什么是ＷＳＵＳ？有什么特性？ Windows 更新服務(wù)器（WSUS），SUS的繼任者。此次升級(jí)后可以提供網(wǎng)絡(luò)管理必需的報(bào)告功能，而且可以更新 Office XP/2003，Exchange 2003 和
SQL 2000。最重要的是增加了客戶端的發(fā)現(xiàn)和監(jiān)控功能。
同SUS一樣屬于免費(fèi)軟件，申請(qǐng)下載地址：http://www.microsoft.com/windows
serversystem/updateservices/evaluation/trial/default.mspx]
安裝前的要求 １． 硬件（根據(jù)用戶量增加配置）
1 GHz以上的處理器，1 GB 以上的 RAM
系統(tǒng)分區(qū)和安裝 WSUS 的分區(qū)都必須使用 NTFS 格式
系統(tǒng)分區(qū)至少需要 1 GB 的可用空間
WSUS 用于存儲(chǔ)內(nèi)容的卷至少需要 6 GB 的可用空間，建議預(yù)留空間為 30 GB
如果用于安裝 Windows SQL Server 2000 Desktop Engine (WMSDE)，需要 2 GB 的可用空間
２． 軟件
推薦操作平臺(tái)：Windows 2003 Server
Internet 信息服務(wù)(IIS)
用于后臺(tái)智能傳輸服務(wù) (BITS) 2.0 和 WinHTTP 5.1 Windows Server 2003 的更新程序（http://go.microsoft.com/fwlink/?LinkId=47251）
Microsoft .NET Framework 1.1 Service Pack 1
安裝最新版本的 WSUS 之前，如果原系統(tǒng)上存在早期版本必須卸載
WSUS 要求在 SQL Server 中打開(kāi)嵌套觸發(fā)器選項(xiàng)，在SQL Server中操作如下
（1）查看嵌套觸發(fā)器是否已打開(kāi)（sp_configure 'nested triggers'）
（2）打開(kāi)嵌套觸發(fā)器選項(xiàng)：
sp_configure 'nested triggers', 1
GO
RECONFIGURE
GO
建議您不要在運(yùn)行終端服務(wù)的服務(wù)器上安裝 WSUS
３． 網(wǎng)絡(luò)環(huán)境
WSUS服務(wù)器使用80 和443端口下載更新，所以防火墻要有針對(duì)性地開(kāi)啟端口。
可支持的部署方案 １． 單個(gè) ＷＳＵＳ 服務(wù)器（小型或簡(jiǎn)單網(wǎng)絡(luò)）
在小型或簡(jiǎn)單網(wǎng)絡(luò)方案中，根據(jù)計(jì)劃發(fā)布，管理員可以在企業(yè)防火墻內(nèi)設(shè)置運(yùn)行 WSUS的服務(wù)器，這樣可以直接從外部的公共 Windows Update 站點(diǎn)同步內(nèi)容，并將更新分發(fā)到客戶端計(jì)算機(jī)，如圖1所示。
２． 多個(gè)獨(dú)立的 ＷＳＵＳ 服務(wù)器
在此計(jì)劃方案中，管理員可以部署多個(gè)配置好的服務(wù)器，這樣每個(gè)服務(wù)器可以單獨(dú)管理，并且每個(gè)服務(wù)器可以將其內(nèi)容與 Windows Update 同步，如圖2所示。
此方案中的部署方法適用于將不同的局域網(wǎng)（LAN）或廣域網(wǎng)（WAN）的網(wǎng)段作為獨(dú)立實(shí)體（如分支機(jī)構(gòu)辦公室）進(jìn)行管理的情況。也適用于當(dāng)一個(gè)運(yùn)行 WSUS 的服務(wù)器配置為僅對(duì)運(yùn)行某一定操作系統(tǒng)（如 Windows 2000）的客戶端部署更新而另一個(gè)服務(wù)器配置為僅對(duì)運(yùn)行其他操作系統(tǒng)（如 Windows XP）的客戶端部署更新的情況。在這些情況下，兩個(gè)服務(wù)器無(wú)須同步內(nèi)容。
３． 多個(gè)內(nèi)部同步 ＷＳＵＳ 服務(wù)器
