Möchten WSUS-Clients nach einem Serverwechsel keine Updates mehr erhalten?
Dann kommen wir zu Ihnen. (C)
Jeder hatte schon einmal Situationen, in denen etwas nicht mehr funktionierte.
In diesem Artikel geht es um WSUS (weitere Informationen zu WSUS finden Sie und).
Genauer gesagt, wie man WSUS-Clients (also unsere Computer) dazu bringt, nach dem Umzug oder der Wiederherstellung eines vorhandenen Update-Servers wieder Updates zu beziehen.
Nun, die Situation ist folgende.
Der WSUS-Server hat den Geist aufgegeben. Genauer gesagt, der RAID-Controller aus dem Jahr 2000. Aber diese Tatsache hat die Freude nicht gesteigert. Nach kurzem Tüfteln (mit dem Versuch, das RAID von dem sterbenden Controller wiederherzustellen) wurde beschlossen, alles in die Tonne zu treten und einen neuen WSUS-Server aufzusetzen.
Am Ende hatten wir einen funktionierenden WSUS, mit dem die Clients aus irgendeinem Grund nicht verbinden wollten.
Wichtige Punkte: Der WSUS ist über FQDN mit dem internen DNS-Server verbunden, der WSUS-Server ist in den Gruppenrichtlinien festgelegt und wird über AD an die Clients verteilt, die Servereinstellungen sind auf die Standardwerte gesetzt. Vor Beginn aller Maßnahmen aktualisieren Sie den WSUS selbst und führen Sie die Synchronisation der Updates durch.
Nach Analyse der Situation wurden mehrere Schlüsselpunkte identifiziert.
1) Klientkonflikt (bezüglich wuauclt) beim Versuch, sich mit der SID des alten WSUS-Servers zu verbinden.
2) Problem mit nicht installierten Updates, die vom alten WSUS-Server heruntergeladen wurden.
3) Parken von Diensten, die die Funktion von wuauclt beeinflussen (bezüglich wuauserv, bits und cryptsvc). Das Parken geschah aus verschiedenen Gründen, die nicht im Detail analysiert wurden.
Letztendlich entwickelte sich die gesamte Lösung zu einem kleinen Skript, das über Gruppenrichtlinien in AD oder manuell verteilt wird. Das Skript verwendet die sicherste Methode zur Behebung und hat seit einem halben Jahr keine negativen Ergebnisse geliefert.
Ich beschreibe, was gemacht wird (für die besonders Neugierigen).
Wir parken den Dienst des Update-Servers, bereinigen den Sicherheitsdescriptor des Kommunikationsdienstes mit WSUS, entfernen die vorhandenen Updates vom vorherigen WSUS, säubern die Registrierung von Erwähnungen des vorherigen WSUS, starten die automatischen Update-Dienste (wuauserv), den Hintergrundübertragungsdienst (bits) und den Krypto-Dienst (cryptsvc) und drücken schließlich gezielt auf WSUS, um die Autorisierung zurückzusetzen, den neuen WSUS zu erkennen und einen Bericht an den Server zu generieren.
Wie immer: Alle oben und unten beschriebenen Maßnahmen führen Sie auf eigenes Risiko durch. Bitte stellen Sie sicher, dass alle erforderlichen Daten vor der Ausführung des Skripts gesichert sind.
Script
net stop wuauserv
sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
del /f /s /q %windir%SoftwareDistributiondownload*.*
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v PingID /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v SusClientId /f
net start wuauserv && net start bits && net start cryptsvc
wuauclt /resetauthorization /detectnow /reportnow
Quelle: habr.com
