WSUS - SUS Client Installation

[Verwijderd]

Ik ben voor mijn stage afstudeeropdracht een Server aan het inrichten. Ik maak gebruik van Windows 2003 Enterprise, hier draait verder een domein op, dhcp, dns, ISA, IIS. De server functioneerd naar behoren, maar nu wil ik verder gaan uitbreiden met WSUS of SUS.

Het verkeer van de technische dienst loopt ook via deze server. Reparaties en pc's die opnieuw geïnstalleerd worden, maken hier dus ook gebruik van. Een collega kwam met een idee om een update server te installeren. Zodat we met hoge snelheid de reparaties en nieuwe computers kunnen updaten.

Ik ben begonnen met WSUS, simpel weg omdat dit de nieuwste versie is. De software is standaard geïnstalleerd en hier ondervind ik dan ook geen problemen mee. Met behulp van de Administrative Page, kan je de server configureren. Nu moeten er bij de client computers policies ingesteld worden, die naar de update server verwijzen. Dit is echter niet zo handig, waarom heeft microsoft geen soort identieke pagina gemaakt voor op de update server? Plus het feit dat je updates niet aller minuut geïnstalleerd worden, maakt het extra onhandig.

Ik heb nu exact hetzelfde met SUS geprobeerd, maar exact hetzelfde verhaal als bij WSUS.

Zie ik iets over het hoofd? Is er een andere manier om contact te leggen met mijn geïnstalleerde update server? Of is het simpel niet praktisch (onmogelijk) voor mijn doeleinde? Het installeren vanaf de microsoft site schiet niet zo erg op als je erg veel computers moet updaten...

Het gaat hier om XP en 2000 Clients. Het probleem zit um niet in de policies, of je nou de local policies pakt of die van de active directory maakt geen verschil. En ik wil juist die pc's niet inkoppelen op domein. Anders gaat het geintje bijna weer even veel tijd kosten als het updaten bij microsoft.com

[ Voor 28% gewijzigd door Verwijderd op 20-05-2005 15:36 ]

[Verwijderd]

Probeer het eens met een Active Directory Group Policy. (Staat ook in de docs van SUS)
En wat voor clients zijn het?

[sanfranjake]

Je zou met een paar registerkeys de locaties ook op een standalone toe moeten kunnen passen. Je kan ook ergens instellen wanneer updates gedownload kunnen worden. Lijkt me zoiezo handig om als je veel pc's moet installeren alles gewoon te slipstreamen in je installatieimage. Kijk in [rml][ Howto] Windows XP Sp2 slipstreamen[/rml] en [rml][ XP] Unattended Install CD Deel 3 (was: OEM CD)[/rml] voor meer informatie hierover

[wizzzzzz]

Juist, dit is wat we bij ons op de zaak ook willen doen.

Wij bouwen pc's zetten er Windows XP Pro of Home op, hangen hem in ons netwerk en doen dan alle windows updates en leveren hem af bij de klant. We doen ook vaak herinstallaties en alle updates die daarna nodig zijn. Omdat we veel verschillende hardware gebruiken en/of tegenkomen hebben we geen RIS server of images of iets dergelijks. Omdat windowsupdate de laatste tijd enorm traag is (vooral de non security updates) hebben we ook het idee opgevat om SUS te installeren op onze eigen server en om dus het gehele updaten een stuk sneller te maken.

Nu is dus de vraag hoe krijg ik die pc zover dat hij de updates van onze server trekt. De pc wordt wel in ons netwerk gehangen maar geen lid van het domein gemaakt (SBS 2000).

Het is dus ook niet wenselijk om allerlei vreemde trucs en/of registry settings te moeten wijzigen om dit mogelijk te maken. De pc wordt tenslotte hierna bij de klant afgeleverd en daar moet de normale windowsupdate weer werken.

Ik ben vanmiddag pas begonnen om SUS op onze server te zetten en te syncen met de windowsupdateserver (in een tempo van "dat duurt nog wel een paar dagen"). Ik me dus nog niet echt verdiept in het clientgebeuren.

