WSUS服務部署

WSUS是WindowsWSUS ServerUpdate Services的簡稱，它在以前Windows UpdateServices的基礎上有了很大的改善。可以更新更多的Windows補丁，同時具有報告功能和導向性能，管理員還可以控制更新過程。

   WSUS是個微軟推出的網絡化的補丁分發方案，是免費的, 支持微軟公司的全部產品的更新。

   通過WSUS這個內部網絡中的Windows升級服務，所有Windows更新都集中下載到內部網的WSUS服務器中，而網絡中的客戶機通過WSUS服務器來得到更新。這在很大程度上節省了網絡資源，避免了外部網絡流量的浪費并且提高了內部網絡中計算機更新的效率。大大降低了計算機沒有及時更新補丁而受到***的可能性。

   部署WSUS之后，將由WSUS服務器直接從Microsoft Update下載最新的更新，而所有客戶端只需要從WSUS服務器獲得最新的更新即可，不需要訪問外部網絡中的Microsoft Update，從而大大節省了網絡帶寬，可以保證所有客戶端最短時間統一更新：如圖所示:

硬件安裝要求：

對于多達 500 個客戶端的服務器，建議使用以下硬件：

* 1 GHz 的處理器

* 2 GB 的 RAM

軟件安裝要求

 在Windows 2008R2安裝 WSUS，必須在計算機上安裝以下軟件。

* Microsoft Internet 信息服務 (IIS) 。

* Microsoft .NET Framework4.0。

*管理控制臺MMC3.0。

*Microsoft Report Viewer 2008。

    要安裝 WSUS，服務器上的文件系統必須滿足以下要求：

* 系統分區和安裝 WSUS 的分區都必須使用 NTFS 文件系統進行格式化。

* 系統分區至少需要 1 GB 的可用空間。

* WSUS 用于存儲內容的卷至少需要 6 GB 的可用空間，建議預留空間為 30 GB。

* WSUS 安裝程序用于安裝 Windows SQL Server 2000 Desktop Engine(WMSDE) 的卷至少需要 2 GB 的可用空間。

環境介紹

客戶服務器都處于工作組環境下，內網的服務器由Windows Server 2003R2和Windows Server 2008R2兩種，而Windows Server 2008R2自帶的WSUS3.0SP1已不再受支持，添加WSUS角色時總會報錯，如果一定要用Windows Server 2008R2需要去微軟下載WSUS3.0SP2完成WSUS服務器的搭建，所以WSUS服務器選擇使用Windows Server 2012R2進行搭建。

操作步驟

1.在公網環境搭建一臺WSUS服務器，以便下載補丁包（搭建過程略），搭建完成后設置更新文件和更新語言選項，語言選項是選擇下載那些語言版本的操作系統補丁，更新文件方式分為：

（1）只有在審更新后批后，才能將文件下載到此服務器。該選項是在審批允許下載前只下載補丁包的源數據而非補丁本身，優點是節省帶寬，缺點是只有審批后才會真正下載補丁包，微軟建議使用該選項，它也是默認選項。

（2）下載快速安裝文件。該選項是審批前直接將補丁包下載到本地，待審批通過后再進行安裝，它的優點是如果內網中的計算機已安裝過舊的補丁包，它只會安裝就補丁包與新補丁包之間差異的部分，緩解內網網絡負擔，缺點是對外網帶消耗大。

結合實際環境，此處選擇下載安裝文件，需要注意的是：后期在內網中WSUS服務器的更新文件和更新語言選項設置必須和此處的選項保持一致。而更新源和代理服務器、產品和分類、同步計劃設置可以不用考慮。

為方便下載，將自動審批選項設置為任何分類，然后開始進行補丁包下載。

2.下載完成后在指定的補丁存放路徑下找到WsusContent目錄，該目錄中存放的就是下載下來的補丁，可以使用各種備份軟件或Xcopy工具進行備份，然后到內網的WSUS服務器上進行恢復，注意不要更改該目錄下的層級結構，此處選擇最原始的方法直接復制一份。

3.只復制WsusContent目錄到內網的WSUS服務器上內網計算機依然無法正常下載補丁，還需要使用WSUS自帶的wsusutil工具將外網WSUS服務器上補丁包間的源數據導出，該工具位于C:Program FilesUpdate ServicesTools目錄下，該工具無法通過雙擊打開，在命令行模式下可以執行，命令格式為：

wsusutil.exe export packagename logfile #packagename為.cab格式，logfile為.log格式，packagename和logfile名稱必須完全一致

4.在內網搭建一個WSUS服務器，補丁包存放的位置設置建議和外網服務器保持一致，將復制的WsusContent目錄考到內網WSUS服務器上

5.再使用wsusutil工具導入外網WSUS服務器補丁包的源數據，此時內網WSUS服務器補丁就算更新完成，以后每次更新補丁時都需要更新源數據

6.打開IIS管理器，確認WSUS使用的端口號

7.在內網中找一臺計算機，將組策略中WSUS服務器地址指向設置為實際的地址，完成后運行gpupdate /force刷新組策略

8.打開這臺計算機的注冊表，將Windows update鍵值導出成為一個reg注冊表文件，發給內網中其他計算機，雙擊運行完成WSUS服務器的指向，至此操作完成

補充說明

1.內網中其他計算機運行完reg文件后，注冊表的鍵值完成修改，但組策略中依然顯示未設置，此時可以正常從WSUS服務器獲取補丁，推測組策略和注冊表不是存放在同一位置。

2.經過反復測試，內網中其他計算機運行注冊表文件后是可以找到WSUS服務器的，只是有時候執行完注冊表后立即可以進行更新，有時候出現錯誤后重啟下系統也可以恢復正常，有時候反復重啟、刷新組策略始終報這個錯誤，網上查了下這個錯誤說是網絡故障引起的，因為都是處于同一個網絡環境下，就很奇怪這個故障怎么解決，感覺這個故障的出現有很大的隨機性。

3.WSUS是通過計算機名來標識PC的，如果環境中存在2臺相同計算機名的PC，后向WSUS服務器報告的會被記錄在WSUS的所有計算機列表中，盡管這2臺PC都能從WSUS服務器獲取到補丁包。