[WSUS] Ervaringen, tips en informatie

[supershadow]

ik heb het zelfde probleem alleen heb ik nu die Managment Pack geinstallerd maar kan hem nu niet meer terug vinden waar zou die moeten staan ?

[Workaholic]

*Schopje*

Ik heb vandaag een WSUS server in een testomgeving ingericht met de bedoeling dat ik deze voor het productie netwerk wil gaan gebruiken.

Een kort en vrij simpel vraagje. Ik heb momenteel niet de tijd om telkens updates handmatig te gaan approven en te beheren.

Ik ben momenteel eigenlijk alleen geinstresseerd in de rapportage functies en optimalisaties van wsus.

Kan iemand mij vertelen of het domweg mogelijk is om clients zelf nog de mogelijkheid te geven om updates te approven of te accepten ?

En hierbij dus met behulp van de OU settings in het domein & client targeting toch netjes rapportages krijgen van welke updates de clients wel en niet hebben etc.

Kort door de bocht, kan ik mijn wsus clients toch zelf de controle geven over hun updates (welke ze willen, welke niet etc) en daarbij toch rapportages krijgen en indien nodig verplichte pushes uitsturen.

[alt-92]

Audi-Addict schreef op vrijdag 23 mei 2008 @ 15:30:
Kan iemand mij vertelen of het domweg mogelijk is om clients zelf nog de mogelijkheid te geven om updates te approven of te accepten ?

En hierbij dus met behulp van de OU settings in het domein & client targeting toch netjes rapportages krijgen van welke updates de clients wel en niet hebben etc.

Ja, dat kan door je GPO's in te stellen dat je updates niet automatisch laat installeren.

[Aikon]

Sinds een tijdje heb ik ook een WSUS server opgezet in een testomgeving.

Nu heb ik de XP SP3 op approved gezet en als ik zoek bij 'all updates' op 'unapproved' en 'any' dan vind ik niks. Ga ik nu zelf naar de XP SP3 dan staat approval op 'install' en krijg ik de melding 'there is a newer revision of this update available' namelijk 105 ipv 104. Rechtermuisknop erop en 'approve' geeft een schermpje waarin de update voor 'all computers' op 'not approved' staat...

Hoezo krijg ik hier geen melding van, als ik niet toevallig zelf op die update had geklikt was ik hier nooit achter gekomen? Hij staat niet tussen 'updates needed by computers' of waar dan ook. Of mis ik nu iets?


Nog iets wat me opviel vandaag: de volgende critical update, die enkel 5 woorden aan het woordenboek toevoegt?

[DDX]

Aikon schreef op donderdag 10 juli 2008 @ 09:00:
Nog iets wat me opviel vandaag: de volgende critical update, die enkel 5 woorden aan het woordenboek toevoegt?

en bijna 60mb groot is

[Aikon]

Heeft iemand een idee over SP3?

[alt-92]

DDX schreef op donderdag 10 juli 2008 @ 10:39:
en bijna 60mb groot is

Ach, als je twee Lexicon files van ieder 13MB wil aanpassen schiet het aardig op ja

[DDX]

iemand al ervaring met het uitrollen van vista sp1 via wsus ?
ik zie dat vista sp1 inmiddels op wsus staat (nog niet goedgekeurd)

probleem is alleen beetje dat laptop gebruikers straks kiezen: install updates & shutdown
en daarna vrolijk uur mogen wachten tot laptop echt uit gaat....

[alt-92]

SP's voor OS laat ik liever niet over aan de enduser eerlijk gezegd..
Dan zou ik liever kiezen voor een frisse build waar SP1 dan al inzit

[Aikon]

Wellicht tijdelijk via GPO de optie 'install & shutdown' uitschakelen totdat iedereen SP1 heeft. Ik weet niet hoeveel laptops het om gaan natuurlijk.

[alt-92]

Nou ja, wellicht is het iets waar we in Thematopic: Security updates ook nog wel een boompje over kunnen inzetten

Ik zou in ieder geval in een beetje grote omgeving (zeg meer dan 20 buitendienst laptops en plm. 100 clients) echt gaan overwegen om een major update als een SP3 voor XP of SP1 voor Vista alleen te doen op het moment dat je ook een complete nieuwe Image bij gaat werken.

Daarmee voorkom je namelijk voor jezelf dat je met allerlei rare bijverschijnselen wordt opgescheept die je kan krijgen als je SP's automagisch laat installeren.

Als je dan een nieuwe desktop Build uit kan rollen (en ook dat kan gefaseerd), waarom niet?

[megamuch]

Ik heb hier op de office omgeving xp sp3 wel via wsus gedaan, maar dan elke gebruiker zelf een schikt moment laten uitkiezen. Alle updates worden door de mensen zelf geinstalleerd. Als ik na 3 weken nog zie dat bepaalde mensen niet updaten, spreek ik ze erop aan.

Als je omgeving redelijk up 2 date is, is xp sp3 niet echt een probleem gebleken - in onze omgeving-.

Then again, ik heb slechts 25 clients/laptops

[Dennis]

Ik heb hier een Pentium III 733MHz met daarop Windows Server 2003. Hierop heb ik ook WSUS geïnstalleerd. Ik heb hem geïnstalleerd met een eigen SQL database. Op de server draait ook SQL 2000, maar WSUS moet 2005 hebben, dus vandaar.

Het probleem dat ik heb is dat de WSUS service om één of andere reden heel veel CPU gebruikt. Hij moet maar één keer per dag synchroniseren... wat doet dat ding de hele tijd? Vervelend genoeg is de interne SQL database voor WSUS ook 80% bezet waardoor de pc nagenoeg onbruikbaar wordt.

Wat doet dat ding en hoe kan ik zorgen dat dit een stuk minder wordt??

[alt-92]

Een 733 (en dan waarschijnlijk met minder dan 1GB) is toch wat aan de krappe kant - hoeveel clients hangen eraan?

[Dennis]

alt-92 schreef op zaterdag 02 augustus 2008 @ 17:36:
Een 733 (en dan waarschijnlijk met minder dan 1GB) is toch wat aan de krappe kant - hoeveel clients hangen eraan?