Heeft er iemand ervaring met zo'n opzet en een eventuele tip.

[ Voor 4% gewijzigd door wizzzzzz op 20-05-2005 22:36 ]

[sanfranjake]

Het is en blijft een tool die optimaal werkt met domein-gpo's. Je zou wellicht je registerkeys in een .reg-bestandje bij elkaar kunnen zetten, en dan een undo.reg kunnen maken die de oorspronkelijke keys weer terugzet

Anders misschien gewoon je XP Home/Pro images zodra er patches zijn updaten? Of update je ze pas als ze de deur uit gaan?

[McMiGHtY]

Je bent sneller klaar als je je ISA windowsupdate laat cachen. SUS en WSUS werken het fijnst in een AD

[leon1e]

Inderdaad with ^, evt. kun je ook de updates klaar zetten op een share en deze unantended laten installeren met een mooi script. Wsus is gemaakt voor domein omgevingen, daar ga je niet met elke client handmatig naar windowsupdate.local.

[alt-92]

Speciale aanbieding:


Stel server + tijd in
wau.reg

code:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://jouwserver"
"WUStatusServer"="http://jouwserver"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"AUOptions"=dword:00000004
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"NoAutoUpdate"=dword:00000000
"RescheduleWaitTime"=dword:00000005
"ScheduledInstallDay"=dword:00000004
"ScheduledInstallTime"=dword:00000012
"UseWUServer"=dword:00000001

Reset de timer zodat binnen 10 minuten updates gehaald worden
wureset.reg

code:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update]
"AUState"=dword:00000002
"AUOptions"=dword:00000002
"LastWaitTimeout"=""

Om het makkelijker te maken:
Stop winUpdate service op PC, import beide registry keys en start service weer (met nieuwe settings)

wau-install.cmd

code:

net stop wuauserv
:
:
regedit /s wau.reg
:
:
regedit /s wureset.reg
:
:
net start wuauserv

en om de boel weer terug te draaien in zn oorspronkelijke staat:
wau-remove.cmd

code:

net stop wuauserv
:
:
regedit /s wauremove.reg
:
:
net start wuauserv

wauremove.reg:

code:

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://jouwserver"
"WUStatusServer"="http://jouwserver"
[-HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"AUOptions"=dword:00000004
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"NoAutoUpdate"=dword:00000000
"RescheduleWaitTime"=dword:00000005
"ScheduledInstallDay"=dword:00000004
"ScheduledInstallTime"=dword:00000012
"UseWUServer"=dword:00000001

Speel wat met waarden (autoreboot kan bijvoorbeeld ook gewoon op 0 (aan).

[ Voor 18% gewijzigd door alt-92 op 21-05-2005 10:30 ]

[smvs]

Ik ben wel benieuwd in hoeverre je ISA server windows updates kunt laten cachen. (of Squid voor Windows, hoewel je deze niet transparant kan laten draaien http://www.acmeconsulting...source/download/squid.htm)

[wizzzzzz]

Het cachen lukt redelijk goed, maar als je tussentijds een paar dingen download dan is de cache weer met andere zaken gevuld en niet met de updates.
Tevens waren er updates bij die elke keer weer apart werden gedownload.
We verkopen ook redelijk veel laptops die we op de zaak afinstalleren. Elke paar weken zijn er weer nieuwe modelllen met andere hardware. Om op deze manier met images te werken en die elke maand weer bij te werken (met XP Pro, XP Home, W2K) dat is niet te doen. vooral niet in onze kleine organisatie.

Synchronisatie was net klaar zag ik. Vreemd dat al had ik ingesteld om alleen Engelse en Nederlandse updates te syncen ik werkelijk alle talen voorbij zie komen bij de gesyncte updates.

[ Voor 16% gewijzigd door wizzzzzz op 21-05-2005 11:40 ]

[smvs]

Ik ken het probleem, heb er ook mee te maken gehad. Het zijn dingen die je het liefst zou automatiseren, maar die gewoon te vaak afwijken om er een standaardoplossing voor te maken. Zelfde verhaal met een unattended CD, tegenwoordig komen er zoveel nieuwe drivers en updates uit dat het geen doen is om die CD up to date te houden.

