Windows批量升级补丁方法[域模式]
Windows批量升级补丁方法
（转帖）
对于一个主要由Windows 系统构成的IT环境来说，及时更新服务器与客户端计算机软件系统的补丁，是一个降低系统安全风险的有效而必要的措施。虽然微软提供了方便进行更新的Windows Update在线更新网站，但对于管理着几十台甚至上百、上千台计算机的IT管理员来说，这是很大的工作量，再加上Windows Update网站难道保证在需要的时候都能正常更新，我在工作中就经常遇到无法在Windows Update网站上进行更新。
我觉得对于管理员来说，提高工作效率的有效方法就是让自己的工作尽可能地通过软件实现自动化，当一项工作重复多次，我们就应该坐下来冷静地考虑自动化的解决方案，不要让自己觉得只是在做一些单调、重复的工作。
以前公司计算机的系统更新都是通过手动更新的，实际上很早就想采用SUS进行自动更新，但每次遇到更新时，总是贪图点几下鼠标就可以更新了，也就懒得去搭建一个SUS服务器。后来发觉这种懒惰的想法造成了经常的手动更新工作占用了不少工作时间，影响了工作效率，而且将这些日积月累浪费的时间大概计算一下之后，我不得不认真对待这个问题，纠正自己懒惰的想法，花了一两个小时部署了Software Update Services服务器(原以为会花几倍的时间) ，而这一两小时的工作将节省我n倍的时间。我深深地吸取了这次教训：懒惰的想法要不得。
下面我将写下我部署Software Update Services Server的经验，不足之处，欢迎指出。
安装环境：Windows 2003活动目录、通过ISA Server 2004上互联网、一台Windows 2000 Advaced Server计算机用于安装Software Update Services Server。
1、下载 Software Update Services Server with Service Pack 1
2、安装Software Update Services Server, 注意C盘必须是NTFS格式，否则不让安装，即使有其他分区是NTFS格式。
3、更改Software Update Services Synchronization Service登录帐户，如果本地系统帐户可以直接上互联网，就无需更改，因为我们公司是通过ISA Server 2004上互联网的, 所以Software Update Services Synchronization Service的登录帐户要改成有权上互联网的域用户并且该用户在这台服务器有管理员权限。Software Update Services Synchronization Service 主要任务是从微软网站检测试并下载更新到本机。
4、在浏览器中访问http://localhost/SUSAdmin/，进入Software Update Services Server管理界面，在进行同步之前一定要注意一个重要的设置，在"set options"中找到"Select how you want to handle new versions of previously approved updates", 改为"Automatically approve new versions of previously approved updates", 我当时在同步之前没有更改这个设置，然后将更新下载好之后发现竟然要一个一个去Approve updates, 界面上没有全选操作，这地方真是个糟糕的设计，害得我点了几十下鼠标去选择。没想到在微软的软件中竟然有这样糟糕的设计。
5、选择更新软件包的区域，根据你所用软件的实际情况来还选择，这样可以避免下载不会用到的语言版本的更新包，减少下载数据量。
6、现在你就可以通过"Synchronize Now"去检查并下载更新了，当然你可以通过设置Synchronization Schedule进行定期同步。
7、最后的工作就是如何让域中所有计算机自动使用这台安装Software Update Services Server的服务器进行自动更新。 我们通过组策略可以轻松地实现，注意该组策略应该应用在域级(在Active Directory用户和计算机控制台中，选择域名>属性>组策略)。修改或新建组策略，在“计算机配置”>“管理模板”>“Windows组件”>“Windows Update”中，需要修改三个设置：
A、启用“配置自动更新”，并选择相应的自动更新方式，我选择的是“自动下载并计划安装”；
B、启用“指定Intranet Microsoft 更新服务位置”，在“设置检测更新的 intranet 更新服务”与“设置 intranet 统计服务器”的文本框中输入http://YourServerName(安装了Software Update Services Server的计算机名称)；
C、启用“计划的自动更新安装后不自动重启动”；
另：如果你想指定客户端计算机检测更新的频率，也是在这里设置“自动更新频率”。
8、经过上面的配置，我进行了测试，客户端计算机自动安装了更新，安装后如果需要重启计算机，会出现提示，这样用户只要重启一下计算机，更新就生效了。
