Windows Server Update Services: управляемая установка обновлений

Этим материалом мы продолжаем цикл статей о том, из чего состоит понятие «рабочая сеть» и как добиться того, чтобы компьютеры вашей организации работали стабильно хорошо.

В прошлом материале мы рассказали о том, что нужно сделать, чтобы обеспечить управляемую антивирусную защиту. В этом мы расскажем, как усилить защиту от вредоносного ПО и автоматизировать установку обновлений продуктов Microsoft.

После выхода второго пакета обновления для MS Windows XP пользователи получили возможность автоматически получать через интернет важные обновления операционной системы. Но не для всех до сих пор понятно, зачем нужно устанавливать обновления для операционной системы и офисных программ. Приведем несколько простейших аргументов.

1. Установка критически важных обновлений исправляет найденные уязвимости.
Уязвимости используются вредоносным программным обеспечением, проще говоря, вирусами, для проникновения в компьютер. Установка антивирусного ПО на 98% снижает риск заражения, но остается еще 2% вирусов, которые отсутствуют в антивирусных базах или пока отсутствуют. Компьютер, в котором закрыты все известные уязвимости, наименее подвержен риску вторжения извне, потому, что все известные уязвимости-лазейки уже прикрыты.

2. Установка обновлений исправляет мелкие (и не очень) ошибки функциональности продукта, тем самым обеспечивает большую стабильность используемого продукта.

3. Установка пакетов обновления (сервис-паков), как правило, кроме вышеперечисленных функций обеспечивает добавление новых возможностей в продукт, для которого выпущен пакет обновления.

Когда компьютер один, достаточно просто включить автоматическое обновление, а вот когда компьютеров десяток, становится достаточно сложно отслеживать текущее состояние компьютеров в сети. И трафик, используемый для загрузки обновлений, увеличивается пропорционально количеству компьютеров в сети. Для управления и отслеживания состояния обновлений в сети предназначена бесплатная служба Windows Server Update Services. Схематично WSUS работает следующим образом: устанавливается на операционную систему семейства Windows Server, затем вы указываете WSUS, обновления каких продуктов и каких языковых версий следует скачивать, устанавливаете расписание обновления клиентских компьютеров в групповой политике. И все. WSUS скачивает обновления с сервера Microsoft, клиентские компьютеры скачивают обновления уже с локального сервера вашей сети.
На сегодняшний день c помощью WSUS можно обновлять следующие продукты (приведен неполный список):

• Exchange Server 2000/2003/2007;
• Forefront;
• ISA Server 2004/2006;
• Office Communication Server 2007;
• Office 2002(XP)/2003/2007;
• SQL Server;
• Virtual Server;
• Visual Studio 2005;
• Internet Explorer;
• Windows Small Business Server 2003;
• Windows Server 2003;
• Windows 2000;
• Windows XP (все редакции);
• Windows Vista (все редакции);
• и др.

В отличие от предыдущей версии, настройки которой осуществлялись с помощью веб-интерфейса, третья версия WSUS использует MMC. И для его работы потребуется Microsoft Management Console 3.0 (go.microsoft.com/fwlink/?LinkID=70412). Если в системе будет чего-то не хватать для корректной установки или работы WSUS, об этом будет сообщаться в виде подсказки. В качестве SQL-сервера может использоваться SQL Server 2005 Express Edition (бесплатная версия), который идет в комплекте WSUS, или SQL Server 2005 SP1.

Для работы сервера WSUS, обслуживающего до 500 клиентов, Microsoft рекомендует использовать компьютер с процессором частота которого составляет не ниже 1 ГГц и объемом оперативной памяти не менее 1 Гб.

Для установки WSUS файловая система сервера должна соответствовать следующим требованиям:

• системный раздел и раздел, предназначенный для установки WSUS, должны быть отформатированы в файловой системе NTFS;
• для системного раздела требуется не менее 1 Гб свободного пространства;
• необходимо не менее 6 Гб свободного пространства на диске, где хранятся данные WSUS, но рекомендуется 30 Гб;

необходимо не менее 2 Гб свободного пространства на диске, куда программой установки WSUS устанавливается Windows SQL Server 2000 Desktop Engine (WMSDE).
На компьютере, предназначенном для сервера WSUS, предварительно необходимо установить следующие компоненты Windows Server 2003:

• Windows Server 2003 SP1 или более поздний;
• Microsoft Internet Information Services (IIS) 6.0 или более поздний;
• Microsoft .NET Framework 2.0;
• Background Intelligent Transfer Service (BITS) 2.0;
• Microsoft Report Viewer.

На клиентских компьютерах должна функционировать служба автоматического обновления.

Она существует для операционных систем:

• Microsoft Windows 2000 с пакетом обновления 3 или выше;
• Microsoft Windows XP Professional с пакетами обновления SP1 и SP2 или без них;
• семейство серверов Microsoft Windows Server 2003.

После синхронизации, сбора данных о требуемых для клиентских компьютеров обновлениях и их одобрения для установки (автоматического или ручного) начнется процесс загрузки необходимых файлов с узла Microsoft Update на сервер WSUS. Обновления помечаются характерными значками в зависимости от состояния загрузки. Первоначальная загрузка требуемых файлов обновлений может занять некоторое время в зависимости от настроек синхронизации и пропускной способности интернет-канала.

При выборе обновления в списке в нижней части страницы (вкладка «Подробности») появляется соответствующая дополнительная информация: название, описание, дата, класс, оценка критичности, и т. д. На вкладке «Состояние» приводится информация о текущем состоянии установки данного исправления на клиентские компьютеры. На вкладке «Редакции» выводится список всех версий данного обновления. Для изменения статуса одобрения необходимо щелкнуть по ссылке «Изменить одобрение» в левой верхней части страницы в разделе «Задачи обновлений».

В большинстве случаев установка и настройка службы WSUS достаточно понятна и не должна вызвать трудностей у технических специалистов.

Рекомендуется создать виртуальную тестовую лабораторию, в которой администратор может сначала одобрить обновления для тестовой группы компьютеров. Если проверка прошла успешно, администратор может развернуть обновления для реальной группы компьютеров. Можно расширить этот простой сценарий с учетом требований тестирования для организации. Например, можно создать несколько тестовых групп компьютеров, аналогичных реальным группам компьютеров, в которые включены компьютеры с различной конфигурацией.
Последняя версия WSUS 3.0 доступна по адресу: http://technet.microsoft.com/ru-ru/wsus/bb466189(en-us).aspx.

Итак, в итоге мы получаем:

1. Автоматически настроенные на получение и установку обновлений компьютеры в локальной сети.

2. Возможность автоматически или вручную одобрять или отклонять обновления для установки сразу после их выхода.

3. Возможность одним взглядом оценить состояние установки обновлений в локальной сети.

4. Возможность получить следующие отчеты:

• сводный отчет о состоянии обновлений;
• детальный отчет о состоянии обновлений;
• табличный отчет о состоянии обновлений;
• сводный отчет о состоянии компьютеров;
• детальный отчет о состоянии компьютеров;
• табличный отчет о состоянии компьютеров;
• отчет о результатах синхронизации.

5. Возможность определить разные правила обновления для разных групп компьютеров.

6. Возможность установить подчиненные серверы обновлений.

7. Огромную экономию интернет-трафика (обновления скачиваются только один раз, вне зависимости от числа компьютеров в сети и количества переустановок ОС).

Если у вас есть вопросы, уточнения или конструктивная критика — пишите на адрес в подписи.

Сергей Григорьев. ([email protected])

Новости партнеров: