In diesem Beitrag werde ich die Schritte zum Installieren und Konfigurieren von WSUS (Windows Server Update Services) auf Windows Server 2019 behandeln. Dieses Handbuch sollte Ihnen helfen, wenn Sie WSUS von Grund auf neu installieren und konfigurieren möchten.
In der Vergangenheit habe ich mehrere Beiträge auf WSUS veröffentlicht. Dazu gehört die Installation von WSUS und die Konfiguration von WSUS. Darüber hinaus habe ich auch einen Beitrag zur WSUS-Fehlerbehebung veröffentlicht., Seitdem verwende ich Configuration Manager und habe mich nie die Mühe gemacht, mich auf WSUS zu konzentrieren.
Vor einigen Tagen hat mich ein Kollege auf meinem kontaktiert und gefragt, ob ich einen Beitrag zum Einrichten von WSUS auf Windows Server 2019 veröffentlichen kann. Das Unternehmen, in dem er arbeitet, verwendet nur WSUS, um die Updates auf Computern bereitzustellen. Also suchte er nach einer Anleitung, die ihm helfen kann, WSUS von Grund auf neu einzurichten und zu konfigurieren.
Daher habe ich beschlossen, dieses Handbuch zu veröffentlichen, das ausschließlich für Administratoren gedacht ist, die WSUS installieren und konfigurieren möchten, um Updates in ihrem Setup zu verwalten., Ich werde auch einige WSUS-Grundlagen behandeln, die grundlegende Fragen und die Bedeutung von WSUS beantworten.
Es ist schon ziemlich lange her, dass ich tatsächlich etwas in WSUS konfiguriert habe. Das liegt daran, dass Sie in dem Moment, in dem Sie SCCM zum Bereitstellen von Updates verwenden, die WSUS-Konsole vergessen.
Ich habe Windows Server 2019 zum Installieren und Konfigurieren von WSUS ausgewählt. Nach Server 2012 R2 glaube ich, dass Server 2019 eine stabile Version ist. Ich hasse Windows Server 2016, weil ich viel Zeit mit der Fehlerbehebung bei Windows Update-Problemen verbracht habe., Für mich ist die wichtigste Beschwerde, dass Updates auf Server 2016 einfach nicht richtig installiert werden.
Inhalt
Was sind Windows-Updates
beginnen wir mit einigen Grundlagen. Wenn Sie ein Betriebssystem installieren oder einen Computer abbilden, stellen Sie immer sicher, dass er mit den neuesten Updates gepatcht ist. Nicht nur das Betriebssystem, sondern fast jede Software, die wir verwenden, muss ständig aktualisiert werden.
Windows-updates veröffentlicht werden, um Fehler zu beheben, fix security issues in OS und das hinzufügen von neuen Funktionen des Betriebssystems., Die Windows-Updates basieren auf dem Windows Update-Dienst, der standardmäßig automatisch gestartet wird.
Der Windows Update-Dienst lädt empfohlene und wichtige Updates automatisch herunter und installiert sie.
Microsoft-Updates können in folgende Kategorien eingeteilt werden: –
- Kritische Updates
- Sicherheitsupdates
- Definitionsaktualisierungen
- Treiber
- Update-Rollups
- Service Packs
- Tools
- Feature Packs
- Updates
Wenn Sie von Windows 7 auf Windows 10 migriert sind, werden Sie feststellen, von neuen Optionen unter Windows Update., Sie erhalten einige coole Optionen, z. B. das Anhalten der Updates für 7 Tage und das Ändern der aktiven Stunden für die Installation von Updates. Darüber hinaus gibt es viele nützliche Optionen unter Erweiterte Optionen. Wenn Sie Zeit haben, gehen Sie vor und erkunden Sie alle von ihnen.
Einführung in Windows Server Update Services
Mit Windows Server Update Services (WSUS) können Administratoren die neuesten Microsoft-Produktupdates bereitstellen. WSUS ist eine Windows Server-Serverrolle und wenn Sie sie installieren, können Sie die Updates effizient verwalten und bereitstellen.,
Eine der wichtigsten Aufgaben von Systemadministratoren besteht darin, Client – und Servercomputer mit den neuesten Software-Patches und Sicherheitsupdates auf dem neuesten Stand zu halten. Ohne WSUS wäre es wirklich schwierig, die Bereitstellung von Updates zu verwalten.