俗话说得好—“磨刀不误砍柴工”，花一两个小时部署Software Update Services服务器，以后就不用为系统更新操心了，与以前手工更新相比，节省了大量的时间，提高了工作效率，而且更新时也不影响用户的正常使用。
添加评论
Windows批量升级补丁方法[非域模式]
单位局域网中有120台左右的机器，通过硬件路由器接入互联网，并且都是采用Windows2000或以上版本的操作系统，工作组运行环境。了解到此情况后，建议使用Microsoft Software Update Services(简称SUS)，在局域网中部署一台“SUS服务器”，为客户机提供补丁发放服务，这样用户就不再需要使用微软的“Windows Update”服务了，通过局域网中的SUS服务器，就能完成Windows补丁安装工作，并且安装过程是全自动的，不需要用户进行干预。
Software Update Services(SUS) 系统
提示:SUS分为服务器端和客户端，服务器端只推出英文版和日文版，能同时为15,000个用户提供升级服务;客户端则支持包括中文版在内的24种语言版本。SUS server能为 Windows 2000 +SP2及以上版本、 Windows XP 、Windows 2003系统提供升级服务，但不支持Windows 98和Windows NT系统。此外SUS不提供除操作系统以外的其它微软产品的升级，如SQL Server、Exchange Server等。
一、准备工作
在安装、配置SUS Server之前，首先为它选择合适的硬件和软件平台。推荐的硬件配置为“700MHz主频以上的CPU，512MB以上内存，6GB以上的剩余硬盘空间”，SUS Server需要Windows 2000 Server+ SP2及以上版本、Windows Server 2003服务器操作系统支持，此外还要IIS 5/6服务器、IE 5.5浏览器以上版本的支持。
SUS Client对硬件平台没特殊要求，但采用的操作系统必须是Windows 2000 +SP2及以上版本/XP/2003，不支持Windows 98和Windows NT。
提示:对于客户端为Windows 2000 +SP2、Windows XP系统，则需要安装SUS Client程序;而Windows 2000+ SP3、Windows XP +SP1(SP2) 及以上版本和Windows Server 2003，就不需要安装SUS Client，该程序已包含在系统中。
二、SUS Server部署
1、服务器端平台选择
首先为SUS Server选择服务器平台，因为客户机数目并不太多，所以服务器的硬件配置不需要太高。选择局域网内的一台浪潮服务器，它的硬件配置为:P4 2.0G CPU，512MB ECC内存，40G SCSI硬盘，并且此服务器中安装了Windows Server 2003操作系统，所有分区都采用了NTFS文件系统。
2、安装IIS服务
Windows Server 2003默认是不安装IIS服务的，但SUS Server需要IIS的支持才能正常运行，因此要手工安装该服务。
在Win2003服务器中，点击“开始→设置→控制面板”选项，运行“添加或删除程序”，在弹出的窗口中切换到“添加/删除Windows组件”页。然后在“Windows组件向导”对话框中选中“应用程序服务器”选项，点击下方的“详细信息”按钮，在弹出的对话框中选中“Internet信息服务(IIS)”组件，点击“确定”按钮。最后在“组件向导”对话框中一路点击“下一步”，完成IIS组件的安装。
提示:建议不要在SUS Server服务器中向用户提供IIS服务，IIS的运行最好只是为SUS Server提供服务。这是因为安装SUS Server时，同时会为系统安装IIS Lockdown Tool工具，它可能会导致其它用户不能正常访问IIS网站。
3、安装、配置SUS Server
(1).安装SUS Server
完成了IIS的安装后，就开始安装配置SUS Server了。下载SUS Server英文版进行安装，过程非常简单，建议选择“典型”方式，接着一路“Next”后就完成安装，最后弹出SUS Server配置管理页面。
提示:安装SUS Server和保存补丁文件的硬盘分区都必须是NTFS文件系统，否则就会出现错误提示，不能成功安装。
(2).SUS Server参数配置
使用的是典型安装方式，完成后SUS Server还不能提供补丁服务，需要进一步进行配置才行。
在Win2003服务器中，进入到“控制面板->管理工具”，运行“Microsoft Software Update Services”工具。接着在登录对话框中输入管理员帐号和密码，点击“确定”后，就登录SUS服务器管理页面。
提示:除了在本地管理配置SUS Server外，还可以对它进行远程配置，在远端客户机中运行IE浏览器，在地址栏中输入“http:// SUS Server的IP地址/SUSAdmin/”，回车后，输入管理员帐号和密码即可。
