Rregullojmë klientët WSUS

A klientët e WSUS nuk duan të përditësohen pas ndryshimit të serverit?
Atëherë ne do të vijmë tek ju. (C)

Të gjithë kemi pasur situata kur diçka ka ndaluar së punuari.
Ky artikull do të flasë për WSUS (informacion më të detajuar rreth WSUS mund të merret këtu dhe këtu).
Për më saktë, se si të detyrojmë klientët e WSUS (dmth. kompjuterët tanë) të marrin përditësime rishtazi pas transferimit ose rikthimit të serverit ekzistues të përditësimeve.

Pra, situata është si më poshtë.
Serveri WSUS ka vdekur. Më saktë, kontrolluesi RAID nga viti 2000. Por ky fakt nuk solli asnjë gëzim. Pas një përpjekjeje të shkurtër (me përpjekjet për të rikuperuar RAID-in, të shkatërruar nga kontrolluesi në vdekje), u vendos të dërgohet gjithçka dhe të shtriheshin një server të ri WSUS.
Si rezultat, morëm një WSUS funksional, në të cilin për ndonjë arsye klientët nuk lidhen.
Momentet: WSUS është lidhur me FQDN përmes një serveri DNS të brendshëm, serveri WSUS është shkruar në politikat grupore dhe shpërndahet te klientët përmes AD, konfigurimet për serverin janë standarde, para fillimit të të gjitha veprimeve, përditësoni WSUS vetë dhe kryeni sinkronizimin e përditësimeve.

Pas analizës së situatës, u identifikuan disa pika kyçe.
1) Klienti i klinch (flasim për wuauclt) gjatë përpjekjes për t'u lidhur me SID-në e serverit të vjetër WSUS.
2) Problemi me përditësimet e painstaluara, të shkarkuara nga serveri i vjetër WSUS.
3) Parkimi i shërbimeve që ndikojnë në punën e wuauclt (flasim për wuauserv, bits dhe cryptsvc). Parkimi ndodhi për arsye të ndryshme, të cilat nuk u analizuan në detaje.
Si rezultat, e gjithë zgjidhja rezultoi në një skenar të vogël, i cili shpërndahet përmes politikave grupore përmes AD ose me duar (dhe këmbë). Skripti përdor variantin më të sigurt të riparimit dhe nuk ka dhënë asnjë rezultat negativ që nga përdorimi i tij për gjashtë muaj.

Do ta përshkruaj se çfarë bëhet (për ata që janë veçanërisht kuriozë).
Parkojmë shërbimin e serverit të përditësimeve, pastrojmë descriptorin e sigurisë të shërbimit të komunikimit me WSUS, heqim përditësimet ekzistuese nga WSUS-i i mëparshëm, pastrojmë regjistrin nga përmendjet për WSUS-in e mëparshëm, nisim shërbimet e përditësimit automatike (wuauserv), shërbimin sfondor inteligjent të transferimit (bits) dhe shërbimin e kriptografisë (cryptsvc), në fund të fundit e detyrojmë të godasim në WSUS duke zeruar autorizimin, duke zbuluar WSUS të ri dhe duke gjeneruar një raport në server.
Si si gjithmonë: të gjitha veprimet e përshkruara më sipër dhe më poshtë i kryeni me rrezikun tuaj. Ju lutemi sigurohuni që të gjitha të dhënat e nevojshme janë ruajtur para kryerjes së skriptit.

Script
ndal wuauserv
sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
fshij del /f /s /q %windir%SoftwareDistributiondownload*.*
REG FSHIJ "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v AccountDomainSid /f
REG FSHIJ "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v PingID /f
REG FSHIJ "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v SusClientId /f
ndal wuauserv && ndal bits && ndal cryptsvc
wuauclt /resetauthorization /detectnow /reportnow

Burimi: habr.com