1.

[Workaholic]

Anoniem: 131790 schreef op dinsdag 07 november 2006 @ 11:18:
[...]


Dat las ik idd net. Heb er verder geen ervaring mee. Op welke tools moet ik zoeken? Zijn er uberhaupt tools voor of moet ik daar een scrippie voor schrijven?

Ik ben bezig met WSUS in een test OU en krijg het maar niet voor elkaar om 3 xp clients, een vista client in de WSUS console te krijgen.

- GPRESULT --> Krijgt de WSUS GPO
- Clientdiag geeft --> A connection with the server could not be established (0x80072efd)
- Geen andere websites draaien
- Windows 2003 R2 op een vmware server (testing nog niet in productie dus)
- Geen proxy ingeschakeld
- Geen HTTPS maar gewoon http, dus geen certificate issue
- DNS is prima, kan browsen naar : de cab file via server:8530/
- Rechten niet aangepast op de website of de filestructuur
- Laatste WSUS versie
- rsop.msc geeft de juiste instellingen mee.
- Geen firewall of antivirus software
- Geen client issue, zijn fresh installed clients zonder third party antivirus, firewall of wat dan ook.
- Windows updates zijn disabled en kunnen niet worden aangepast, dus gpo gaat goed
- Ik gebruik targeting, namelijk Werkstations, dit staat ook zo ingesteld in de gpo.
- http://rome:8530/SimpleAuthWebService/SimpleAuth.asmx werkt..

Weet iemand wat hier mis gaat? Ik kom er niet uit. Hier nog even output van de tool :

code:

WSUS Client Diagnostics Tool
 
Checking Machine State
        Checking for admin rights to run tool . . . . . . . . . PASS
        Automatic Updates Service is running. . . . . . . . . . PASS
        Background Intelligent Transfer Service is running. . . PASS
        Wuaueng.dll version 7.0.6000.381. . . . . . . . . . . . PASS
                This version is WSUS 2.0
 
Checking AU Settings
        AU Option is 2 : Notify Prior to Download . . . . . . . PASS
                Option is from Policy settings
 
Checking Proxy Configuration
        Checking for winhttp local machine Proxy settings . . . PASS
                Winhttp local machine access type
                        <Direct Connection>
                Winhttp local machine Proxy. . . . . . . . . .  NONE
                Winhttp local machine ProxyBypass. . . . . . .  NONE
        Checking User IE Proxy settings . . . . . . . . . . . . PASS
                User IE Proxy. . . . . . . . . . . . . . . . .  NONE
                User IE ProxyByPass. . . . . . . . . . . . . .  NONE
                User IE AutoConfig URL Proxy . . . . . . . . .  NONE
                User IE AutoDetect
                AutoDetect not in use
 
Checking Connection to WSUS/SUS Server
                WUServer = http://rome
                WUStatusServer = http://rome
        UseWuServer is enabled. . . . . . . . . . . . . . . . . PASS
 
VerifyWUServerURL() failed with hr=0x80072efd

[ Voor 61% gewijzigd door Workaholic op 05-08-2008 17:05 ]

[Dennis]

Dennis schreef op zaterdag 02 augustus 2008 @ 18:10:
1.

Zeg alt-92, zoveel is dat toch niet?

Heeft iemand nog een idee?

[Workaholic]

Dennis schreef op dinsdag 05 augustus 2008 @ 16:51:
[...]

Zeg alt-92, zoveel is dat toch niet?

Heeft iemand nog een idee?

Andere SQL server gebruiken? Naar mijn ervaring is SQL sowieso altijd een geheugen/spec vreter..

Ik zit zelf te denken om opnieuw te beginnen..snap gewoon niet waarom ik geen clients te zien krijg.. zie verder hierboven voor troubleshooting.. eventviewer zegt ook niets..

[ Voor 23% gewijzigd door Workaholic op 05-08-2008 17:25 ]

[alt-92]

Dennis schreef op dinsdag 05 augustus 2008 @ 16:51:
[...]

Zeg alt-92, zoveel is dat toch niet?

1 client is niks, maar zonder verdere specs van dat gebakje weet ik nog niks.
Voor hetzelfde geldt dat je misschien maar 256MB RAM erin hebt zitten - als je dan nog een keer een SQL Express database erop knalt wordt er aardig gepaged in ieder geval.

Doe dan een performance counter trace?

[Dennis]

alt-92 schreef op dinsdag 05 augustus 2008 @ 18:35:
1 client is niks, maar zonder verdere specs van dat gebakje weet ik nog niks.
Voor hetzelfde geldt dat je misschien maar 256MB RAM erin hebt zitten - als je dan nog een keer een SQL Express database erop knalt wordt er aardig gepaged in ieder geval.

Doe dan een performance counter trace?

Het is 'slechts' 512 MB, inderdaad. Dat laatste zal ik van de week eens even doen.

[martinr]

Ik weet ook niet wat je wel of niet aan updates hebt laten synchroniseren. Ik heb onlangs voor de gein op een PIII-1133 met 512MB eens alle updates (in 2 talen) laten synchroniseren (> 10.000 updates, want de 'drivers' optie stond ook aan), daar had die machine heel erg veel moeite mee (met 1 client). Synchroniseren duurde uren.

Als je de niet-benodigde updates echter afkeurd (declined) en alleen updates laat synchroniseren voor software die je daadwerkelijk gebruikt dan trekt die machine het wel redelijk (een maand later en met een paar keer "cleanup server" draaien). Dan geeft ook het toevoegen van een paar clients geen problemen. Als je heel veel hebt aangezet en toch nog niets goedgekeurd is het denk ik slimmer op even opnieuw te beginnen.

Op het werk zag ik dat deze tijdens synchroniseren flink wat geheugen gebruikte (de Windows Internal database gebruikte dan iets van 1,4GB) bij het inrichten van een WSUS3 SP1 server.

