Windows Server 2012 R2下補(bǔ)丁服務(wù)器部署與配置

一、WSUS 安裝要求

1、硬件要求：

對(duì)于多達(dá) 13000 個(gè)客戶端的服務(wù)器，建議使用以下硬件：
* 4 Core E5-2609 2.1GHz 的處理器
* 8 GB 的 RAM

2、軟件要求：

要使用默認(rèn)選項(xiàng)安裝 WSUS，必須在計(jì)算機(jī)上安裝以下軟件。

* Microsoft Internet 信息服務(wù) (IIS) 6.0。

* 用于Windows Server 2012 R2 的 Microsoft.NET Framework 1.1 Service Pack 1。

* Background Intelligent Transfer Service (BITS) 2.0。

3、磁盤要求：

要安裝 WSUS，服務(wù)器上的文件系統(tǒng)必須滿足以下要求：

* 系統(tǒng)分區(qū)和安裝 WSUS 的分區(qū)都必須使用 NTFS 文件系統(tǒng)進(jìn)行格式化。

* 系統(tǒng)分區(qū)至少需要 1 GB 的可用空間。

* WSUS 用于存儲(chǔ)內(nèi)容的卷至少需要 60 GB 的可用空間，建議預(yù)留空間為 40 GB。?

二、 環(huán)境描述

?    目前用于WSUS的服務(wù)器一臺(tái)，配置和功能如下：

WSUS 配置清單
操作系統(tǒng)版本：  Windows Server 2012 R2 Chs
ServerName： CNHZWS01
IP Address ：192.168.1.12
Mask    255.255.255.0
GateWay    192.168.1.1
DNS Server    192.168.1.10    192.168.1.11
系統(tǒng)盤（C）大小    1TB
PageFile位置以及大小    你們按照常規(guī)定義
備注：
所在域名名稱：vancen.com

三、 安裝服務(wù)器角色

首先，我們檢查第一臺(tái)已經(jīng)安裝Windows Server 2012 R2的服務(wù)網(wǎng)絡(luò)的相關(guān)配置，確保服務(wù)器IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)的參數(shù)如下操作如下

步驟 1： 配置修改服務(wù)器的IP和DNS地址

步驟 2：修改WSUS服務(wù)器名，并將服務(wù)加入至VANCEN域

步驟 3：輸入加域權(quán)限的用戶名和密碼將服務(wù)器加入VANCEN域

步驟 4：提示服務(wù)器成功加入VANCEN域

 
步驟 5：立即重動(dòng)服務(wù)器讓應(yīng)用生效
 
步驟 6：使用本地 Administrators 組成員的帳戶登錄到你計(jì)劃安裝 WSUS 服務(wù)器角色的服務(wù)器。在“服務(wù)器管理器”中，單擊“儀表板”，然后單擊“添加角色和功能”

步驟 7：在“開(kāi)始之前”頁(yè)面上，單擊“下一步”
 

步驟 8：在“選擇安裝類型”頁(yè)上，確認(rèn)已選擇“基于角色或基于功能的安裝”選項(xiàng)，然后單擊“下一步”
 

步驟 9：在“選擇目標(biāo)服務(wù)器”頁(yè)上，選擇服務(wù)器所在的位置（從服務(wù)器池或虛擬硬盤中）。選擇位置后，選擇你想安裝 WSUS 服務(wù)器角色的服務(wù)器，然后單擊“下一步”
 
步驟 10：服務(wù)器選擇這里選擇默認(rèn)的，假如你需要針對(duì)其它主機(jī)安裝“windows server更新服務(wù)”角色，這里可以選擇你需要的主機(jī)，點(diǎn)擊“下一步”這里勾選“windows server 更新服務(wù)”
 
步驟 11： 當(dāng)勾選這個(gè)選項(xiàng)時(shí)，會(huì)彈出如下對(duì)話框，點(diǎn)“添加功能”。
 

步驟12：在“選擇功能”頁(yè)上，保留默認(rèn)選擇，然后單擊“下一步”
 
重要事項(xiàng)
WSUS 僅需要默認(rèn)的 Web Server 角色配置。如果你在設(shè)置 WSUS 時(shí)收到有關(guān)額外 Web Server 角色配置的提示，你可安全接受默認(rèn)值并繼續(xù)設(shè)置 WSUS。
步驟 13：在“Windows Server Update Services”頁(yè)上，單擊“下一步”
 
