Klienti WSUS nechcú aktualizovať po zmene servera?
Tak ideme k vám. (C)
Každý mal situácie, keď niečo prestalo fungovať.
V tomto článku sa budeme baviť o WSUS (podrobnejšie informácie o WSUS možno získať a).
A konkrétnejšie o tom, ako donútiť klientov WSUS (t.j. naše počítače) znova prijímať aktualizácie po prenose alebo obnove existujúceho servera aktualizácií.
Takže situácia je nasledujúca.
Server WSUS zhasol. Presnejšie, RAID ovládač z roku 2000. Ale tento fakt nepridal na radosti. Po krátkom trápení (s pokusmi obnoviť RAID, ktorý sa pokazil z umierajúceho ovládača) sme sa rozhodli postaviť nový WSUS server.
Nakoniec sme dostali funkčný WSUS, ku ktorému sa z nejakého dôvodu nepripojili klienti.
Body: WSUS je viazaný na FQDN prostredníctvom interného DNS servera, WSUS server je zaregistrovaný v skupinových politikách a rozširuje sa na klientov cez AD, predvolené nastavenia servera, pred začiatkom všetkých akcií aktualizujte samotný WSUS a vykonajte synchronizáciu aktualizácií.
Po analýze situácie sa ukázalo niekoľko kľúčových bodov.
1) Klientsky konflikt (reč o wuauclt) pri pokuse o spojenie so SID starého servera WSUS.
2) Problém s neupravenými aktualizáciami stiahnutými zo starého WSUS servera.
3) Parkovanie služieb ovplyvňujúcich prácu wuauclt (reč o wuauserv, bits a cryptsvc). Parkovanie sa stalo z rôznych dôvodov, ktoré neboli podrobne analyzované.
Nakoniec všetky riešenia vyústili do malého skriptu, ktorý sa šíri skupinovými politikami cez AD alebo vlastnými rukami (a nohami). Skript používa najbezpečnejšiu variantu opravy a už pol roka nepriniesol žiadny negatívny výsledok.
Opíšem, čo sa robí (pre tie najzvedavejšie).
Parkujeme službu servera aktualizácií, čistí sa bezpečnostný deskriptor služby spojenia s WSUS, odstraňujú sa existujúce aktualizácie zo starého WSUS, čistí sa registr od zmienok o predchádzajúcom WSUS, spúšťame služby automatických aktualizácií (wuauserv), pozadovú inteligentnú službu prenosu (bits) a službu kryptografie (cryptsvc), na konci sa donútime pripojiť k WSUS so resetovaním autorizácie, objavovaním nového WSUS a generovaním správy na server.
A ako vždy: všetky úkony opísané vyššie a nižšie vykonávate na vlastné riziko. Prosím, uistite sa, že všetky potrebné údaje sú uložené pred spustením skriptu.
Skript
net stop wuauserv
sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
del /f /s /q %windir%SoftwareDistributiondownload*.*
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v PingID /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v SusClientId /f
net start wuauserv && net start bits && net start cryptsvc
wuauclt /resetauthorization /detectnow /reportnow
Zdroj: habr.com