De oude (op 5 jaar oude hardware) komt maar zelden boven de 1GB geheugengebruik (meer dan 2000 clients) op de momenten dat ik kijk (synchronisatie is s'nachts, dan kijk ik niet...)

[Dennis]

Ik moet zeggen, ik logde net nog eens in, en het geheugen- en cpu-gebruik is inmiddels tot normale omvang gedaald. Blijkbaar was hij van het weekend heel lang ergens mee bezig, maar is dat nu afgerond.

Desondanks ga ik het geheugen binnenkort maar eens uitbreiden naar 768MB, aangezien dat het max. is van het moederbord en SDRAM toch niets meer kost.

[Workaholic]

Probleem opgelost met een nieuwe server te installeren, geen idee waarom hij het eerder niet deed.

Ik krijg nu de clients te zien met ene uitroepteken.

Verder krijgen de clients zelf de mogelijkheid om de updates te installeren en krijgen dan ook een melding dat updates beschikbaar zijn. Hoort dit zo?

Ik heb de settins : Configure Automatic Updating op Notify for download and notify for install dan ook aan staan. Moet dit wellicht op niet configured staan? Of het is het juist de bedoeling dat clients zelf controle hebben over de installatie van de updates en dat ik een overzicht krijg van welke clients nog wat moeten installeren etc.

Wat is de best practice voor de gpo settings?

- Configure automatic updates --> scheduled install daily
- Refresh interval 8 uur

[ Voor 9% gewijzigd door Workaholic op 06-08-2008 08:13 ]

[alt-92]

Audi-Addict schreef op woensdag 06 augustus 2008 @ 08:06:
Verder krijgen de clients zelf de mogelijkheid om de updates te installeren en krijgen dan ook een melding dat updates beschikbaar zijn. Hoort dit zo?

Ik heb de settins : Configure Automatic Updating op Notify for download and notify for install dan ook aan staan.

Dan lijkt me dat ook logisch, nietwaar?

Wat is de best practice voor de gpo settings?

Die is er niet, want die is voor elke situatie anders
Thematopic: Security updates

[Illuzionz]

Is er ook een mogelijkheid om te zien welke pc's (die aangesloten zijn op wsus) welke updates bevatten?
In het netwerk waar ik nu mee bezig ben, hebben een aantal pc's al sp3 erop staan.
Graag zou ik willen zien welke pc's dat zijn, en welke niet.
Weet iemand hoe ik dat kan zien?

[DeeJee]

Selecteer de update waarvan je dat wilt weten. Onderin beeld zie je dan de status van de update.

[Anoniem: 151952]

hoe kan ik de default port aanpassen nadat ik wsus heb geinstalleerd?

[Muggie]

IIS

[Anoniem: 266809]

Is er een mogelijkheid om internet explorer 7 automatisch te gaan verspreiden ?
Als ik deze aanvink voor mijn test productie dan krijgt mijn client rechts in de benedenhoek een geel uitroepteken. (een 1 update gevonden)

Daar moet ik dan op gaan klikken, en dan express install aanvinken.

Eens dit gedaan is start de setup op van IE 7.
Natuurlijk wil ik hebben dat alles geautomatiseerd is zonder dat bvb een user nog op next moet gaan klikken

Al de rest van mijn updates zoals security updates gaan automatisch. Deze lopen allemaal goed. Juist natuurlijk IE7...

Mvg

[Anoniem: 266809]

Iemand een idee waarom mijn service pack 3 niet wil installeren ?

Rechtsonder staat hij klaar om geinstalleerd te worden.
Maar ik moet dit nog bevestigen daarna wil hij maar installeren.

Kan dit niet automatisch gaan, dat ik next enzo niet meer hoef te doen ?

Thx

[DDX]

Misschien handig voor de mensen die ook lopen te stoeien met de KB948014 / KB940518 update voor windows 2008 servers.
Probleem komt naar voren als je KB940518 goedkeurt.
Deze update zou moeten zorgen dat je wsus als extra role mag installeren op servers.

Probleem is alleen dat daarna binnen de wsus console KB948014 voor alle 2008 servers beschikbaar is.
Terwijl er op de servers zelfs niets van te zien is.

officeel antwoord van microsoft :

Hi Stephan,


After confirming this issue with our WSUS development team, it is really an expected behavior of KB940581. Installing 940518 enables a dynamic update scenario for WSUS install through Server Manager. Once we install 940518, the Dynamic Update only Windows Update items become applicable. However, these items won't appear in the standard Windows Update scan at the client side.


Once approving this feature pack to these 2008 servers, they are expected to install WSUS 3.0 SP1 (948014) in a short period of time. The WSUS server will report KB948014 as needed, but the client side will not.


So, the solution here is to decline/unapprove the KB940518 feature pack for the 2008 servers which will not act as the WSUS roles.


Unlike critical and security updates, KB940518 is a feature pack which implements a kind of function. Declining/unapproving such updates will not cause any security problem.


For more information about how updates are classified, please refer:

Identify: Using Windows Server Update Services (WSUS)

http://technet.microsoft....emanagement/bb245780.aspx


For example, we can place the non-WSUS 2008 servers to a dedicated computer group, and then unapproved KB940518 for this computer group. After uninstall KB940518 on these 2008 severs, KB940518 and KB948014 will not be detected again on them.


Please refer these steps:

1. Open WSUS console and expand "Computers", then right click "All Computers" and click "Add Computer Group". Type a group name and click "OK".


2. Move non-WSUS 2008 servers from "All Computers" to the newly created computer group. If you are using client side targeting, please modify the corresponding policy setting.


3. Right click the "Update" node and then "Search" so that we can find KB940518.


4. Right click KB940518 from the list, click "Approve".


5. Click the newly created computer group from the approval interface, then click "Not Approve".


Hope it helps.

