אנו מתקנים לקוחות WSUS

לקוחות WSUS לא רוצים לעדכן לאחר החלפת שרתים?
אז נלך אליך. (עם)

כולנו היינו במצבים שבהם משהו מפסיק לעבוד.
מאמר זה יתמקד ב-WSUS (מידע נוסף על WSUS ניתן לקבל מאתר כאן и כאן).
או ליתר דיוק, על איך לאלץ לקוחות WSUS (כלומר, המחשבים שלנו) לקבל שוב עדכונים לאחר העברה או שחזור של שרת העדכונים הקיים.

אז המצב הוא כדלקמן.
שרת ה-WSUS מת. ליתר דיוק, בקר ה-RAID יוצר בשנת 2000. אבל עובדה זו לא הוסיפה שמחה. לאחר מהומה קצרה (עם ניסיונות לשחזר את ה-RAID שנהרס על ידי הבקר הגוסס), הוחלט לשלוח הכל לפריסת שרת WSUS חדש.
כתוצאה מכך, קיבלנו WSUS עובד, שמשום מה לקוחות לא התחברו אליו.
נקודות: WSUS מקושר ל-FQDN דרך שרת DNS פנימי, שרת WSUS רשום במדיניות קבוצתית ומופץ ללקוחות דרך AD, הגדרות ברירת המחדל של השרת, לפני תחילת כל הפעולות, עדכן את WSUS עצמו וסנכרן את העדכונים.

לאחר ניתוח המצב, זוהו מספר נקודות מפתח.
1) קלינץ לקוח (מדברים על wuauclt) כאשר מנסים להתחבר ל-SID של שרת ה-WSUS הישן.
2) בעיה עם עדכונים לא מותקנים שהורדו משרת WSUS הישן.
3) חניה של שירותים המשפיעים על פעולת wuauclt (אנחנו מדברים על wuauserv, bits ו-cryptsvc). החניה התרחשה מסיבות שונות, שלא נותחו בפירוט.
כתוצאה מכך, כל הפתרון הביא לסקריפט קטן, שמופץ על ידי מדיניות קבוצתית באמצעות AD או במו ידיך (וכפות הרגליים). התסריט משתמש באפשרות התיקון הבטוחה ביותר ולא הביא תוצאה שלילית אחת במשך שישה חודשי שימוש.

אתאר את הנעשה (לסקרנים במיוחד).
אנו מחנים את שירות שרת העדכונים, מנקים את מתאר האבטחה של שירות התקשורת של WSUS, מוחקים עדכונים קיימים מה-WSUS הקודם, מנקים את הרישום מהפניות ל-WSUS הקודם, מתחילים את שירות העדכון האוטומטי (wuauserv), שירות ההעברה החכמה ברקע ( bits) ושירות ההצפנה (cryptsvc), בסוף אנחנו דופקים בכוח על WSUS כדי לאפס הרשאה, לזהות WSUS חדש ולהפיק דוח לשרת.
וכמו תמיד: אתה מבצע את כל הפעולות המתוארות לעיל ולהלן על סכנה ובסיכון שלך. אנא ודא שכל הנתונים הדרושים נשמרים לפני ביצוע הסקריפט.

תַסרִיט
net stop wuauserv
sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
del /f /s /q %windir%SoftwareDistributiondownload*.*
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v PingID /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v SusClientId /f
net start wuauserv && net start bits && net start cryptsvc
wuauclt /resetauthorization /detectnow /reportnow

מקור: www.habr.com