Wenn Sie einen einzelnen WSUS-Server in Ihrem Setup haben, werden die Updates direkt von Microsoft Update heruntergeladen. Wenn Sie jedoch mehrere WSUS-Server installieren, können Sie den WSUS-Server so konfigurieren, dass er als Aktualisierungsquelle fungiert, die auch als Upstream-Server bezeichnet wird.,
Anstatt mehrere Computer Updates direkt aus dem Internet herunterladen zu lassen, können Sie WSUS Server einrichten und die Clients darauf verweisen, alle Updates von einem WSUS Server herunterzuladen. Damit sparen Sie Ihre Internetbandbreite und beschleunigen auch den Windows Update-Prozess.
Ich kann viel über WSUS sprechen, aber beginnen wir mit der Installation von WSUS.
WSUS Lab Setup
lassen Sie mich Zunächst die Abdeckung über WSUS-lab setup. Ich glaube, der beste Weg, WSUS zu meistern, besteht darin, sie zuerst in Ihrem Test-oder Labor-Setup zu installieren und zu konfigurieren. Sie können dann anfangen, daran zu arbeiten und verschiedene Dinge auszuprobieren.,
I have created some virtual machines in my lab. Let me give you a list of machines and the OS info.
| Server Name | Operating System | Roles |
| CORPAD.PRAJWAL.LOCAL | Windows Server 2019 Datacenter | Active Directory, DNS, DHCP |
| CORPWSUS.PRAJWAL.,LOCAL | Windows Server 2019 Datacenter | WSUS |
| CORPWIN10ENT.PRAJWAL.LOCAL | Windows 10 Enterprise | None |
| CORPWIN10PRO.PRAJWAL.LOCAL | Windows 10 Pro | None |
And if I had to show my setup in the form of a network diagram, this is how it’s going to look.,
WSUS-Systemanforderungen
Wenn Sie sich entschieden haben, WSUS in Ihrem Setup zu implementieren, müssen Sie sich zuerst mit den WSUS-Anforderungen befassen. Um Ihre WSUS-Bereitstellung zu planen, empfehle ich, diesen Artikel von Microsoft zu lesen. Es deckt alle Informationen ab, die für WSUS-Anforderungen, Bereitstellungsszenarien, Leistungsüberlegungen usw. erforderlich sind.
Dieser Beitrag behandelt das Verfahren zum Installieren von Windows Server Update-Diensten mithilfe der internen Windows-Datenbank (WID).,
WSUS Firewall Ports / Exceptions
Wenn Sie WSUS Server einrichten, ist es wichtig, dass der Server eine Verbindung zu Microsoft Update herstellt, um Updates herunterzuladen. Wenn es eine Unternehmensfirewall zwischen WSUS und dem Internet gibt, müssen Sie diese möglicherweise konfigurieren, um sicherzustellen, dass WSUS Updates erhalten können.
Um Updates von Microsoft Update zu erhalten, verwendet der WSUS-Server Port 443 für das HTTPS-Protokoll., Sie müssen den Internetzugang von WSUS auf die folgende Liste von URLs zulassen:-
WSUS-Rolle auf Windows Server 2019 installieren
Die Schritte zum Installieren der Windows Server Update Services (WSUS) – Rolle auf Windows Server 2019 umfassen: –
- Melden Sie sich beim Windows 2019-Server an, auf dem Sie die WSUS-Serverrolle mithilfe eines Kontos installieren möchten, das Mitglied der Gruppe Lokale Administratoren ist.
- Klicken Sie im Server Manager auf Verwalten und dann auf Rollen und Funktionen hinzufügen.
- Klicken Sie auf der Seite Vor dem Start auf Weiter.,
- Wählen Sie auf der Seite Installationstyp auswählen die Option Rollenbasierte oder funktionsbasierte Installation. aufWeiter.