[ Voor 3% gewijzigd door DDX op 20-11-2008 17:42 ]

[Cis]

Zodra er overdag een update op een pc wordt geinstalleerd, waarvoor een reboot benodigd is, wordt de gebruiker om de 30 minuten (minimaal) op de hoogte gesteld dat de pc moet worden herstart (reboot now, reboot later). Dit is niet uit te schakelen (correct me if I'm wrong).
Aangezien onze omgeving nogal achterloopt met updates, en ik gebruikers niet elke week wil lastig vallen met updates, heb ik als plan om elke dinsdag automatisch updates te installeren (die minimaal 1 week oud zijn).
Voor dit plan wil ik automatisch alle computers in een bepaalde OU laten booten om 20:50, zodat om 21:00 alle beschikbare updates worden geinstalleerd en zonodig een reboot wordt gedaan.

Zijn er mensen die een dergelijke aanpak hanteren, en welke tools gebruiken jullie om dit te realiseren? Het liefste laat ik dit allemaal vol-automatisch doen (dinsdagavond wil ik gewoon sporten of tv kijken, en niet ingelogd op werk zitten). Is er wellicht een "automatic WakeOnLan on OU"-tool?

[Dutch2007]

kan je niet via scheduled task een WOL tooltje starten die alles aangooit?

[Aikon]

Cis schreef op woensdag 26 november 2008 @ 15:35:
Zodra er overdag een update op een pc wordt geinstalleerd, waarvoor een reboot benodigd is, wordt de gebruiker om de 30 minuten (minimaal) op de hoogte gesteld dat de pc moet worden herstart (reboot now, reboot later). Dit is niet uit te schakelen (correct me if I'm wrong).
Aangezien onze omgeving nogal achterloopt met updates, en ik gebruikers niet elke week wil lastig vallen met updates, heb ik als plan om elke dinsdag automatisch updates te installeren (die minimaal 1 week oud zijn).
Voor dit plan wil ik automatisch alle computers in een bepaalde OU laten booten om 20:50, zodat om 21:00 alle beschikbare updates worden geinstalleerd en zonodig een reboot wordt gedaan.

Zijn er mensen die een dergelijke aanpak hanteren, en welke tools gebruiken jullie om dit te realiseren? Het liefste laat ik dit allemaal vol-automatisch doen (dinsdagavond wil ik gewoon sporten of tv kijken, en niet ingelogd op werk zitten). Is er wellicht een "automatic WakeOnLan on OU"-tool?

Je kan die meldingen helemaal configureren naar je zin, of uberhaupt niet laten zien. Als je gewoon gedurende de dag je updates installeert zonder die melding, dan zet de gebruiker z'n pc 's avonds uit. Volgende dag weer aan, volgende updates installeren, etc. Na een week oid staat er alles erop en heeft de gebruiker niks doorgehad.

Allemaal in de policies in te stellen.

[Anoniem: 51473]

Anoniem: 266809 schreef op donderdag 20 november 2008 @ 17:18:
Iemand een idee waarom mijn service pack 3 niet wil installeren ?

Rechtsonder staat hij klaar om geinstalleerd te worden.
Maar ik moet dit nog bevestigen daarna wil hij maar installeren.

Kan dit niet automatisch gaan, dat ik next enzo niet meer hoef te doen ?

Thx

Dat stel je dus in in je domain policy:

http://technet.microsoft.com/en-us/library/cc720539.aspx

[alt-92]

DDX schreef op donderdag 20 november 2008 @ 17:41:
Misschien handig voor de mensen die ook lopen te stoeien met de KB948014 / KB940518 update voor windows 2008 servers.
Probleem komt naar voren als je KB940518 goedkeurt.
Deze update zou moeten zorgen dat je wsus als extra role mag installeren op servers.

Gheh. Typische WSUS PSS workaround, eentje die je zelf ook kan bedenken.
Aan dit soort dingen merk je dat WSUS toch niet echt als een enterprise-level oplossing wordt beschouwd.

[Aikon]

WSUS vind ik sowieso redelijk bagger, aan die overzichten heb je geen drol imo. Vaak zat staat er dagen, zoniet weken, dat een computer updates mist terwijl ze allang geinstalleerd zijn. Sowieso vind ik de overzichten niet overzichtelijk.

Maar goed, uiteindelijk worden doorgaans alle updates wel geinstalleerd dus ik vind het wel prima

[Cis]

Aikon schreef op woensdag 26 november 2008 @ 18:26:
[...]

Je kan die meldingen helemaal configureren naar je zin, of uberhaupt niet laten zien. Als je gewoon gedurende de dag je updates installeert zonder die melding, dan zet de gebruiker z'n pc 's avonds uit. Volgende dag weer aan, volgende updates installeren, etc. Na een week oid staat er alles erop en heeft de gebruiker niks doorgehad.

Allemaal in de policies in te stellen.

Hetzij wat laat, alsnog bedankt. Je kunt het inderdaad instellen, maar dan wel onder de User Configuration.
Ik zat alleen maar in de computer configuration te kijken, maar in de user configuration staat welgeteld 1 optie voor WSUS, en die moest ik nog even instellen

[Aikon]

Kreeg zojuist een mailtje van onze WSUS server dat de volgende update was gesynchroniseerd:

http://www.microsoft.com/...938254FC47&displaylang=en

Maar deze is al van 2004! Heeft iemand een verklaring hiervoor?

Het enige wat is veranderd in de laatste maanden is dat de feature packs ook worden meegenomen, maar dit is een service pack. Ook was deze update zo te zien - maar pin me er niet op vast - al op not approved gezet.

[DDX]

Misschien dat je ergens een office 2003 onderdeel hebt installed recent ?
(staat me bij dat sql ook soms om office 2003 update vraagt)

[alt-92]

Aikon schreef op donderdag 22 januari 2009 @ 15:37:
Kreeg zojuist een mailtje van onze WSUS server dat de volgende update was gesynchroniseerd:

http://www.microsoft.com/...938254FC47&displaylang=en

Maar deze is al van 2004! Heeft iemand een verklaring hiervoor?

foutjebedanktsorry?

http://blogs.technet.com/...ate-release-kb949810.aspx

meestal wordt die even later weer teruggetrokken indien foutief.
Zo hadden ze ook een update met een datum in 3008 een keer released....

