WSUS Server / server rapport zichzelf niet

[mbr99]

Beste lezer,

Waarschijnlijk een eenvoudig probleem. Ik heb een SBS Server 2011 met WSUS draaiende. De server zelf komt wel voor in de groep van Servercomputers binnen WSUS maar de policy die voor de clients bedoeld zijn, wordt niet toegekent aan de server (hoort ook niet). In het eventlog tref je dus veel meldingen aan dat 1 pc geen status heeft doorgegeven, en dat klopt ook. Vraag me alleen af hoe hij ooit hierin terecht is gekomen.

Kan de server dan gewoon uit het overzicht binnen WSUS worden gewist? Hij update zichzelf via MS site. Heeft het wissen geen consequenties?

Dank.

Marcel

[Paul]

Waarschijnlijk heeft hij zich aangemeld voordat je de security filtering op de Update Services Common Settings Policy aanpaste (of een nieuwe policy aanmaakte in de Domain Controllers OU die "Specify intranet Microsoft update service location" op Disabled zet).

Je kunt alle computers straffeloos weghalen, de eerste de beste keer dat ze weer op updates gaan controleren (bij die WSUS server) zetten ze zichzelf weer terug. Enige catch is dat ze dan misschien (hangt van je [manier van] targetting af) in de verkeerde groep vallen.

[mbr99]

Paul,

Dank voor je snelle antwoord.

Ik zag op een andere site dat daat precies hetzelfde gaande is, eender opzet, 1 SBS 2011 server. De policy die bedoeld is voor servers is ook niet ingevuld, dus zal het zo de default zijn.

Ik weet met client computers dat het zonder problemen kan, maar omdat het de WSUS server intern zelf is, heb ik mijn twijfels.

Je verwacht dus geen problemen?

[Paul]

Ik heb een SBS2011 Essentials zonder WSUS hier dus daar zie ik de policies ook niet, op een SBS2011 Standard bij een klant staat wel WSUS en daar is wel degelijk een policy die betrekking heeft op de server.

Kun je beginnen met uitleggen hoe je er voor hebt gezorgd dat de server online bij MS kijkt ipv (zoals de standaard is) bij zichzelf?

Hoe dan ook, de lijst met computers _in WSUS_ is alleen om te administreren hoeveel van de updates ze al hebben ontvangen, verder keur je updates goed of af voor bepaalde groepen.

Als een PC (of server) niet naar WSUS omkijkt dan gebeurt er met die PC dus sowieso niks als je hem uit WSUS haalt. Kijkt de PC er wel naar dan kan het dus zijn dat de default groep een andere is dan dat de PC al in stond en dat je PC nu dus andere updates krijgt dan gewenst.

Aangezien je aangeeft dat de server zelf geen updates bij WSUS ophaalt kun je de server probleemloos uit WSUS halen.

Hoeveel heb je trouwens aangepast? SBS regelt de approval-rules zelf, als je er aan gaat zitten prutsen (de BPA waarschuwt je dan ook) dan heb je kans dat updates niet approved worden of dat je schijf volloopt met updates voor alle pakketen die MS heeft in alle talen die ze beschikbaar stellen

[mbr99]

Server kijkt naar de GPO met de naam 'Update Services Server Computers Policy'. Daarin staat alleen vermeld dat hij optie 3 moet gebruiken. Dat is ook de enige instelling die hij heeft. Een raportage server heeft hij niet. Updates installeren doen we met de hand.

Het lijkt me dan het beste de server uit die lijst te halen. Hij hoeft voor mij helemaal niet te rapporteren.

[Paul]

Dan heb je dus op één of andere manier de server uit de "Update Services Common Settings Policy" gehaald, ofwel door de link in je domain root weg te halen en deze ergens onders MyBusiness weer te linken ofwel door de security-filtering aan te passen.

Zo niet, dan zou de server nog altijd naar de WSUS-server kijken Kun je controleren door op een administrative command prompt "gpresult /SCOPE computer /R" uit te voeren, daar zie je welke policies er toegepast worden, en welke niet (+waarom).

[mbr99]

Ik ben er grotendeels al achter. We hebben een monitoring tool ertussen zitten die een deel van de update taken voor zich neemt en ertussen zit. Vermoedelijk is die daar verantwoordelijk voor.