A WSUS ügyfelei nem akarnak frissülni a szerver átkonfigurálása után?
Akkor mi megyünk önhöz. (C)
Mindig történtek olyan helyzetek, amikor valami egyszer csak meghibásodott.
Ebben a cikkben a WSUS-ról lesz szó (további részletes információt a WSUS-ról itt találhat) és).
Mégpedig arról, hogyan kényszeríthetjük rá a WSUS ügyfeleit (azaz a mi számítógépeinket), hogy újra megkapják a frissítéseket a frissítési szerver áthelyezése vagy helyreállítása után.
Tehát a helyzet a következő.
Meghalt a WSUS szerver. Pontosabban a RAID vezérlő, amely már 2000 óta üzemel. De ez a tény nem hozott örömet. Egy rövid szenvedés után (megkísérelve helyreállítani a RAID-et a haldokló vezérlő által), úgy döntöttünk, hogy mindent elmondunk, és egy új WSUS szervert telepítünk.
Ennek eredményeként működő WSUS-t kaptunk, amelyhez valami miatt nem csatlakoztak az ügyfelek.
Szükséges dolgok: a WSUS FQDN-höz van kötve egy belső DNS szerver által, a WSUS szerver rögzítve van a csoportházirendekben, és az Active Directory-n keresztül terjed ki az ügyfelekre, az alapértelmezett beállításokkal, a lépések megkezdése előtt frissítse magát a WSUS-t, és hajtsa végre a frissítések szinkronizálását.
A helyzet elemzése után több kulcsfontosságú pont derült ki.
1) A kliens (itt a wuauclt-ről van szó) próbálkozása a régi WSUS szerver SID-jének elérésére.
2) A régi WSUS-szerverről letöltött, telepítetlen frissítések problémája.
3) Szolgáltatások parkolása, amelyek befolyásolják a wuauclt működését (itt a wuauserv, bits és cryptsvc szolgáltatásokra gondoltunk). A parkolás különböző okokból következett be, amelyeket részletesebben nem elemeztek.
Ennek eredményeként minden megoldás egy kis szkriptre végződött, amelyet csoportházirendek vagy saját kezűleg osztanak el az Active Directory-n keresztül. A szkript a legbiztonságosabb javító lehetőséget használja, és már fél éve nem okozott negatív eredményeket.
Leírom, hogy mi történik (azok számára, akik különösen kíváncsiak).
Parkoljuk le a frissítési szolgáltatást, tisztítsuk meg a WSUS-hoz kapcsolódó szolgáltatás biztonsági leíróját, távolítsuk el a régi WSUS-től származó frissítéseket, tisztítsuk meg a bejegyzéseket a régi WSUS-ra vonatkozóan a registrben, indítsuk el az automatikus frissítési szolgáltatásokat (wuauserv), a háttér intelligens átvitel szolgáltatást (bits) és a kriptográfiai szolgáltatást (cryptsvc), végül kényszerített kérést küldünk a WSUS-nak az azonosítás nullázásával, az új WSUS felfedezésével és egy beszámoló generálásával a szerveren.
És mint mindig: az itt leírt összes műveletet saját felelősségére végzi. Kérjük, győződjön meg róla, hogy minden szükséges adatot elmentett a szkript futtatása előtt.
Script
net stop wuauserv
sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
del /f /s /q %windir%SoftwareDistributiondownload*.*
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v PingID /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v SusClientId /f
net start wuauserv && net start bits && net start cryptsvc
wuauclt /resetauthorization /detectnow /reportnow
Forrás: habr.com