[Aikon]

Mja, denk het. Had al op de WSUS blog gekeken en daar stond niks.

@DDX, nope we werken enkel met 2007. Heb maar gelijk 2003 uitgevinkt bij producten.

[Perconte]

even een klein vraagje.

Is het via WSUS/GPO mogelijk om computers te updaten voordat gebruikers inloggen?
Alvast bedankt voor een eventueel antwoord

[Cis]

Perconte schreef op donderdag 12 februari 2009 @ 10:26:
even een klein vraagje.

Is het via WSUS/GPO mogelijk om computers te updaten voordat gebruikers inloggen?
Alvast bedankt voor een eventueel antwoord

Ja, dat kan. En dat was dus ook mijn vraag een paar berichten hoger
Ik weet alleen niet of de computer automatisch reboot als er 5 updates achtereenvolgens met een vereiste reboot worden geinstalleerd... -> Je wilt natuurlijk niet dat er wordt gereboot als iemand ingelogd is, maar WEL als een pc gewoon aanstaat, maar weer NIET als iemand net zijn gebruikersnaam en wachtwoord aan het intypen is

[ Voor 17% gewijzigd door Cis op 12-02-2009 10:54 ]

[Perconte]

Wat jij bedoelt is toch gewoon dat de gebruikers geen melding krijgen van dat ze moeten herstarten?
Mijn vraag is of het mogelijk is dat gebruikers gewoon niet kunnen inloggen als ze niet up-to-date zijn.
(nouja mijn vraag...... vanuit de directie is de vraag)

[Aikon]

Vziw is dat niet mogelijk. Enige wat je kan instellen zijn de GPO opties

Een andere vraag van mijn kant:
In het overizcht van WSUS zie je 'computers needing updates', dan krijg je een overzicht van die computers. Als je vervolgens een Status Report maakt van een computer zie je enkel hoeveel updates er wel of niet zijn geinstalleerd, maar hoe kom je er nu achter welke updates er nu exact op een specifieke computer missen danwel gefailed of geinstalleerd zijn?
[edit]Ahhh... denk kijk toch nog eens, maar er zijn dus verschillende pagina's waar je doorheen kan lopen.


Ook heb ik een aantal computers, eigenlijk alle servers, die altijd op 99% blijven hangen. Er moet altijd nog 1 update worden geinstalleerd. Servers rebooten elke nacht, dat is het probleem niet.
Ook met onderstaand script is er geen verschil:

code:

@echo off
Echo This batch file will do the following
Echo 1.    Stop the wuauserv service
Echo 2.    Delete the AccountDomainSid registry key (if it exists)
Echo 3.    Delete the PingID registry key (if it exists)
Echo 4.    Delete the SusClientId registry key (if it exists)
Echo 5.    Restart the wuauserv service
Echo 6.    Resets the Authorization Cookie
Pause
@echo on
net stop wuauserv
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate v AccountDomainSid f
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate v PingID f
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionWindowsUpdate v SusClientId f
net start wuauserv
wuauclt resetauthorization detectnow
Pause

In het log:

code:

2009-02-12  11:16:13:426    1020    a90 Report  REPORT EVENT: {AFE2AAAC-7BC0-4CEE-ADE4-97DC620E62ED}    2009-02-12 11:16:08:395+0100    1   147 101 {00000000-0000-0000-0000-000000000000}  0   0   AutomaticUpdates    Success Software Synchronization    Windows Update Client successfully detected 0 updates.
2009-02-12  11:16:13:426    1020    a90 Report  REPORT EVENT: {BAC47CB7-1188-4C13-8551-4EBE2660A8B4}    2009-02-12 11:16:08:395+0100    1   156 101 {00000000-0000-0000-0000-000000000000}  0   0   AutomaticUpdates    Success Pre-Deployment Check    Reporting client status.
2009-02-12  11:25:09:476    1020    a90 Report  Uploading 2 events using cached cookie, reporting URL = http://192.168.1.105/ReportingWebService/ReportingWebService.asmx
2009-02-12  11:25:09:476    1020    a90 Report  Reporter successfully uploaded 2 events.

Volgens mij heeft de client dan succesvol doorgegeven dat er geen updates nodig zijn, maar blijft toch op 99% hangen.

Iemand een suggestie?

[ Voor 25% gewijzigd door Aikon op 12-02-2009 11:48 ]

[alt-92]

Perconte schreef op donderdag 12 februari 2009 @ 11:06:

Mijn vraag is of het mogelijk is dat gebruikers gewoon niet kunnen inloggen als ze niet up-to-date zijn.
(nouja mijn vraag...... vanuit de directie is de vraag)

Wel als je daar door middel van NAP een Health Certificate afdwingt en geen logon toestaat zonder 100% patched state.

Heb je liefst 2008 Server voor in je netwerk zitten.

Aikon schreef op donderdag 12 februari 2009 @ 11:37:

Iemand een suggestie?

welke update is dat?
If Silverlight v2 bijvoorbeeld - boeie.

Maar je kunt zelf prima achterhalen welke non-approved update dat is uit je reports.

[ Voor 30% gewijzigd door alt-92 op 12-02-2009 11:56 ]

[Aikon]

Ik ben er achter.

WSUS wou zich op elke server installeren via Server Manager, heb de update maar geweigerd en ze staan nu weer op 100%.

[Galactic]

Ik zit hier met een probleem dat ik niet kan vinden. Onze klant wil dat de updates NIET automatisch worden geïnstalleerd, maar toch gebeurt dit bij sommige systemen (6 van de 80 systemen) waar wij WSUS hebben voorzien toch. De registry key settings die we aan de PC's hebben toegevoegd zijn de volgende:


[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://wsusserver"
"WUStatusServer"="http://wsusserver"
"TargetGroupEnabled"=dword:00000001
"TargetGroup"="groupname"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000
"UseWUServer"=dword:00000001
"ScheduledInstallTime"=dword:0000000c
"RescheduleWaitTimeEnabled"=dword:00000001
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"AuOptions"=dword:00000003
"ScheduledInstallDay"=dword:00000005
"RescheduleWaitTime"=dword:00000060

Maar Windows lijkt de updates toch automatisch te installeren, ik heb het vermoeden dat hij dit doet, als een bepaalde periode niet wordt gereageerd op de pop-up die Windows Update toont aan de gebruiker, met de vraag wat te doen. Iemand ooit iets vergelijkbaars gehad, of iemand een oplossing?