Auf dem Server-Auswahl Seite, überprüfen Sie den Servernamen, und klicken Sie auf Weiter.,
Serverrollen – Windows Server Update Services
Wählen Sie auf der Seite Serverrollen die Rolle“Windows Server Update Services“ aus. Sie sollten Funktionen hinzufügen sehen, die für Windows Server Update Services Box erforderlich sind. Klicken Sie auf Funktionen hinzufügen und dann auf Weiter.,
Lassen Sie auf der Seite Features auswählen die Optionen standardmäßig und klicken Sie auf Weiter.
Auf der Seite Windows Server Update Services, klicken Sie auf Weiter.
WSUS – Datenbanktyp-Rollendienste
Sie müssen Rollendienste / Datenbanktyp auswählen, um Windows Server Update Services zu installieren. Wählen Sie WID Connectivity und WSUS Services aus. aufWeiter.,
WSUS Content Lage
Geben Sie ein content-Ordner zum speichern der updates. Ich würde empfehlen, die Updates auf einem anderen Laufwerk und nicht auf Ihrem C: Laufwerk zu speichern. Die Größe dieses Ordners kann irgendwann zunehmen und Sie möchten nicht, dass sich dieser Ordner auf dem Laufwerk C: befindet. Wählen Sie daher entweder ein separates Laufwerk oder speichern Sie die Updates auf dem Remote-Server.
Klicken Sie auf Weiter.,
Auf die Webserver-Rolle (IIS) – Seite, klicken Sie auf Weiter.
Die Rollendienste zur Installation des Webservers (IIS) werden automatisch ausgewählt. Ändern Sie hier nichts und klicken Sie auf Weiter.
Eine endgültige Bestätigung, bevor Sie WSUS installieren. Überprüfen Sie die Einstellungen und klicken Sie auf Installieren.
Sobald die WSUS-Installation abgeschlossen ist, klicken Sie auf Aufgaben nach der Installation starten.,
Warten Sie, bis die Nachrichtenkonfiguration erfolgreich abgeschlossen wurde. Klicken Sie Auf Schließen.
Konfigurieren Sie Windows Server Update Services (WSUS)
Nachdem Sie WSUS installiert haben, können Sie den WSUS-Server mit dem WSUS Server configuration Wizard konfigurieren., Dies ist eine einmalige Konfiguration, in der Sie einige wichtige WSUS-Optionen konfigurieren.
Wenn Sie keinen WSUS-Serverkonfigurationsassistenten sehen oder ihn versehentlich übersprungen haben, machen Sie sich keine Sorgen. Sie können es starten, indem Sie die WSUS-Konsole öffnen > Options > WSUS Server Configuration wizard.
Hinweis-Bevor Sie mit der Konfiguration von WSUS beginnen, einige wichtige Punkte.
- Stellen Sie sicher, dass die Server-Firewall den Clients den Zugriff auf den WSUS-Server ermöglicht. Wenn die Clients Probleme beim Herstellen einer Verbindung zum WSUS-Server haben, werden Updates nicht vom Server heruntergeladen.,
- Die WSUS lädt die Updates vom Upstream-Server herunter, der in unserem Fall Microsoft Update ist. Stellen Sie also sicher, dass die Firewall es dem WSUS-Server ermöglicht, eine Verbindung zu Microsoft Update herzustellen.
- Falls sich in Ihrem Setup ein Proxyserver befindet, müssen Sie bei der Konfiguration von WSUS die Anmeldeinformationen für den Proxyserver eingeben. Haben Sie sie praktisch, wie sie benötigt werden.
Klicken Sie auf der Seite Vor dem Start auf Weiter.
Klicken Sie auf Weiter.,
Wählen Sie den WSUS Upstream-Server
Dies ist ein wichtiger Abschnitt, in dem Sie den upstream-server. Sie erhalten zwei Optionen.
- Synchronisieren von Microsoft Update-Wenn Sie diese Option auswählen, werden die Updates von Microsoft Update heruntergeladen.