步驟 14：在“選擇角色服務(wù)”頁(yè)上，保留默認(rèn)選擇，然后單擊“下一步”
 
步驟 15：在“內(nèi)容位置選擇”頁(yè)上，鍵入有效的位置以存儲(chǔ)更新，然后單擊“下一步”
 
存儲(chǔ)更新的位置可以是WSUS的本地路徑，也可以放到UNC共享里面。

步驟 16：查看web服務(wù)器角色I(xiàn)IS的配之配置，我們這里保持默認(rèn)即可，直接點(diǎn)擊下一步

步驟17：確認(rèn)你要安裝的所有內(nèi)容。確認(rèn)無(wú)誤后點(diǎn)擊“下一步”

步驟18：在“安裝進(jìn)度”頁(yè)上，單擊“啟動(dòng)后安裝任務(wù)”，并等到此任務(wù)順利完成，然后單擊“關(guān)閉”
 
在服務(wù)器管理器中，驗(yàn)證是否出現(xiàn)提醒你需要重新啟動(dòng)的通知。根據(jù)安裝的服務(wù)器角色，這可能有所變化。如果需要重新啟動(dòng)，請(qǐng)務(wù)必重新啟動(dòng)服務(wù)器以完成安裝。
步驟19： 啟動(dòng)安裝后的任務(wù)

四、使用配置向?qū)?/h2>

安裝完成一級(jí)WSUS服務(wù)器角色之后，第一次使用WSUS的時(shí)候會(huì)進(jìn)入WSUS的配置向?qū)?，?duì)WSUS做一個(gè)基本的設(shè)置。當(dāng)然這個(gè)配置向?qū)羌稍赪SUS里面的，可以在任何時(shí)間使用配置向?qū)?duì)WSUS進(jìn)行配置。
步驟1：在“服務(wù)器管理器”導(dǎo)航窗格中，單擊“儀表板”，單擊“工具”，然后單擊“Windows Server Update Services”。
 
步驟2：Windows Server Update Services 向?qū)С霈F(xiàn)在“開(kāi)始之前”頁(yè)上，單擊“下一步”。
 
步驟3：閱讀“加入 Microsoft 更新改善計(jì)劃”頁(yè)上的說(shuō)明，評(píng)估你是否想?yún)⑴c其中。如果要參與該計(jì)劃，請(qǐng)單擊“下一步”繼續(xù)。
 
在“選擇上游服務(wù)器”頁(yè)上，你可選擇將更新與 Microsoft 更新或其他 WSUS 服務(wù)器同步。
?    如果你選擇從其他 WSUS 服務(wù)器同步，請(qǐng)指定服務(wù)器名稱以及該服務(wù)器與上游服務(wù)器通信時(shí)所在的端口。
?    若要使用 SSL，請(qǐng)選中“同步更新信息時(shí)使用 SSL”復(fù)選框。服務(wù)器將使用端口 443 進(jìn)行同步。（確保該服務(wù)器和上游服務(wù)器支持 SSL）。
?    如果這是副本服務(wù)器，請(qǐng)選擇“這是上游服務(wù)器的副本”復(fù)選框。
步驟4：為你的部署選擇適當(dāng)選項(xiàng)后，單擊“下一步”繼續(xù)。
?
因?yàn)槟壳安渴鸬氖且患?jí)WSUS服務(wù)器，所以我選擇直接從microsoft進(jìn)行同步。
在“指定代理服務(wù)器”頁(yè)上，選中“同步時(shí)使用代理服務(wù)器”復(fù)選框，然后在對(duì)應(yīng)的框中鍵入代理服務(wù)器名稱和端口號(hào)（默認(rèn)是端口 80）。
重要事項(xiàng)
如果你確定 WSUS 需要代理服務(wù)器才能訪問(wèn) Internet，則必須完成上一步驟。
如果你希望通過(guò)使用特定用戶憑據(jù)來(lái)連接代理服務(wù)器，請(qǐng)選擇“使用用戶憑據(jù)連接代理服務(wù)器”復(fù)選框，然后在對(duì)應(yīng)的框中鍵入用戶名稱、域和用戶密碼。如果你希望啟用已連接代理服務(wù)器的用戶的基本身份驗(yàn)證，請(qǐng)選擇“允許基本身份驗(yàn)證（以明文形式發(fā)送密碼）”對(duì)話框。
步驟5：此時(shí)，你完成了代理服務(wù)器配置。單擊“下一步”轉(zhuǎn)到下一頁(yè)，這時(shí)你可以開(kāi)始設(shè)置同步進(jìn)程。