[Galactic]

Niemand die hier raad mee weet?

[alt-92]

NoAutoUpdate"=dword:00000000

Oftewel: autoupdate staat aan.

Gebruik je GPO's om dit in te stellen of is dit een handmatige regfix?
(if so - why?)

[ Voor 42% gewijzigd door alt-92 op 13-02-2009 21:51 ]

[Galactic]

De registy keys worden "handmatig" toegevoegd aan het register (bat file sort dat de reg keys worden toegevoegd aan het register).

[elevator]

En waarom dan?

[Galactic]

Ik zit in een groot bedrijf, waar de IT zeer zeer slordig is geregeld. De betreffende PC's die deze updates moeten krijgen (80 stuks) zitten in de active directory niet eens in dezelfde groep, ze zitten zowat overal verspreid, het zijn verschillende types OS (2000, Server 2003, XP, Vista). Bovendien heb ik ook geen rechten op AD om dit aan te maken, want zo wilde ik het eerst doen, maar dat ga ik niet voor elkaar krijgen.

Group policy, ik heb daar weinig ervaring in, maar daarvoor heb ik toch ook wel meer AD rechten nodig denk ik? Daarom leek de meest simpele oplossing, gewoon via een registy key deze gegevens toevoegen. Het lijkt op de meeste systemen ook gewoon te werken, maar sommige gaan toch updaten als er niet binnen een bepaalde tijd door de gebruiker gereageerd wordt op die popup.

[Stevenschouten]

Hallo allemaal,

Ik heb wsus 3.0 sp1 op mijn windows 2008 enterprise server draaien die is tevens ook DC.

Heb nu alleen het probleem dat de wsus server de update's niet ophaalt bij MS.
Hij blijft maar op 22.7GB van de 88GB staan die hij heeft gedownload.
daarstaat hij al ongeveer twee dagen op.

Weet iemand hoe dat komt?
Of duurt het altijd zo lang?

alvast bedankt

[Cis]

Stevenschouten schreef op donderdag 19 maart 2009 @ 16:16:
Hallo allemaal,

Ik heb wsus 3.0 sp1 op mijn windows 2008 enterprise server draaien die is tevens ook DC.

Heb nu alleen het probleem dat de wsus server de update's niet ophaalt bij MS.
Hij blijft maar op 22.7GB van de 88GB staan die hij heeft gedownload.
daarstaat hij al ongeveer twee dagen op.

Weet iemand hoe dat komt?
Of duurt het altijd zo lang?

alvast bedankt

1) Mijn ervaring is dat een proxy soms veel roet in het eten kan gooien. Mocht je een proxyserver gebruiken, dan zou ik deze even uitschakelen.
2) Heb je al geprobeerd om de services de stoppen en weer te starten?
3) 88GB is erg veel! Ik zit max op 15 GB. Daarin zitten alle WinXP updates, alle Win2003 updates en alle office updates; in Engels en Nederlands. Wellicht moet je even wat sync-opties gaan uitschakelen

[Yalopa]

Stevenschouten schreef op donderdag 19 maart 2009 @ 16:16:
Hallo allemaal,

Ik heb wsus 3.0 sp1 op mijn windows 2008 enterprise server draaien die is tevens ook DC.

Heb nu alleen het probleem dat de wsus server de update's niet ophaalt bij MS.
Hij blijft maar op 22.7GB van de 88GB staan die hij heeft gedownload.
daarstaat hij al ongeveer twee dagen op.

diskspace genoeg? NTFS quota hit?

[Stevenschouten]

Cis schreef op donderdag 19 maart 2009 @ 17:22:
[...]

1) Mijn ervaring is dat een proxy soms veel roet in het eten kan gooien. Mocht je een proxyserver gebruiken, dan zou ik deze even uitschakelen.
2) Heb je al geprobeerd om de services de stoppen en weer te starten?
3) 88GB is erg veel! Ik zit max op 15 GB. Daarin zitten alle WinXP updates, alle Win2003 updates en alle office updates; in Engels en Nederlands. Wellicht moet je even wat sync-opties gaan uitschakelen

1: heb geen proxy server ertussen staan.
2: Heb de server al meerdere malen gereboot.
3: ik heb 2003 office 2007 en 2003 xp, en windows vista en server 2008 en sql.

Yalopa schreef op donderdag 19 maart 2009 @ 18:40:
[...]


diskspace genoeg? NTFS quota hit?

De disk is 125 gb groot en heeft nu nog 100 gb vrij en heb geen quota op staan.

[Coach4All]

Updates approved?

Hij gaat toch pas downloaden als een update ook ergens geïnstalleerd moet worden?

[Stevenschouten]

update's zijn approved

[Anoniem: 293452]

ik heb een probleem met mijn WSUS server. heb wsus 3.0 geinstalleerd op een 2003 server en heb nu een update gedownload om deze te sturen naar alle cliënts maar dit wil niet echt lukken. is het normaal dat ik bijvoorbeeld in de console bij computers geen computer van mijn netwerk zie. deze 2003 server is geen additional domein controller maar gewoon een server in het netwerk of duurt dit lange tijd eer ze zichtbaar zijn in de wsus server. en hoe kan ik zien als een update ook effectief geinstalleerd wordt? waar vind ik deze terug?

[alt-92]

Nog even afgezien van de dikke vette topicwarning:

Anoniem: 293452 schreef op maandag 23 maart 2009 @ 13:35:
ik heb een probleem met mijn WSUS server. heb wsus 3.0 geinstalleerd op een 2003 server en heb nu een update gedownload om deze te sturen naar alle cliënts maar dit wil niet echt lukken.

