестве дополнительного источника мог выступать онлайн репозиторий Windows Update).

Эксперименты с двумя выше описанными политиками показали, что на данный момент времени сами по себе (ни по отдельности ни вместе) эти политики не решают проблему в нашем конкретном случае.

В ходе дальнейшего изучения опыта борьбы коллег со странностями работы Windows Update в Windows Server 2016 обнаружил статью «Windows admin blog : Некорректное отображение информации на WSUS | Проблемы обновления со WSUS (Dual Scan)», где в качестве одного из решений предложено включение «олдскульной» политики:

«Do not connect to any Windows Update Internet locations«

в разделе:

Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Server Update Service.

Картинка с сайта: blog.it-kb.ru

В результате применения этой политики в системном реестре Windows появляется параметр DoNotConnectToWindowsUpdateInternetLocations, установленный в 1:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"DoNotConnectToWindowsUpdateInternetLocations"=dword:00000001

Однако, практика показала, что применение данной политики может привести к появлению новой ошибки в ходе проверки обновлений:

There were some problems installing updates, but we'll try again later. If you keep seeing this and want to search the web or contact support for information, this may help: (0x8024500c)

Картинка с сайта: blog.it-kb.ru

Причём избавиться от этой ошибки не поможет ни перезапуск службы, ни перезагрузка системы, а по свидетельствам очевидцев, эта ошибка воспроизводится так же и на Windows 10.

Понимая то, что данная политика не решает проблемы, можно было бы не упоминать о ней в нашей заметке. Однако помимо того, что она не только не закрывает исходную проблему, но и может создать новую трудно интерпретируемую проблему, мы и упоминаем здесь о ней, как о неподходящем варианте решения.

Перебрав ряд других групповых политик, как по одиночке, так и в в разных комбинациях, мне так и не удалось найти решения на базе каких-либо готовых политик.

Отключение опции «Defer feature updates» с помощью GPP

В конечном итоге пришлось прибегнуть к помощи Group Policy Preferences (GPP) для управления опцией «Defer feature updates«, отображаемой в графической оболочке Windows Server 2016.

Отключение данной опции приводит к следующему изменению в системном реестре:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate\UX\Settings]
"DeferUpgrade"=dword:00000000

Соответственно, для настройки серверов с Windows Server 2016 на явное отключение данной опции мы можем создать в доменной групповой политике, применяемой к серверам, объект GPP, настраивающий параметр реестра DeferUpgrade.

Картинка с сайта: blog.it-kb.ru

С помощью Item-level targeting можем указать то, что данный параметр реестра будет обновляться только на системах семейства Windows Server 2016.

Для оперативной проверки результата выполняем на конечном сервере обновление групповых политик и инициируем процедуру проверки обновлений:

gpupdate /force
UsoClient.exe startscan

Убедимся в том, что после применения GPO в реестре на серверных системах с Windows Server 2016 применились изменения и в графической консоли настроек системы опция «Defer feature updates» отображается в выключенном состоянии.

Картинка с сайта: blog.it-kb.ru

Все последующие проверки обновлений Windows теперь должны начать работать напрямую с WSUS без длительных попыток обращения к Интернет-службам Windows Update.