- Synchronisieren von einem anderen Windows Server Update Services Server-Wählen Sie diese Option, wenn dieser WSUS-Server Updates von bereits vorhandenen WSUS-Servern herunterladen soll. Sie müssen standardmäßig den Servernamen und die Portnummer (8530) angeben., Wenn Sie die Option zur Verwendung von SSL während der Synchronisierung von Updates auswählen, stellen Sie sicher, dass der Upstream-WSUS-Server auch für die Unterstützung von SSL konfiguriert ist.
Da dies mein einziger WSUS-Server sein wird, wähle ich Synchronize from Microsoft Update. aufWeiter.
Proxy-Server
Geben Sie Proxy-Server-Informationen an, wenn Sie einen haben. Wenn diese Option ausgewählt ist, stellen Sie sicher, dass Sie den Namen und die Portnummer des Proxyservers angeben., Geben Sie außerdem die Anmeldeinformationen für die Verbindung zum Proxyserver an. Wenn Sie die Basisauthentifizierung für den Benutzer aktivieren möchten, der eine Verbindung zum Proxyserver herstellt, klicken Sie auf Basisauthentifizierung zulassen (Kennwort im Klartext).
Klicken Sie auf Weiter.
Klicken Sie auf der Seite Mit Upstream-Server verbinden auf die Schaltfläche Verbindung starten.
Klicken Sie nach Abschluss auf Weiter.,
Wählen Sie Sprachen für Updates
Auf der Seite Sprachen auswählen haben Sie die Möglichkeit, die Sprachen aus Updates auszuwählen. Wenn Sie Updates in allen Sprachen herunterladen möchten, finden Sie Updates mit allen Sprachen in der WSUS-Konsole.
Wenn Sie jedoch Updates nur für bestimmte Sprachen erhalten möchten, wählen Sie Updates nur in diesen Sprachen herunterladen. Wählen Sie die Sprachen aus, für die Sie Updates wünschen.
Klicken Sie auf Weiter.,
Choose Products
Dies ist die Seite, auf der Sie die Produkte auswählen, für die Sie die Updates wünschen. Ein Produkt ist eine bestimmte Edition eines Betriebssystems oder einer Anwendung.
Aus der Produktliste können Sie einzelne Produkte oder Produktfamilien auswählen, für die Ihr Server Updates synchronisieren soll. In diesem Fall wähle ich Windows Server 2019 und Windows 10 1903 als Produkte aus.
Klicken Sie auf Weiter.,
Wählen Sie Update Classifications
Am Anfang des Beitrags habe ich die Arten von Updates aufgelistet. Wählen Sie auf der Seite Klassifikationen auswählen die gewünschten Klassifikationen aus. Ich habe kritische Updates, Sicherheitsupdates und Update-Rollups ausgewählt.
Klicken Sie auf Weiter.,
Konfigurieren Sie WSUS Synchronization Schedule
Sie müssen entscheiden, wie Sie WSUS sync durchführen möchten. Auf der Seite Synchronisierungsplan festlegen können Sie auswählen, ob die Synchronisierung manuell oder automatisch durchgeführt werden soll.
Wenn Sie Manuell synchronisieren auswählen, müssen Sie den Synchronisationsprozess manuell über die WSUS-Verwaltungskonsole starten. Wenn diese Option ausgewählt ist, müssen Sie die Synchronisierung jedes Mal manuell durchführen., Wählen Sie diese Option daher nicht aus, wenn Sie die WSUS in der Produktion einrichten.
Wenn Sie Automatisch synchronisieren wählen, wird der WSUS-Server in festgelegten Intervallen synchronisiert. Sie können den Zeitpunkt der ersten Synchronisation einstellen. Stellen Sie dann die Anzahl der Synchronisationen pro Tag ein. Aus der Dropdown-Liste können Sie den Wert zwischen 1-24 wählen.
Klicken Sie auf Weiter.
Klicken Sie auf starten im ersten Synchronisierung. aufWeiter.,
Schließlich auf der letzten seite, klicken Finish. Damit sind die Schritte zum Konfigurieren von WSUS abgeschlossen.
Gruppenrichtlinieneinstellungen für WSUS konfigurieren
Nach der Installation und Konfiguration von WSUS besteht die nächste wichtige Aufgabe darin, Gruppenrichtlinieneinstellungen für automatische Updates zu konfigurieren. Die neuen Clients wissen immer noch nichts über den neuen WSUS-Server, den Sie gerade eingerichtet haben., Mithilfe der Gruppenrichtlinie können Sie Ihre Clientcomputer auf einen neuen WSUS-Server verweisen.