Wat wil er niet aan lukken, en hoe kom je tot die conclusie?

is het normaal dat ik bijvoorbeeld in de console bij computers geen computer van mijn netwerk zie

Hoe kunnen wij daar ook maar iets over zeggen zonder dat je aangeeft op welke wijze je clients zich moeten aanmelden?

. deze 2003 server is geen additional domein controller maar gewoon een server in het netwerk of duurt dit lange tijd eer ze zichtbaar zijn in de wsus server.

Nogmaals: Wat wil er niet aan lukken, en hoe kom je tot die conclusie?
WindowsUpdate gebruikt dezelfde componenten.
Troubleshooten van WSUS lijkt dan ook verrekte veel op WU troubleshooten.

en hoe kan ik zien als een update ook effectief geinstalleerd wordt? waar vind ik deze terug?

Misschien moet je toch even wat documentatie lezen voordat we letterlijk alles gaan voorkauwen?

[Anoniem: 293452]

heb al enkele guides gelezen hoor maar de update wordt niet geinstalleerd op de cliënt computer. en ondertussen zijn de clients wel zichtbaar in de wsus server dus dat probleem is opgelost. maar als ik de update zo installeer dan zie ik dat deze staat bij software in configuratiescherm maar nu zie ik deze update daar niet tussen staan dus veronderstel ik dat het daardoor niet geinstalleerd is

[alt-92]

Anoniem: 293452 schreef op maandag 23 maart 2009 @ 14:04:
heb al enkele guides gelezen hoor maar de update wordt niet geinstalleerd op de cliënt computer.

Hoe heb je dat geconstateerd?

maar als ik de update zo installeer dan zie ik dat deze staat bij software in configuratiescherm maar nu zie ik deze update daar niet tussen staan dus veronderstel ik dat het daardoor niet geinstalleerd is

Ik denk toch echt dat je wat minder visueel/muizerig ingesteld zal moeten leren te werken en wat meer gericht met de (event)logfiles die WindowsUpdate en group policies in onder andere je eventviewer en %windir% achterlaten.

[Cis]

Weet iemand of het in te stellen is om updates op tijdstip X pas te downloaden van de WSUS server?
Het netwerk is opgebouwd uit 1 hoofdkantoor (LAN) en meerdere dependances (max 2048mbit, soms 512mbit).
Ik wil heel graag ook naar de dependances updates uitrollen met WSUS, maar men mag daar geen hinder ondervinden m.b.t. netwerksnelheid. Daarom moeten de updates eigenlijk pas in het weekend worden gedownload vanaf de WSUS server.

[Aikon]

Mijn ervaring is dat BITS sowieso geen overlast veroorzaakt wat betreft netwerksnelheid, heb je het al geprobeerd? Maar je kan misschien de synschronisatie om 20:00 zetten oid, dan worden de updates elke nacht gedwonload. Per week weet ik niet, sowieso is een week soms wel erg lang met kritieke updates.

[Cis]

Aikon schreef op donderdag 02 april 2009 @ 16:22:
Mijn ervaring is dat BITS sowieso geen overlast veroorzaakt wat betreft netwerksnelheid, heb je het al geprobeerd? Maar je kan misschien de synschronisatie om 20:00 zetten oid, dan worden de updates elke nacht gedwonload. Per week weet ik niet, sowieso is een week soms wel erg lang met kritieke updates.

Beetje laat, maar bedankt voor je reactie. Ik ga inderdaad de computers in het weekend booten, en ik zorg dat de updates op vrijdagmiddag klaar staan. Dan worden de updates in de weekenden binnengehaald.

Nog een ander vraagje: WSUS wil heel graag op mijn servers KB951847 (List of changes and fixed issues in the .NET Framework 3.5 Service Pack 1) installeren. Op zich heb ik daar geen problemen mee, amar ik vraag me af hoe jullie daarmee omgaan. Installeren jullie ook "benodigde updates", ookal denk je de update nooit nodig te hebben (bijvoorbeeld .NET 3.5 of Silverlight of RDP 6.0)?

[Cis]

code:

Other Updates
Windows XP Service Pack 3 (KB936929)
Windows XP Service Pack 3 (SP3) is an update to Windows XP that addresses key feedback from our customers and is a cumulative update that includes all previously released updates for Windows XP, including security updates. Windows XP SP3 contains a small number of new updates and should not significantly change the Windows XP experience. After you install this item, you may have to restart your computer.

Nog meer mensen die vandaag / gisteren ineens Windows XP SP3 krijgen aangeboden via WSUS?
Ik gebruik 'm al een jaar om al mijn pc's via WSUS te updaten...

[DDX]

zie :

Description of Software Update Services and Windows Server Update Services changes in content for 2009

Tuesday, May 19, 2009
Changes to existing non-security Content:
Windows XP Service Pack 3 (KB936929)
Updated metadata including removal of the Service Pack Blocker Tool.
Binaries have not changed.
This update does not have to be reinstalled.
For more information, click the following article number to view the article in the Microsoft Knowledge Base:
936929 (Information about Windows XP Service Pack 3 ) Information about Windows XP Service Pack 3

[sanfranjake]

Inmiddels is Service Pack 2 een paar dagen uit, met onder andere ondersteuning voor Windows 7 en 2008 R2/Branchecache, maar ook met vele bugfixes: Description of Windows Server Update Services 3.0 Service Pack 2

Ik heb m'n lab geupgrade, en zie niet echt bizarre verschillen met SP1 en RTM. De naam in het startmenu is "Windows Server Update Services" geworden, ipv het helemaal uitgeschreven "Microsoft Windows Server Update Services 3.0 SP1" ...

