Vi fixar WSUS-kunder

WSUS-klienter vägrar att uppdatera efter serverbytet?
Då kommer vi till er. (C)

Alla har haft situationer där något plötsligt slutade fungera.
I denna artikel kommer vi att prata om WSUS (mer detaljerad information om WSUS kan erhållas här och här).
Närmare bestämt hur man får WSUS-klienterna (dvs. våra datorer) att på nytt ta emot uppdateringar efter att en befintlig uppdateringsserver har flyttats eller återställts.

Så, situationen är följande.
WSUS-servern dog. Närmare bestämt RAID-kontrollern som är från 2000. Men denna fakta tillförde ingen glädje. Efter en kort tids trassel (med försök att återställa RAID, vilket förstördes av den döende kontrollern), togs beslutet att sätta upp en ny WSUS-server.
Resultatet blev att vi fick en fungerande WSUS, till vilken kunderna av någon anledning inte kunde ansluta.
Moment: WSUS är kopplad med FQDN genom intern DNS-server, WSUS-servern är angiven i gruppolicyer och sprids till kunder genom AD, standardinställningar för servern, innan några åtgärder vidtas, uppdatera själva WSUS och utför synkronisering av uppdateringar.

Efter analys av situationen identifierades flera viktiga punkter.
1) Klienten hänger (det handlar om wuauclt) när den försöker ansluta till SID för den gamla WSUS-servern.
2) Problem med ej installerade uppdateringar som laddats ner från den gamla WSUS-servern.
3) Parkeringsproblem med tjänster som påverkar wuauclt:s funktion (det handlar om wuauserv, bits och cryptsvc). Parkeringsproblemen uppstod av olika skäl som inte analyserades i detalj.
Som ett resultat mynnade hela lösningen ut i ett litet skript som distribueras genom gruppolicyer via AD eller med egna händer (och fötter). Skriptet använder den säkraste metoden för reparation och har inte orsakat något negativt resultat under ett halvår av användning.

Jag kommer att beskriva vad som görs (för de särskilt nyfikna).
Vi stoppar uppdateringstjänsten, rengör säkerhetsbeskrivaren för tjänsten som kommunicerar med WSUS, tar bort befintliga uppdateringar från tidigare WSUS, rengör registret från omnämnanden av tidigare WSUS, startar automatiska uppdateringstjänster (wuauserv), bakgrundstjänsten för intelligent överföring (bits) och kryptografi-tjänsten (cryptsvc), och till sist tvingar vi kontakt med WSUS genom att nollställa autentiseringen, upptäcka den nya WSUS och generera en rapport till servern.
Och som alltid: alla handlingar som beskrivs ovan och nedan utförs på egen risk. Var god se till att all nödvändig data är sparad innan skriptet körs.

Skript
net stop wuauserv
sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
del /f /s /q %windir%SoftwareDistributiondownload*.*
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v PingID /f
REG DELETE "HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate" /v SusClientId /f
net start wuauserv && net start bits && net start cryptsvc
wuauclt /resetauthorization /detectnow /reportnow

Källa: habr.com