在SUS Server管理页面左框点击“Other Options”下的“Set Options”链接，接着在右框中就能对SUS Server参数进行配置了。
A、代理服务器配置
在“Select a proxy server configuration”中对SUS Server的代理服务器参数进行设置，如果SUS Server是直接或通过路由器接入互联网，一定要选择“Automatically detect proxy server settings”项，如果是通过代理服务器的话，要选择“Use the following proxy server to access the Internet”项，并在输入框中填上代理的IP地址和端口号。
B、指定服务器名
接着在“Specify the name your clients use to locate this update server”栏中为SUS Server起一个好记的名称，如机器名“TJRAO”，这样客户机就可以通过机器名来访问SUS Server了。
提示:如果客户机无法解析NetBIOS名字，这里就要使用DNS名或IP地址来代替机器名了。
C、同步内容配置
在“Select which server to synchronize content from”中设置补丁内容的来源，因为就部署这一台SUS Server服务器，必须与微软的补丁服务器同步，选择“Synchronize directly from the Microsoft Windows Update servers”项。
提示:如果局域网中部署了多台SUS Server，都和微软补丁服务器同步未免浪费大量带宽和时间，只需要其中一台和微软补丁服务器同步，其它的SUS Server和本地的此台SUS Server同步即可。这时就要选中“Synchronize from a local Software Update Services server”项，在输入框中填入目标SUS Server的机器名或者IP地址。
在“Select where you want to store updates”栏中设置保存补丁文件的方式，建议选择“Save the updates to a local folder”项，这样就可以只同步你需要语种的补丁，避免浪费，如只选择同步“Chinese Simplified(简体中文)”，其它参数使用默认值即可，最后点击“Apply”按钮。
(3).同步操作
完成SUS Server参数配置后，就可以进行同步工作，下载用户需要的补丁文件。在管理页面左框点击“Synchronize server”项，接着点击右框的“Synchronize Now”按钮，开始同步工作。
提示:由于受到网络带宽和补丁文件大小的限制，同步工作需要一个漫长的过程。建议选择自动同步，点击“Synchronization Schedule” 按钮，在配置对话框中选择“Synchronize using this schedule”项，设置好同步的日期和时间，建议在凌晨进行同步工作。
(4).发布操作
同步完成后，SUS Server默认并不立即为用户发布补丁文件，当测试补丁没有问题后，才进行手工发布。在管理页面左框点击“Approve updates”按钮，右框显示下载的补丁文件。如果某些补丁测试正常，想进行发布，选中补丁文件前的复选框，点击“Approve”按钮按钮。
然后同意最终用户许可协议后，完成这些补丁的发布工作。这样，就完成了SUS Server的配置。
三、SUS Client配置
以上完成了SUS Server的配置，现在还需要为客户机配置SUS Client，才能使用SUS Server提供的升级服务。由于管理的局域网是工作组环境，所以介绍针对工作组环境的SUS Client配置。
1、是否安装SUS Client
客户机是否要安装SUS Client程序，取决于它采用了哪种操作系统和安装的修复补丁，对于Windows 2000+ SP2和Windows XP的用户，是必须安装SUS Client的。而Windows 2000+ SP3、Windows XP +SP1及其以上版本 和Windows Server 2003的用户则不需要安装，因为系统中已经内置了SUS Client。
2、合理配置SUS Client
A、添加模板
完成SUS Client安装后，还需要对其进行配置。在客户机上，点击“开始→运行”，输入“gpedit.msc”后回车，弹出组策略编辑器，依次展开“计算机配置→管理模板”，右键点击“管理模板”后，选择“添加/删除模版”，在“添加/删除模版”对话框中点击“添加”。
找到“x:\windows\inf”目录下的“wuau.adm”(x表示windows的系统盘，默认为C)，双击该文件，完成模板的添加。
B、配置组策略
接着依次展开“计算机配置→管理模板→Windows组件→Windows Update”，在右栏中双击“配置自动更新”策略，在属性对话框中配置更新时间和处理方法，选择“已启用”选项，在“配置自动更新”下拉列框中选择“4-自动下载并计划安装”，接着在下面的“计划安装日期”和“计划安装时间”中设置合适的日期和时间，最后点击“确定”。
