背景介绍
经过永恒之蓝这么一闹,客户开始重视系统补丁更新,由于客户保密级别很高,内网不允许与互联网连接,而使用wsusoffline工具对每台服务器手动更新补丁工作量大,而客户也没有预算购买第三方补丁更新软件,于是尝试使用WSUS服务器在不连接公网的情况下进行补丁更新。
环境介绍
客户服务器都处于工作组环境下,内网的服务器由Windows Server 2003R2和Windows Server 2008R2两种,而Windows Server 2008R2自带的WSUS3.0SP1已不再受支持,添加WSUS角色时总会报错,如果一定要用Windows Server 2008R2需要去微软下载WSUS3.0SP2完成WSUS服务器的搭建,所以WSUS服务器选择使用Windows Server 2012R2进行搭建。
操作步骤
1.在公网环境搭建一台WSUS服务器,以便下载补丁包(搭建过程略),搭建完成后设置更新文件和更新语言选项,语言选项是选择下载那些语言版本的操作系统补丁,更新文件方式分为:
(1)只有在审更新后批后,才能将文件下载到此服务器。该选项是在审批允许下载前只下载补丁包的源数据而非补丁本身,优点是节省带宽,缺点是只有审批后才会真正下载补丁包,微软建议使用该选项,它也是默认选项。
(2)下载快速安装文件。该选项是审批前直接将补丁包下载到本地,待审批通过后再进行安装,它的优点是如果内网中的计算机已安装过旧的补丁包,它只会安装就补丁包与新补丁包之间差异的部分,缓解内网网络负担,缺点是对外网带消耗大。
结合实际环境,此处选择下载安装文件,需要注意的是:后期在内网中WSUS服务器的更新文件和更新语言选项设置必须和此处的选项保持一致。而更新源和代理服务器、产品和分类、同步计划设置可以不用考虑。
为方便下载,将自动审批选项设置为任何分类,然后开始进行补丁包下载。
2.下载完成后在指定的补丁存放路径下找到WsusContent目录,该目录中存放的就是下载下来的补丁,可以使用各种备份软件或Xcopy工具进行备份,然后到内网的WSUS服务器上进行恢复,注意不要更改该目录下的层级结构,此处选择最原始的方法直接复制一份。
3.只复制WsusContent目录到内网的WSUS服务器上内网计算机依然无法正常下载补丁,还需要使用WSUS自带的wsusutil工具将外网WSUS服务器上补丁包间的源数据导出,该工具位于C:\Program Files\Update Services\Tools目录下,该工具无法通过双击打开,在命令行模式下可以执行,命令格式为:
wsusutil.exe export packagename logfile #packagename为.cab格式,logfile为.log格式,packagename和logfile名称必须完全一致
4.在内网搭建一个WSUS服务器,补丁包存放的位置设置建议和外网服务器保持一致,将复制的WsusContent目录考到内网WSUS服务器上
5.再使用wsusutil工具导入外网WSUS服务器补丁包的源数据,此时内网WSUS服务器补丁就算更新完成,以后每次更新补丁时都需要更新源数据
6.打开IIS管理器,确认WSUS使用的端口号
7.在内网中找一台计算机,将组策略中WSUS服务器地址指向设置为实际的地址,完成后运行gpupdate /force刷新组策略
8.打开这台计算机的注册表,将Windows update键值导出成为一个reg注册表文件,发给内网中其他计算机,双击运行完成WSUS服务器的指向,至此操作完成
补充说明
1.内网中其他计算机运行完reg文件后,注册表的键值完成修改,但组策略中依然显示未设置,此时可以正常从WSUS服务器获取补丁,推测组策略和注册表不是存放在同一位置。
2.经过反复测试,内网中其他计算机运行注册表文件后是可以找到WSUS服务器的,只是有时候执行完注册表后立即可以进行更新,有时候出现错误后重启下系统也可以恢复正常,有时候反复重启、刷新组策略始终报这个错误,网上查了下这个错误说是网络故障引起的,因为都是处于同一个网络环境下,就很奇怪这个故障怎么解决,感觉这个故障的出现有很大的随机性。
3.WSUS是通过计算机名来标识PC的,如果环境中存在2台相同计算机名的PC,后向WSUS服务器报告的会被记录在WSUS的所有计算机列表中,尽管这2台PC都能从WSUS服务器获取到补丁包。
转载于:https://blog.51cto.com/arkling/1932531