In einer Active Directory-Umgebung können Sie Gruppenrichtlinien für den WSUS-Server verwenden. Die Gruppenrichtlinieneinstellungen werden verwendet, um automatische Updates von Windows Server Update Services (WSUS) zu erhalten.
Sie können die Gruppenrichtlinie erstellen und auf Domänenebene anwenden. Oder Sie können das GPO erstellen und auf eine bestimmte OU anwenden (die Ihre Computer enthält).
Obwohl es viele Windows Update-Richtlinieneinstellungen gibt, werde ich einige davon konfigurieren., Eine Liste aller Windows Update-Richtlinieneinstellungen finden Sie in diesem Artikel von Microsoft.
Konfigurieren von automatischen Updates WSUS
Konfigurieren von Gruppenrichtlinieneinstellungen für automatische Updates für WSUS
- Öffnen Sie die Gruppenrichtlinienverwaltungskonsole und öffnen Sie ein vorhandenes GPO oder erstellen Sie ein neues.
- Navigieren Sie zur Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Windows Update.
- Doppelklicken Sie auf Automatische Updates konfigurieren und setzen Sie es auf Aktiviert.,
Wählen Sie unter Automatische Aktualisierung konfigurieren die gewünschte Option aus. Wählen Sie unter Schedule install day den Tag aus, an dem die Updates installiert werden sollen. Legen Sie die geplante Installationszeit fest.
Falls Sie den automatischen Download auswählen und die Installation der Updates planen, erhalten Sie einige Optionen, um die Aktualisierungsfrequenz zu begrenzen. Wenn Sie die Einstellungen konfiguriert haben, klicken Sie auf Übernehmen und OK.,
Geben Sie Intranet Microsoft Update Service Location
Die nächste Einstellung, die Sie konfigurieren sollten, ist geben Sie intranet Microsoft update service location. Die Idee dahinter ist, sicherzustellen, dass die Clientcomputer den angegebenen Intranetserver kontaktieren, anstatt Updates aus dem Internet herunterzuladen. Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wissen die Clientcomputer nichts über den Intranetserver.
um die Richtlinie Zu aktivieren, klicken Sie auf Aktiviert., Geben Sie den Intranet Update Service und den Intranet Statistics Server an. Klicken Sie auf Übernehmen und OK.
Überprüfen Sie auf dem Clientcomputer den resultierenden Richtliniensatz, um zu bestätigen, ob der WSUS GPO angewendet wird.
Sie können den Speicherort des Intranet-Aktualisierungsdienstes auf Clientcomputern auch mithilfe der Registrierung überprüfen. Öffnen Sie auf dem Clientcomputer den Registrierungseditor und gehen Sie zu HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate.,
Überprüfen Sie die Werte von WUServer und WUStatusServer und überprüfen Sie, ob die Werte mit denen übereinstimmen, die Sie in WSUS GPO angegeben haben.
Konfigurieren WSUS computer gruppen
Durch erstellen computer gruppen sie können erste test und ziel updates zu bestimmten computern. Wenn Sie die WSUS-Konsole öffnen, finden Sie zwei Standardcomputergruppen – Alle Computer und nicht zugewiesene Computer.,
Sie können benutzerdefinierte Computergruppen erstellen, um Updates in Ihrer Organisation zu verwalten. Gemäß Microsoft müssen Sie mindestens eine Computergruppe in der WSUS-Konsole erstellen. Testen Sie Updates, bevor Sie sie auf anderen Computern in Ihrer Organisation bereitstellen.
Um eine neue Computergruppe in der WSUS-Konsole zu erstellen
Erweitern Sie in der WSUS-Verwaltungskonsole unter Update Services den WSUS-Server. Erweitern Sie Computer, klicken Sie mit der rechten Maustaste auf Alle Computer und dann auf Computergruppe hinzufügen.