Waar ik tegenaan liep:
Wanneer je WSUS server met ssl draait (middels http://technet.microsoft.com/en-us/library/bb633246.aspx ) dan faalt bij mij de installatie van SP2, met de volgende errors in de eventlog:

code:

2009-08-27 12:37:32  Error     MWUSSetup          CUpgradeDriver::SaveWebSiteSetting: Failed to read ServerCertificateName registry value (Error 0x80070002: The system cannot find the file specified.)
2009-08-27 12:37:32  Error     MWUSSetup          CUpgradeDriver::PerformPresetupActions: SaveWebSiteSetting failed (Error 0x80070002: The system cannot find the file specified.)
2009-08-27 12:37:32  Error     MWUSSetup          CSetupDriver::LaunchSetup: Failed to perform pre-setup actions (Error 0x80070002: The system cannot find the file specified.)
2009-08-27 12:37:32  Error     MWUSSetup          CProgressManager::EnableCancel: GetDlgItem returning error (Error 0x80070578: Invalid window handle.)
2009-08-27 12:38:43  Error     MWUSSetup          DoInstall: Wsus setup failed (Error 0x80070002: The system cannot find the file specified.)

Oplossing voor mij was:
1. De vijf virtual directories ApiRemoting30 / ClientWebService / DssAuthWebService / ServerSyncWebService / SimpleAuthWebService in de IIS manager SSL-vereiste uitzetten
2. wsusutil -configuressl machinename > hierbij zou je als output iets als "URL: http://SERVERNAAM:8530" moeten krijgen.
3. Herstart nu de IIS Admin, Update Services en Windows Internal Database Services
4. Installeer nu WSUS SP2, waarschijnlijk zonder problemen
5. Configureer de vijf directories opnieuw voor SSL
6. wsusutil -configuressl machinename > wat nu als output zal geven "URL: https://SERVERNAAM:8531"

Waarom SSL? Onderandere System Center Configuration Manager vereist dit voor native mode, en het kan ook handig zijn in gevallen waar je niet wil dat het verkeer uit te lezen is in transit tussen de wsus server en clients (openbare netwerken, zwaar afgeschermde omgevingen)

[Hotzenwalder]

Is het mogelijk om in het Updates overzicht van WSUS 3.0 SP2 ook de Feature Packs te laten zien? Nu kan ik die alleen tevoorschijn toveren door te zoeken op het KB nummer of door door te klikken in een Computer Status Report waar een Feature Pack in wordt vermeld.

[Avvd]

Weet ook iemand of het mogelijk is om in de wsus console te zien waarom een bepaalde update niet geïnstalleerd kon worden op de client? Nu moet ik nog echt op de client inloggen om het goed te kunnen zien wat er is fout gegaan.

En is het ook mogelijk om vanaf een client een echte geforceerde update te starten, de deadline in het verleden zetten zorgt er namelijk nog niet voor dat de updates meteen worden geinstalleerd.

[ Voor 30% gewijzigd door Avvd op 25-02-2010 12:16 ]

[Cis]

Blueone schreef op donderdag 25 februari 2010 @ 11:48:
Weet ook iemand of het mogelijk is om in de wsus console te zien waarom een bepaalde update niet geïnstalleerd kon worden op de client? Nu moet ik nog echt op de client inloggen om het goed te kunnen zien wat er is fout gegaan.

Volgens mij is dat niet mogelijk (helaas). De makkelijkste manier die ik hanteer voor het achterhalen van een gefaalde update is "eventvwr %pcnaam%" runnen. En dan even filteren op WindowsUpdate

[_Rayman_]

Is inderdaad niet mogelijk. Check anders het windowsupdate.log (let op, dus zonder de spatie in de bestandsnaam) in de windows directory op de client.

[ Voor 4% gewijzigd door _Rayman_ op 25-02-2010 20:52 ]

[ArgantosNL]

ik zit momenteel met een vreemd en zeer vervelend probleem.

alle clients worden door de wsus gezien.
ongeveer 80% is ook gewoon up to date.
alleen die 20% niet, hier het vreemde op de clients zelf staat er geen update beschikbaar (gele schildje)

Ik heb de de CLI al wauaclt /detectnow een paar keer gedaan maar hij herkent nog steeds niks.

iemand enige sugesties?

[Cis]

ArgantosNL schreef op dinsdag 23 maart 2010 @ 16:46:
ik zit momenteel met een vreemd en zeer vervelend probleem.

alle clients worden door de wsus gezien.
ongeveer 80% is ook gewoon up to date.
alleen die 20% niet, hier het vreemde op de clients zelf staat er geen update beschikbaar (gele schildje)

Ik heb de de CLI al wauaclt /detectnow een paar keer gedaan maar hij herkent nog steeds niks.

iemand enige sugesties?

Kun je in de console wel zien welke updates nog benodigd zijn op die 20% clients? Of geeft de WSUS Admin Console aan dat alle benodigde updates zijn geinstalleerd?

Ik heb hier genoeg pc's staan in mijn testomgeving, waarvoor WSUS aangeeft dat er updates geinstalleerd moeten worden, maar waarvan de updates nog niet heb goedgekeurd. Zolang ik niks goedkeur, worden de updates uiteraard niet naar de client gedistribueerd.

[ Voor 36% gewijzigd door Cis op 23-03-2010 17:18 ]

[ArgantosNL]

een deel wel en een deel niet.

van de 35 die onder "updates needed" staan zijn er 23 die als "install" zijn aangegeven onder "approval"

[T-Rhidon]

Misschien een kickje, maar ik heb een vraag:

Is het verstandiger om een WSUS server te installeren op een domain controller of beter op een los staande server?

Tevens heb ik nog een vraag:
Wanneer je meerdere locaties hebt, wil ik meerdere wsus servers maken. Moet ik persee beginnen met de hoofd wsus server? Omdat ik ze wil koppelen 1 grote en 2 kleine die ik door lus.

(als niet duidelijk is wil ik het nog een keer uitleggen)

Alvast bedankt

[ Voor 43% gewijzigd door T-Rhidon op 07-09-2010 09:36 . Reden: 2de vraag ]

[Thijs B]

Het maakt niets uit in welke volgorde je begint, de hoofdserver is altijd te wijzigen.

wsus kan zonder problemen op een dc draaien.

Wel wsus/iis pas installeren nadat je server ook dc is, als je eerst iis/wsus installeert en daarna dcpromo draait dan werkt wsus niet meer. Althans op windows 2003 heb ik dit probleem wel eens gehad.