Reparer WSUS-klienter

Vil klientene til WSUS ikke oppdatere seg etter serverbytte?
Da kommer vi til dere. (C)

Alle har opplevd situasjoner der noe slutter å fungere.
Denne artikkelen handler om WSUS (mer detaljert informasjon om WSUS kan fås her og her).
Nærmere bestemt om hvordan man tvinger WSUS-klientene (dvs. våre datamaskiner) til å motta oppdateringer på nytt etter at en eksisterende oppdateringsserver er flyttet eller gjenopprettet.

Så situasjonen er som følger.
WSUS-serveren har krasjet. Mer presist, RAID-kontrolleren fra 2000. Men dette faktum brakte ikke noe håp. Etter en kort periode med prøving og feiling (med forsøk på å gjenvinne RAID, som ble ødelagt av den svinnende kontrolleren), ble det besluttet å sette opp en ny WSUS-server.
Resultatet ble en fungerende WSUS, som av en eller annen grunn ikke klarte å koble seg til klientene.
Faktorer: WSUS er knyttet til FQDN via intern DNS-server, WSUS-serveren er angitt i gruppepolicyene og distribueres til klientene via AD, standardinnstillinger for serveren, før man begynner, oppdaterer man selve WSUS og kjører en synkronisering av oppdateringer.

Etter en analyse av situasjonen, ble flere nøkkelpunkter identifisert.
1) Klientproblemet (snakker om wuauclt) ved forsøk på å koble seg til SID for den gamle WSUS-serveren.
2) Problemet med ikke-installerte oppdateringer lastet ned fra den gamle WSUS-serveren.
3) Tjenester parkert som påvirker wuauclt (snakker om wuauserv, bits og cryptsvc). Parkeringen skjedde av ulike årsaker som ikke ble analysert i detalj.
Resultatet ble en liten skriptløsning, som distribueres via gruppepolicyer gjennom AD eller for hånd (og føtter). Skriptet bruker den sikreste reparasjonsmetoden og har ikke forårsaket noe negativt resultat på over et halvt år med bruk.

Jeg vil beskrive hva som gjøres (for spesielt nysgjerrige).
Vi parkerer oppdateringstjenesten, renser sikkerhetsbeskrivelsen for tjenesten som kommuniserer med WSUS, fjerner eksisterende oppdateringer fra den tidligere WSUS, renser registeret for omtaler av den tidligere WSUS, starter automatisk oppdateringstjeneste (wuauserv), bakgrunnsintelligent overføringstjeneste (bits) og kryptografitjenesten (cryptsvc), til slutt banker vi på WSUS med tilbakestilling av autorisasjon, oppdagelse av ny WSUS og generering av rapport på serveren.
Som alltid: alle handlinger beskrevet over og under utfører du på egen risiko. Vennligst sørg for at alle nødvendige data er lagret før du kjører skriptet.

Skript
net stopp wuauserv
sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
del /f /s /q %windir%SoftwareDistributiondownload*.*
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v PingID /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v SusClientId /f
net start wuauserv && net start bits && net start cryptsvc
wuauclt /resetauthorization /detectnow /reportnow

Kilde: habr.com