Geben Sie im Dialogfeld Computergruppe hinzufügen den Namen der neuen Gruppe an und klicken Sie dann auf Hinzufügen.,
Klicken Sie auf Alle Computer und Sie sollten die Liste der Computer sehen. Wählen Sie die Computer aus, klicken Sie mit der rechten Maustaste und klicken Sie auf Mitgliedschaft ändern.
Wählen Sie im Feld Computergruppenmitgliedschaft festlegen die neue Gruppe aus, die Sie gerade erstellt haben. OK.,
Klicken Sie auf die neue Gruppe und Sie sollten diese Computer finden.
Updates in WSUS genehmigen und bereitstellen
Sobald Sie eine Testcomputergruppe erstellt haben, Ihre nächste Aufgabe, um die Updates für die Testgruppe bereitzustellen. Dazu müssen Sie zuerst WSUS-Updates genehmigen und bereitstellen.
Um die Updates in WSUS zu genehmigen
- Starten Sie die WSUS-Verwaltungskonsole, klicken Sie auf Updates > Alle Updates.,
- Wählen Sie im Abschnitt Alle Updates die Updates aus, die Sie für die Installation in Ihrer Testcomputergruppe genehmigen möchten.
- Klicken Sie mit der rechten Maustaste auf die Updates und dann auf Genehmigen.
Wählen Sie vor allem im Dialogfeld Updates genehmigen Ihre Testgruppe aus und klicken Sie dann auf Pfeil nach unten. Klicken Sie auf Genehmigt für Installieren. Sie können auch eine Frist festlegen, um die Updates zu installieren. OK.
Das Fenster Genehmigungsfortschritt wird angezeigt, in dem der Fortschritt der Aufgaben angezeigt wird, die sich auf die Aktualisierungsgenehmigung auswirken., Wenn der Genehmigungsprozess abgeschlossen ist, klicken Sie auf Schließen.
Konfigurieren Sie automatische Genehmigungsregeln in WSUS
Wenn Sie die Updates nicht manuell genehmigen möchten, können Sie die automatische Genehmigungsregel in Windows Server Update Services konfigurieren.
Um automatische Genehmigungen in WSUS zu konfigurieren
- Starten Sie die WSUS-Verwaltungskonsole, erweitern Sie den WSUS-Server und klicken Sie dann auf Optionen.
- Klicken Sie in den Optionen auf Automatische Genehmigungen.
- Sie sollten die standardmäßige automatische Genehmigungsregel finden und wenn Sie möchten, können Sie sie bearbeiten und verwenden.,
- Um eine neue Genehmigungsregel zu erstellen, klicken Sie auf Neue Regel.
Aktivieren Sie das Kontrollkästchen, wenn sich ein Update in einer bestimmten Klassifizierung befindet. Wählen Sie die Klassifikationen aus. Sie können das Update auch für Computergruppen genehmigen. Ich werde Windows 10 auswählen, da dies meine Testcomputergruppe ist. Schließlich können Sie eine Frist für die Update-Genehmigung festlegen und den Namen der Regel für die automatische Genehmigung angeben.
Nachdem Sie die Regel konfiguriert haben, klicken Sie auf OK.
Im Fenster Automatische Genehmigungen finden Sie die Regel, die Sie gerade erstellt haben., Wenn Sie diese Regel ausführen möchten, klicken Sie auf Regel ausführen.
WSUS-Berichte
Der letzte Abschnitt, den ich behandeln möchte, sind die WSUS-Berichte. Wenn Sie in der WSUS-Konsole auf Berichte klicken, wird die Liste der Berichte angezeigt. WSUS enthält mehrere Berichte, mit denen Sie den Bereitstellungsstatus für Updates, Synchronisierungsberichte und Computerberichte finden können.
- Aktualisierungsberichte-Enthält eine Zusammenfassung des Aktualisierungsstatus, einen detaillierten und tabellarischen Status sowie einen tabellarischen Status für genehmigte Updates.,
- Computerberichte-Zusammenfassung des Computerstatus, detaillierter Status, tabellarischer Status und computertabellarischer Status für genehmigte Updates.
- Synchronisationsberichte-Zeigt die Ergebnisse der letzten Synchronisierung an.