步驟6：在“連接到上游服務(wù)器”頁(yè)上，單擊“開(kāi)始連接”。

步驟7：連接它時(shí)，然后單擊“下一步”繼續(xù)。
這里要求必須有internet鏈接。
 

在“選擇語(yǔ)言”頁(yè)上，你可選擇 WSUS 將收到更新的語(yǔ)言 — 所有語(yǔ)言或語(yǔ)言子集。選擇語(yǔ)言子集將節(jié)省磁盤空間，但必須選擇此 WSUS 服務(wù)器的所有客戶端需要的所有語(yǔ)言。如果你選擇僅獲得特定語(yǔ)言的更新，請(qǐng)選擇“僅下載這些語(yǔ)言的更新”，然后選擇你希望獲得更新的語(yǔ)言；否則保留默認(rèn)選擇。
步驟8：為你的部署選擇適當(dāng)語(yǔ)言后，單擊“下一步”繼續(xù)。
中國(guó)大陸一般選擇英文和簡(jiǎn)體中文。
 
如果你選擇“僅下載這些語(yǔ)言的更新”選項(xiàng)，且該服務(wù)器具有與其連接的下游 WSUS 服務(wù)器，該選項(xiàng)將強(qiáng)制下游服務(wù)器也僅使用所選的語(yǔ)言。
步驟9：“選擇產(chǎn)品”頁(yè)允許你指定希望更新的產(chǎn)品。選擇產(chǎn)品類別（如 Windows）或特定產(chǎn)品（如 Windows Server 2008）。選擇產(chǎn)品類別將選擇該類別的所有產(chǎn)品。
 
步驟10：為你的部署選擇適當(dāng)?shù)漠a(chǎn)品選項(xiàng)后，單擊“下一步”繼續(xù)。
在“選擇類別”頁(yè)上，選擇要包含的更新類別。選擇所有類別或其子集，然后單擊“下一步”繼續(xù)。
 
步驟11：為你的部署選擇適當(dāng)?shù)漠a(chǎn)品選項(xiàng)后，單擊“下一步”繼續(xù)。
 

在“設(shè)置同步計(jì)劃”頁(yè)上，選擇手動(dòng)或自動(dòng)執(zhí)行同步。
?    如果你選擇“手動(dòng)同步”，你必須通過(guò) WSUS 管理控制臺(tái)啟動(dòng)同步過(guò)程。
?    如果你選擇“自動(dòng)同步”，WSUS 服務(wù)器將每隔一段時(shí)間執(zhí)行同步。
設(shè)置“第一次同步”的時(shí)間，并制定你希望該服務(wù)器執(zhí)行的“每天同步”次數(shù)。例如，如果你指定每天同步四次，從上午 3:00 開(kāi)始，則同步將在上午 3:00、上午 9:00、下午 3:00 和下午 9:00 發(fā)生。
步驟12：在“完成”頁(yè)上，你可通過(guò)選擇“開(kāi)始初始同步”對(duì)話框，即時(shí)啟動(dòng)同步。如果你不選擇此選項(xiàng)，你必須使用 WSUS 管理控制臺(tái)來(lái)執(zhí)行初始同步。如果你希望閱讀有關(guān)其他設(shè)置的詳細(xì)信息，請(qǐng)單擊“下一步”，或單擊“完成”來(lái)結(jié)束該向?qū)Р⑼瓿沙跏?WSUS 設(shè)置。
 
步驟13：在單擊“完成”后，WSUS 管理控制臺(tái)會(huì)出現(xiàn)。

步驟14：點(diǎn)擊同步視圖，查看同步過(guò)程如圖所示。
 
步驟15：同步完成后，如圖所示。
 
使用WSUS的配置向?qū)нM(jìn)行初始配置之后，下面我們將利用WSUS控制臺(tái)對(duì)WSUS服務(wù)器進(jìn)行進(jìn)一步的配置工作。

五、組策略配置自動(dòng)更新
在default domain policy做一個(gè)影響全域計(jì)算機(jī)的自動(dòng)更新策略。
步驟1：在組策略管理控制臺(tái) (GPMC) 中，瀏覽到默認(rèn)的default domain policy的 GPO，然后單擊“編輯”。
 