打开“指定企业内部互联网Windows Update服务位置”策略，选择“已启用”，接着在输入框中指定SUS服务器的位置，可以使用SUS Server机器名或IP地址，最后点击“确定”。
接下来按照上面的方法为局域网中每台客户机配置SUS Client。配置完成后，所有的客户机就可以按照指定的设置，自动连接到SUS Server进行更新，并且所有的更新操作均在后台自动进行的，不需要人为干预。
提示:在工作组环境中，要手工为每台客户机进行SUS Client配置，虽然麻烦些，但对于小型局域网来说还是可以接受的。如果你网络规模较大，建议采用域环境，这样就只需要在域控制器中进行域组策略配置即可，免去了配置客户机的麻烦。
通过以上几步，就完成了SUS系统在局域网中的部署，以后升级就变得非常方便了，即使客户机被限制不能上网，只要SUS Server正常连接到互联网中，升级操作一样不受影响，从此再也不用为Windows升级发愁了。
添加评论
Webmin系统管理工具安装详解
相对于其他GUI管理工具而言，Webmin具有如下显著优点：
1.Web管理方式使得Webmin同时具有本地和远程管理的能力；
2.插件式结构使得Webmin具有很强的扩展性和伸缩性。目前Webmin提供的标准管理：
3.模块几乎涵盖了常见的Unix管理，而且第三方的管理模块也不断地开发出来；
4.访问控制和SSL支持为远程管理提供了足够的安全性；
5.国际化支持，提供多国语言版本。
下面介绍tar.gz格式的Webmin的安装步骤：
1．安装Webmin需要先安装perl5.0.6或以上版本。如果目标系统上没有安装perl的话，需要到 http://www.cpan.org/下载并安装perl,同时需要安装常用的perl模块；如果需要Webmin支持SSL，还需要安装OpenSSL和perl模块Net:SSLeay。
2．到 http://www.webmin.com/webmin下载webmin-0.91.tar.gz ，把 webmin-0.91.tar.gz 解包到你想安装Webmin的目录，譬如/usr/local/webmin。
3．运行安装脚本setup.pl。安装过程会询问Webmin配置文件目录、Log目录和系统的监听端口（缺省是10000），还会要求设置管理员密码。安装脚本还会把Webmin安装成系统的守护进程，在开启系统时自动启动。
4．重新启动系统，访问 http://localhost:10000，如果出现了Webmin的登录界面就说明安装成功了。
下面的列表是Webmin的各种管理模块，我们可以对照每个管理模块的功能对我们的系统进行配置和维护。
管理模块 主要功能
Webmin活动日志 查看Webmin上的管理活动
Webmin配置 配置Webmin本身
Webmin用户管理 管理Webmin的用户
查找Webmin服务器 查找网络上其他的Webmin服务器
管理模块 主要功能
Linux磁盘阵列 配置/etc/raidtab，管理Linux磁盘阵列
Linux启动管理 配置/etc/lilo.conf，管理Linux的 系统启动参数
本地磁盘分区 管理本地磁盘分区
打印机管理 管理打印机
网络配置 配置网络接口、域名服务器、路由网 关等
系统时间 查看和设置系统时间，相当于date命令
管理模块 主要功能
Change Passwords 改变Unix系统中用户的密码，相当于passwd命令
Cron任务调度 配置/etc/crontab，管理定时调度 的任务
NFS输出 配置/etc/exports，管理系统的NFS服务的输出点
NIS Client和Server 配置/etc/yp.conf、/etc nsswitch.conf和/var/yp/securenets，
管理NIS的客户端和服务器
PAM Authentication 配置/etc/pam.d/,管理可插入认证模块PAM
Scheduled Commands 管理at命令调度的任务
SysV初始化配置 配置/etc/inittab，管理系统的启动参数
磁盘和网络文件系统 配置/etc/fstab，管理系统mount的文件系统
磁盘限额 管理系统中磁盘的使用限额
进程管理器 查看系统中运行的进程，相当于ps命令
软件包 系统安装包的管理，相当于rpm命令
使用手册 查找系统中的帮助文件，这些帮助文件包括manpages,perl doc 和Webmin的帮助
系统日志 配置/etc/syslog.conf，管理和查看系统日志
引导和关机 配置/etc/rc.d/，管理系统中守护进程
用户和群组 配置/etc/passwd、/etc/group和/etc/shadow,系统的用户管理
Apache服务 配置Apache服务器
BIND 4 DNS 服务器 配置BIND 4 DNS服务器
BIND 8 DNS 服务器 配置 BIND 8 DNS 服务器
DHCP服务器 配置动态IP服务器
FTP服务器 配置wu-ftpd
Fetchmail Mail Retrival 配置fetchmail
Majordomo 列表管理 配置majordomo
