[WSUS 3.1] Clients op offsite locaties.

[wuwa]

Dedicated WsusServer: Windows 2003 STD ENU SP2 RC2
Wsus versie: 3.1.6001.65 (Niet ingesteld met gebruik van SSL)

Ik zit met een redelijk complexe situatie/omgeving. De wsus server draait in een domain op de hoofdvestiging, de offsite locaties hebben een hardware vpn doormiddel van een zyxell router. De andere locaties hebben een eigen domeinen.

Ik probeer de clients in de andere domeinen te laten communiceren met de wsus in de hoofdvestiging.
De zyxell staat ingesteld op full access naar de offsite vestiging toe, maar alleen port 80 weer terug geforward naar de WSUS server.

Het communiceren lukt al in zoverre dat de Wsus de computer ziet op offsite locatie. Dit heb ik voorelkaar gekregen door de volgende register instellingen handmatig in te brengen op de clients.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\windows\WindowsUpdate]
"WUServer"="http://192.1.1.1"
"WUStatusServer"="http://192.1.1.1"
"TargetGroupEnabled"=dword:00000001
"TargetGroup"="OffsiteClients"
"ElevateNonAdmins"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\windows\WindowsUpdate\AU]
"NoAUShutdownOption"=dword:00000001
"NoAUAsDefaultShutdownOption"=dword:00000001
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000003
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"UseWUServer"=dword:00000001
"RebootRelaunchTimeoutEnabled"=dword:00000001
"RebootRelaunchTimeout"=dword:00000078

Daarna laat ik een autorisatie uitvoeren naar de wsus-server toe, op dat punt registreerd het de client in WSUS, en kun je onder andere zien wat voor een computer deze is, welke versie ed.

net stop wuauserv && net start wuauserv
wuauclt /resetauthorization /detectnow
pause

Maar nu heb ik een probleem en dat is dat WSUS geen reports geeft van de clients, dus weet de client ook niet wat hij moet updaten.

Moet ik nog andere porten forwarden? zou het misschien helpen om de netwerk volledig toegang tot elkaar te geven? Ik zou dit natuurlijk kunnen proberen door een testclient op te zetten in mijn hoofdvestiging en deze niet aan te melden op het domein.

Iemand nog ideen? over mijn aanpak?

~Wuwa.

[elevator]

Als WSUS de computer ziet dan werkt het status rapporteren wel, lijkt me? Kijk anders eens op een willekeurige client in de %Systemroot%\WindowsUpdate.log om te zien of er daar iets in staat?

[Creep]

Ik weet het niet zeker, maar ik dacht dat poort 443 ook open moest staan.

[DDX]

poort 8530 toch ?

[wuwa]

Elevator je hebt gelijk,
Ik heb nog eens een dag of wat aangekeken, nu krijg ik zonder aanpassing verder nog gedaan te hebben mooie status reports. Kan komen misschien door de snelheid van de verbinding.

Maar nu nog een bijkomend iets. de WSUS server zit achter een proxy, updates binnen halen gaat super sloom, hij staat na paar dagen op nog maar 2,5 gb van de 82 gb totaal, resterende bestanden nodig voor 3070 updates. Dit staat op de hoofdpagina in de MMC console.

Status van de laatste synchronisatie is: Successfull. Net of haalt hij dan niks meer binnen ofzo.

[elevator]

Net boven de synchronisatie venster zou normaal iets moeten staan als "Downloading 2,5gb of 82gb" of zoiets, dan weet je dat hij op zich nog aan het downloaden is.

82gb is overigens wel veel, heb je per ongeluk alle talen aangeduid terwijl dat misschien niet nodig is? Verder was het bij ons bijvoorbeeld nodig om de bij de Kaspersky ICAP proxy plugin een uitzondering te maken voor de Microsoft.com sites omdat het anders niet meer werkte