De beste oplossing voor dit soort dingen is een stagiair, hoe cynisch dat ook mag klinken.

[alt-92]

Ik ken het probleem, vandaar dat we iig de security updates gewoon via SUS draaien, met behulp van die regfiles.
Afzonderlijke non-security updates worden per geval beoordeeld.

Wij hebben het gebruik van bovengenoemde batchfiles via USB stick dan ook in de procedure + oplever protocollen opgenomen om er zeker van te zijn dat ook het removen van de regs inderdaad gebeurt en de klant niet voor onaangename verrassingen staat

Ooit wel eens overwogen om met een "managed PC onderhoudsplan" te komen en dan een publiek gehoste SUS server te gebruiken voor klanten, maar toch maar vanaf gezien

Synchronisatie was net klaar zag ik. Vreemd dat al had ik ingesteld om alleen Engelse en Nederlandse updates te syncen ik werkelijk alle talen voorbij zie komen bij de gesyncte updates.

die andere talen is alleen voor rare dingen als Sharepoint services, .NET framework en dergelijke.
Je normale security updates heb je dan alleen in 2000/XP/2003 NL en EN, verdeeld over *zucht* IE501sp1 t/m IE6sp2 voor elke SP variant.....

[ Voor 28% gewijzigd door alt-92 op 21-05-2005 11:45 ]

[wizzzzzz]

BackSlash32 schreef op zaterdag 21 mei 2005 @ 10:30:
Speciale aanbieding:

EEN LAP TEKST

Speel wat met waarden (autoreboot kan bijvoorbeeld ook gewoon op 0 (aan).

Dank u .

Zal volgende week eens wat gaan spelen met deze scriptjes en onze SUS server.
Ben erg benieuwd of dit een werkbare situatie kan gaan worden.

Jammer dat je in je browser niet het adres van je server kan intypen en een lokale windowsupdate site kan krijgen met de beschikbare updates, makkelijker zou niet kunnen.

[alt-92]

wizzzzzz schreef op zaterdag 21 mei 2005 @ 11:53:
Dank u .

Geen probleem

Jammer dat je in je browser niet het adres van je server kan intypen en een lokale windowsupdate site kan krijgen met de beschikbare updates, makkelijker zou niet kunnen.

Dat moet je ook helemaal niet willen imho.
SUS doet je security updates volledig automatisch, net als je Automatic WindowsUpdate.
Waarom zou je dan nóg een Point of Failure (user error) willen introduceren?

[wizzzzzz]

BackSlash32 schreef op zaterdag 21 mei 2005 @ 11:55:

Dat moet je ook helemaal niet willen imho.
SUS doet je security updates volledig automatisch, net als je Automatic WindowsUpdate.
Waarom zou je dan nog een Point of Failure (user error) willen introduceren?

Omdat wij dus na de installatie van pc's via windowsupdate de betreffende updates selecteren en laten lopen. Zodra er niets meer te selecteren valt is de pc wat updates betreft klaar. Dit doen we in principe nooit via automatic windowsupdate maar altijd via de site.
Dus niet alleen security updates maar ook de additionele (framework, Journal Viewer et.c etc.)

Als je dit vanaf je eigen server kon doen is het natuurlijk vele malen sneller

[ Voor 8% gewijzigd door wizzzzzz op 21-05-2005 12:16 ]

[leon1e]

wizzzzzz schreef op zaterdag 21 mei 2005 @ 11:36:
Het cachen lukt redelijk goed, maar als je tussentijds een paar dingen download dan is de cache weer met andere zaken gevuld en niet met de updates.

Dan moet je de cache_size verhogen zodat je cache niet meteen overschreven wordt, en niet vergeten om de max_size van cached bestanden hoog genoeg te zetten een sp wil je immers ook in je cache hebben.

wizzzzzz schreef op zaterdag 21 mei 2005 @ 12:00:Omdat wij dus na de installatie van pc's via windowsupdate de betreffende updates selecteren en laten lopen. Zodra er niets meer te selecteren valt is de pc wat updates betreft klaar. Dit doen we in principe nooit via automatic windowsupdate maar altijd via de site.
Dus niet alleen security updates maar ook de additionele (framework, Journal Viewer et.c etc.)