步驟2：在 GPMC 中，依次展開(kāi)“計(jì)算機(jī)配置”—>“策略”—>“管理模板”—>“Windows 組件”—>“Windows 更新”。
 
步驟3：在詳細(xì)信息窗格中，雙擊“配置自動(dòng)更新”。這里我選擇3-自動(dòng)下載并通知安裝，然后單擊“確定”。

單擊“已啟用”，然后單擊“配置自動(dòng)更新”設(shè)置下的以下選項(xiàng)之一：

?    下載通知和安裝通知。該選項(xiàng)會(huì)在你下載和安裝更新之前通知登錄的管理用戶。

?    自動(dòng)下載和通知安裝。該選項(xiàng)將自動(dòng)開(kāi)始下載更新，然后在安裝更新之前通知登錄的管理用戶。

?    自動(dòng)下載和計(jì)劃安裝。該選項(xiàng)自動(dòng)開(kāi)始下載更新，然后在你指定的當(dāng)天和時(shí)間安裝更新。

?    允許本地管理員選擇設(shè)置。該選項(xiàng)可讓本地管理員使用控制面板中的自動(dòng)更新來(lái)選擇配置選項(xiàng)。例如，他們可以選擇計(jì)劃的安裝時(shí)間。本地管理員不能僅用自動(dòng)更新。

步驟4：在 Windows Update 詳細(xì)信息窗格中，雙擊“指定 Intranet Microsoft 更新服務(wù)位置”。

步驟5：?jiǎn)螕簟耙褑⒂谩?，然后在“設(shè)置 Intranet 更新服務(wù)以檢測(cè)更新”框和“設(shè)置 Intranet 統(tǒng)計(jì)服務(wù)器”框中鍵入相同 WSUS 服務(wù)器的 URL例如，在這兩個(gè)框中（其中服務(wù)器名稱是 WSUS 服務(wù)器的名稱），鍵入 http://servername，然后單擊“確定”。

步驟6：當(dāng)你鍵入 WSUS 服務(wù)器的 Intranet 地址時(shí)，確保指定準(zhǔn)備使用哪個(gè)端口。默認(rèn)情況下，WSUS 使用適用于 HTTP 的端口 8530 以及適用于 HTTPS 的端口 8531。例如，如果使用 HTTP，則應(yīng)鍵入 http://servername:8530。
可以設(shè)置“自動(dòng)更新檢測(cè)的頻率”，默認(rèn)是22小時(shí)，我們可以根據(jù)實(shí)際的需要來(lái)調(diào)整間隔。如圖。

 
步驟7：可以啟用“對(duì)于已登錄用戶的計(jì)算機(jī)，計(jì)劃的自動(dòng)更新安裝不執(zhí)行重新啟動(dòng)”，這樣的話，當(dāng)計(jì)算機(jī)存在已登錄的用戶的時(shí)候，裝完更新是否重啟取決于用戶的行為，計(jì)算機(jī)不會(huì)強(qiáng)制重啟，如圖。

步驟8：對(duì)于某些不會(huì)中斷windows服務(wù)，也不會(huì)需要重啟服務(wù)器才生效的更新，我們可以配置啟用“允許自動(dòng)更新立即安裝”，如圖。
 

全域級(jí)別的組策略設(shè)置完成后，我們還可以針對(duì)測(cè)試組合生產(chǎn)組來(lái)配置不同的自動(dòng)更新策略。
下面我們來(lái)為測(cè)試服務(wù)器組配置一個(gè)自定義的GPO，該GPO的優(yōu)先級(jí)會(huì)高于默認(rèn)的域組策略，所以該GPO所鏈接到的計(jì)算機(jī)OU內(nèi)的計(jì)算機(jī)客戶端都會(huì)優(yōu)先應(yīng)用該策略。
步驟9：右擊“測(cè)試服務(wù)器組”計(jì)算機(jī)OU，選擇“在這個(gè)域中創(chuàng)建GPO并在此處鏈接”，如圖。

步驟10：輸入新建的GPO的名稱，如圖。

步驟11：然后我們右擊新建的GPO，選擇編輯，如圖。
 
然后我們就可以為該GPO設(shè)置不同的自動(dòng)更新策略了，所有鏈接到這個(gè)策略的計(jì)算機(jī)OU都會(huì)應(yīng)用該策略。
一般來(lái)說(shuō)：測(cè)試環(huán)境的服務(wù)器和客戶端我們可以配置自動(dòng)下載通知安裝或者自動(dòng)下載計(jì)劃安裝，對(duì)于生產(chǎn)環(huán)境的客戶機(jī)我們可以設(shè)置自動(dòng)下載并計(jì)劃安裝，對(duì)于生產(chǎn)服務(wù)器組，如果需要手動(dòng)控制打補(bǔ)丁的行為和重啟時(shí)間，我們可以配置自動(dòng)下載并通知安裝，具體要看需求。