MySQL数据库管理器 配置MySQL服务器
PPP账号 配置/etc/ppp/pap-secrets，管理PPP的用户
Postfix 配置 配置postfix
PostgreSQL数据库服务器 配置PostgreSQL服务器
ProFTP Server 配置ProFTP服务器
Qmail Configuration 配置Qmail邮件服务器
SSH Server 配置SSH服务器
Samba Windows 文件共享 配置Samba服务器
SendMail 配置 配置 sendmail
Squid 配置 配置Squid代理服务器
Xinetd服务 配置 配置/etc/xinetd.conf和/etc/xinetd.d/，管理系统中启动的Internet服务
管理模块 主要功能
Cluster Software Package 用于管理Linux集群
Cluster Users and Groups 用于管理Linux集群
HeartBeat Monitor 用于管理Linux集群
管理模块 主要功能
Command Shell 在Linux服务器上执行一个命令
Perl 模块 管理perl的模块
SSH/Telnet登录 一个支持SSH的Telnet客户端
文件管理器 一个类似于Windows资源管理器 的文件管理模块，
管理Linux服务 器上的文件
系统和服务器的状态 查看系统中各种服务器（如HTTP、
FTP、Samba,MySQL等）运行状态
用户自定义命令 定义常用的命令
1． SSL支持
通过设定Webmin支持SSL，你可以通过https访问Webmin。SSL不仅会认证你的Webmin服务器，而且还会对管理过程中的网络通信进行加密。
2． 用户访问控制
用户访问控制使得管理员能控制每个模块能由哪些用户访问，访问某个模块的用户能够对该模块进行哪些操作等。
3． IP访问控制
IP访问控制可以限定哪些IP地址可以访问这个Webmin服务器，不在访问列表内的IP地址的访问将被禁止。
通过这些安全性加强，我们大可以安心地使用Webmin作为系统管理工具。总之，Webmin这种Linux、Unix系统管理工具，为我们正确高效地完成各种关键的系统配置提供了极大的方便。
添加评论
Solaris基本安全配置
1）防止堆栈溢出
2）关闭不用的服务
3）给系统打补丁
#1 防止堆栈溢出
至少90%以上的安全问题都是来自所谓的“堆栈溢出”。攻击者通过给一个以root身份运行的程序提供比它所预期的输入多得多的东西，使被攻击程序无法处理而改变执行流程去执行攻击者指定的代码。
Solaris 2.6和Solaris 7都具备把用户堆栈设成不可执行的能力，以使这种攻击不能得逞。要使能这个特点：
0）变成root
1）对/etc/system文件做个拷贝
cp /etc/system /etc/system.BACKUP
2）用你最钟爱的编辑器编辑/etc/system文件
3）到文件的最后，插入以下几行：
set noexec_user_stack=1
set noexec_user_stack_log=1
4）保存文件，退出编辑器
一旦重启机器，这些改变就会生效。如果这不是一个你可以关闭的系统，那么你用adb来改变一个运行中的系统的参数也是可能的，但这不是我个人乐意去干的事。
当然会有些合法使用可执行堆栈的程序在你做出如上改变后而不能正常运行。所幸的是这样的程序的并不多，我所知的就只有GNU ada 编译器。
#2 在inetd.conf中关闭用不着的服务
有许多用不着的服务自动的处于使能状态。它们中可能存在的漏洞将使攻击者甚至不需要一个账户就能控制你的机器。关闭这些不需要的服务来保护你的系统，你可以用如下方法来关闭：
0）变成root
1）对inetd的配置文件/etc/inetd.conf做个拷贝
cp /etc/inetd.conf /etc/inetd.conf.BACKUP
2）编辑/etc/inetd.conf文件
未被激活的服务是在前面被“#“符号注释掉的，举个例子，你的部份inetd.conf可能是这样的：
# Tnamed serves the obsolete IEN-116 name server protocol.
#
name dgram udp wait root /usr/sbin/in.tnamed in.tnamed
不需要这个服务，因为你们中的99.999%不会用到这个“已经被废弃的IEN-116名字服务协议“，把这个注释掉以后，这行看起来会象是：
# Tnamed serves the obsolete IEN-116 name server protocol.
#
#name dgram udp wait root /usr/sbin/in.tnamed in.tnamed
^
|
看到这个新的“#” 符号了吧
我建议注释掉几乎所有的服务，只留下：
ftp stream tcp nowait root /usr/sbin/in.ftpd in.f
最低0.47元/天 解锁文章
2741
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