Als je dit vanaf je eigen server kon doen is het natuurlijk vele malen sneller

Niet vergeten dat sommige updates simpel weg niet in sus staan (extra). Met een proxy komt het vanaf je eigen server.

[ Voor 43% gewijzigd door leon1e op 21-05-2005 13:08 ]

[wizzzzzz]

Ik kan m'n cachesize natuurlijk wel vergroten maar die is natuurlijk niet onbeperkt "houdbaar".
Tevens wil ik niet dat we alle sites uit cache krijgen te zien vooral omdat bijna alles online wordt besteld.
Tevens heb ik al een keer met die cache moeten spelen omdat beurspagina's niet refreshten en ook updates aan onze website (gehost bij provider) niet te zien waren omdat de site steeds uit cache werd getoond.

[leon1e]

wizzzzzz schreef op zaterdag 21 mei 2005 @ 13:17:
Ik kan m'n cachesize natuurlijk wel vergroten maar die is natuurlijk niet onbeperkt "houdbaar".
Tevens wil ik niet dat we alle sites uit cache krijgen te zien vooral omdat bijna alles online wordt besteld.
Tevens heb ik al een keer met die cache moeten spelen omdat beurspagina's niet refreshten en ook updates aan onze website (gehost bij provider) niet te zien waren omdat de site steeds uit cache werd getoond.

Dan cache je toch alleen maar voor windowsupdate op de max, en als je de proxy juist inricht kijkt hij ook of er een nieuwere revisie van de pagina / het bestand is.

[wizzzzzz]

Kan ik voor active caching van windows update gebruik maken van de url http://windowsupdate.microsoft.com of moet ik bv http://v5.windowsupdate.m...nsumer/default.aspx?ln=nl gebruiken.

[alt-92]

wizzzzzz schreef op zaterdag 21 mei 2005 @ 12:00:
Omdat wij dus na de installatie van pc's via windowsupdate de betreffende updates selecteren en laten lopen.

En als je de regkeys tijdens de installatie invoert worden iig je security updates gelijk geinstalleerd.
Dan kan je daarna de additional updates installeren.

Zodra er niets meer te selecteren valt is de pc wat updates betreft klaar. Dit doen we in principe nooit via automatic windowsupdate maar altijd via de site.
Dus niet alleen security updates maar ook de additionele (framework, Journal Viewer et.c etc.)

Jij bepaalt eerlijk gezegd niet voor mij dat ik Journal Viewer nodig hebt of Framework in die-en-die versie...
maar goed. Dat is een keuze die jullie blijkbaar maken voor jullie klanten.

[wizzzzzz]

BackSlash32 schreef op zaterdag 21 mei 2005 @ 14:01:

Jij bepaalt eerlijk gezegd niet voor mij dat ik Journal Viewer nodig hebt of Framework in die-en-die versie...
maar goed. Dat is een keuze die jullie blijkbaar maken voor jullie klanten.

Oke, maar jij hebt dan ook verstand van zaken. Jij kan waarschijnlijk wat voor pc dan ook installeren met wat dan al ook. Dus jij kan ook bepalen wat jij nodig hebt.

De meeste particulieren bij ons hebben het nog steeds over ASDL (!) en welk modem ze dan moeten nemen en waarom er geen Word in Windows zit. Zij hebben nog nooit van Framework of Journal Viewer gehoord maar willen wel een pc die alles kan en waar alles opstaat. Dus installeren we ook een complete XP met alle updates en aanverwante toeters en bellen. (we raken wat off topic )

edit

Heb vanmiddag eens een tijdlang met WSUS 2 (RC) gestoeid maar de functionaliteit die ik hoopte te krijgen zit hier ook niet in. Het kan updates pushen maar biedt geen mogelijkheid om die te downloaden via een intranet site. Helaas....

[ Voor 15% gewijzigd door wizzzzzz op 21-05-2005 19:49 ]