步驟12：下圖是我為生產(chǎn)客戶端計(jì)算機(jī)組設(shè)置的自動(dòng)下載并計(jì)劃安裝的策略。

設(shè)置策略之后，客戶端計(jì)算機(jī)幾分鐘后，計(jì)算機(jī)將出現(xiàn)在 WSUS 管理控制臺(tái)中的“計(jì)算機(jī)”頁(yè)上。對(duì)于配有基于域的組策略對(duì)象的客戶端計(jì)算機(jī)，組策略將花費(fèi)大約 20 分鐘才能將新的策略設(shè)置應(yīng)用于客戶端計(jì)算機(jī)。默認(rèn)情況下，組策略會(huì)在后臺(tái)每隔 90 分鐘更新一次，并將時(shí)間作 0 到 30 分鐘的隨機(jī)調(diào)整。如果你希望更快地更新組策略，可在客戶端計(jì)算機(jī)上打開(kāi)“命令提示符”窗口，并鍵入 gpupdate /force。

六、WSUS查看狀態(tài)報(bào)告
默認(rèn)情況下，在WSUS控制臺(tái)中是無(wú)法查看狀態(tài)報(bào)告的，如果想正常的查看狀態(tài)報(bào)告，需要一些插件和功能的支持，下面就來(lái)看整個(gè)實(shí)現(xiàn)的過(guò)程。
步驟1：首先我們隨意右擊一臺(tái)客戶端，選擇“狀態(tài)報(bào)告”，如圖。

步驟2：系統(tǒng)會(huì)提示我們，此功能需要使用microsoft report viewer 2008可再分發(fā)組件，如圖。

步驟3：我們可以點(diǎn)擊上圖中的鏈接，打開(kāi)microsoft的網(wǎng)站進(jìn)行下載，如圖。

步驟4：然后我們來(lái)安裝這個(gè)組件，如圖。

步驟5：安裝的過(guò)程中，提示我們需要.net framework的支持，如圖。

步驟6：我們先暫停安裝，回到添加角色和功能，把.netframework 3.5.1的功能裝上，如圖所示。

步驟7：然后我們繼續(xù)完成組件的安裝，如圖。

步驟8：以上安裝完成后，可以順利打開(kāi)狀態(tài)報(bào)告功能，如圖。

七、WSUS常用控制臺(tái)選項(xiàng)配置

1、在WSUS控制臺(tái)中，默認(rèn)提供了很多選項(xiàng)，這些選項(xiàng)為我們更好的管理和使用WSUS提供了很好的途徑。首先，來(lái)看看“計(jì)算機(jī)清理向?qū)А保话阄覀兛梢悦總€(gè)月運(yùn)行一次計(jì)算機(jī)清理向?qū)?，?lái)清理不需要的更新，釋放磁盤空間等等，具體清理向?qū)Т蜷_(kāi)的方式如下。
打開(kāi)之后可以做的清理操作如下。我們可以默認(rèn)全部選擇，也可以根據(jù)需要進(jìn)行自定義的選擇。如果公司的環(huán)境中計(jì)算機(jī)的數(shù)目比較多，這個(gè)清理向?qū)н€是很有用處的。
 
2、另外一個(gè)功能就是我們可以配置電子郵件通知。選擇“選項(xiàng)”，“電子郵件通知”。
在電子郵件通知的常規(guī)選項(xiàng)卡，我們做如下圖的設(shè)置。

可以看到可以通過(guò)WSUS發(fā)送新更新和狀態(tài)報(bào)告的通知?？梢耘渲枚鄠€(gè)收件人，配置同步頻率和時(shí)間信息。

在電子郵件服務(wù)器選項(xiàng)卡，可以配置接收通知的電子郵件服務(wù)器信息，發(fā)件人信息，SMTP驗(yàn)證信息。

點(diǎn)擊上圖的“測(cè)試”，系統(tǒng)提示我們?cè)跍y(cè)試之前將其保存，選擇“是”。

正在發(fā)送測(cè)試電子郵件，如圖。

我們現(xiàn)在打開(kāi)QQ郵箱的收件箱，可以看到剛才發(fā)送的測(cè)試郵件。
 

補(bǔ)丁服務(wù)器部署與配置結(jié)束完成。