ჩვენ ვასწორებთ WSUS კლიენტებს

WSUS კლიენტებს არ სურთ განახლება სერვერების შეცვლის შემდეგ?
მერე შენთან მივდივართ. (ერთად)

ჩვენ ყველას ვყოფილვართ ისეთ სიტუაციებში, როდესაც რაღაც წყვეტს მუშაობას. ეს სტატია ყურადღებას გაამახვილებს WSUS-ზე (დამატებითი ინფორმაცია WSUS-ის შესახებ შეგიძლიათ მიიღოთ საიდან აქ и აქ). უფრო ზუსტად, იმის შესახებ, თუ როგორ ვაიძულოთ WSUS კლიენტები (ანუ ჩვენი კომპიუტერები) ხელახლა მიიღონ განახლებები არსებული განახლების სერვერის გადატანის ან აღდგენის შემდეგ.

ასე რომ, სიტუაცია შემდეგია

WSUS სერვერი გარდაიცვალა. უფრო ზუსტად, RAID კონტროლერი 2000 წელს იყო წარმოებული. მაგრამ ეს ფაქტი სიხარულს არ მატებდა. ხანმოკლე აურზაურის შემდეგ (RAID-ის აღდგენის მცდელობებით, რომელიც მომაკვდავმა კონტროლერმა გააფუჭა), გადაწყდა ყველაფრის გაგზავნა ახალი WSUS სერვერის განსათავსებლად.

შედეგად მივიღეთ სამუშაო WSUS, რომელსაც რატომღაც კლიენტები არ უკავშირდებოდნენ.
ქულები: WSUS უკავშირდება FQDN-ს შიდა DNS სერვერის მეშვეობით, WSUS სერვერი რეგისტრირებულია ჯგუფურ პოლიტიკაში და ნაწილდება კლიენტებზე AD-ის საშუალებით, სერვერის ნაგულისხმევი პარამეტრები, ყველა მოქმედების დაწყებამდე განაახლეთ თავად WSUS და განახლებების სინქრონიზაცია.

სიტუაციის გაანალიზების შემდეგ გამოიკვეთა რამდენიმე ძირითადი პუნქტი

1. კლიენტის კლინიკა (ვსაუბრობთ wuauclt-ზე) ძველი WSUS სერვერის SID-თან დაკავშირების მცდელობისას.
2. ძველი WSUS სერვერიდან ჩამოტვირთული დეინსტალირებული განახლებების პრობლემა.
3. სერვისების პარკინგი, რომლებიც გავლენას ახდენენ wuauclt-ის მუშაობაზე (საუბარია wuauserv-ზე, bits-ზე და cryptsvc-ზე). პარკინგი სხვადასხვა მიზეზის გამო მოხდა, რაც დეტალურად არ იყო გაანალიზებული.

შედეგად, მთლიანმა გადაწყვეტამ გამოიწვია მცირე სკრიპტი, რომელიც ნაწილდება ჯგუფური პოლიტიკის მიხედვით AD-ის საშუალებით ან საკუთარი ხელით (და ფეხებით). სკრიპტი იყენებს ყველაზე უსაფრთხო სარემონტო ვარიანტს და არ მოუტანია არც ერთი უარყოფითი შედეგი ექვსი თვის განმავლობაში.

მე აღვწერ რა კეთდება (მათთვის, ვინც განსაკუთრებით აინტერესებს)

ჩვენ ვაჩერებთ განახლების სერვერის სერვისს, ვასუფთავებთ WSUS საკომუნიკაციო სერვისის უსაფრთხოების აღწერს, ვშლით წინა WSUS-დან არსებულ განახლებებს, ვასუფთავებთ წინა WSUS-ის მითითებების რეესტრს, ვიწყებთ ავტომატური განახლების სერვისს (wuauserv), ფონური ინტელექტუალური გადაცემის სერვისს ( ბიტი) და კრიპტოგრაფიის სერვისი (cryptsvc), ბოლოს და ბოლოს ჩვენ ძალით ვაკაკუნებთ WSUS-ზე ავტორიზაციის გადატვირთვისთვის, ახალი WSUS-ის აღმოსაჩენად და სერვერზე მოხსენების შესაქმნელად.

და როგორც ყოველთვის: თქვენ ასრულებთ ზემოთ და ქვემოთ აღწერილ ყველა მოქმედებას თქვენი საფრთხისა და რისკის ქვეშ. გთხოვთ, დარწმუნდეთ, რომ ყველა საჭირო მონაცემი შენახულია სკრიპტის შესრულებამდე.

სკრიპტი

net stop wuauserv
sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
del /f /s /q %windir%SoftwareDistributiondownload*.*
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v PingID /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v SusClientId /f 
net start wuauserv && net start bits && net start cryptsvc
wuauclt /resetauthorization /detectnow /reportnow

წყარო: www.habr.com