管理員可以部署多個(gè)運(yùn)行 WSUS 的服務(wù)器，其中這些服務(wù)器在組織的 Intranet 內(nèi)同步所有內(nèi)容。在這種情況下，一個(gè)服務(wù)器設(shè)置為父服務(wù)器或上游服務(wù)器，然后其他服務(wù)器將同步其上的來(lái)源。附加運(yùn)行 WSUS 的服務(wù)器、子服務(wù)器或下游服務(wù)器，從上游服務(wù)器同步內(nèi)容的服務(wù)器。子服務(wù)器可以執(zhí)行手動(dòng)或自動(dòng)同步，同步包括更新以及批準(zhǔn)更新的列表，或只有更新而無(wú)列表。如果適用，可以在地理上分散的網(wǎng)絡(luò)中定位服務(wù)器，以提供對(duì)所有客戶端的最佳連接，如圖3所示。
４． 斷開(kāi)連接的 ＷＳＵＳ 服務(wù)器
如果網(wǎng)絡(luò)的、基于 Windows 的計(jì)算機(jī)沒(méi)有連接到 Internet，在此計(jì)劃方案中，管理員可以設(shè)置運(yùn)行 WSUS 的內(nèi)部服務(wù)器，如下圖所示。在此示例中，創(chuàng)建了一個(gè)與 Internet 相連但與 Intranet 隔離的服務(wù)器。當(dāng)在此服務(wù)器上完成下載、測(cè)試和審批后，管理員在 Intranet 內(nèi)向運(yùn)行 WSUS 的服務(wù)器以及向分發(fā)點(diǎn)手動(dòng)發(fā)送媒體，如圖4所示。
安裝過(guò)程 利用下載的WSUSSetup.exe進(jìn)行安裝，一路“下一步”直到選擇“本地存儲(chǔ)路徑”，指定磁盤(pán)，這里的磁盤(pán)必須大于6GB，如圖5所示。
在“數(shù)據(jù)庫(kù)選項(xiàng)”頁(yè)上，選擇用于管理 WSUS 數(shù)據(jù)庫(kù)的軟件。默認(rèn)情況下，如果要安裝的計(jì)算機(jī)運(yùn)行 Windows Server 2003，WSUS 安裝程序?qū)⑻岢霭惭b WMSDE。
如果Windows2000系統(tǒng)中無(wú)法使用 WMSDE，則必須為 WSUS 提供可以使用的 SQL Server 實(shí)例，具體操作方法是：?jiǎn)螕簟笆褂迷撚?jì)算機(jī)上現(xiàn)有的數(shù)據(jù)庫(kù)服務(wù)器”，然后在“選擇 SQL 實(shí)例名”框中鍵入實(shí)例名，如圖6所示。
在“網(wǎng)站選擇”頁(yè)上，指定 WSUS 將使用的網(wǎng)站，或者使用另外的端口。此時(shí)要記住管理界面的訪問(wèn)地址http://servername/WSUSAdmin ，如圖7所示。
WSUS提供進(jìn)行鏡像更新服務(wù)，可以從內(nèi)部的其他WSUS服務(wù)器更新數(shù)據(jù)，如果是第一臺(tái)服務(wù)器可以跳過(guò)“鏡像更新設(shè)置”，如圖8所示。單擊下一步，復(fù)查安裝列表后進(jìn)入自動(dòng)配置過(guò)程。安全完畢后可以自動(dòng)啟動(dòng)管理工具，此處略過(guò)。
管理方法 WSUS的用戶界面和SUS有很大的不同。WSUS使用屏幕右上角的幾個(gè)大按鈕作為導(dǎo)航欄?！爸黜?yè)”頁(yè)面顯示了WSUS的活動(dòng)情況等綜合信息，如圖9所示。
按照一般操作和使用的流程，我將需要管理和配置的選項(xiàng)分別列出，大致分為：
內(nèi)容１：設(shè)置同步選項(xiàng)
點(diǎn)擊右上角的“選項(xiàng)”圖標(biāo)，繼續(xù)選擇“同步選項(xiàng)”，可以從左側(cè)面板中進(jìn)行“立即同步”和“保存設(shè)置的操作，同時(shí)可以看到“同步狀態(tài)”等。根據(jù)需求在右側(cè)面板中進(jìn)一步配置，如圖10所示。
自動(dòng)更新時(shí)間上要考慮到對(duì)企業(yè)網(wǎng)絡(luò)帶寬的影響，盡量避免高峰期?！爱a(chǎn)品分類(lèi)”中可以選擇需要提供服務(wù)的操作系統(tǒng)的版本，一般這里不作更改。在“更新分類(lèi)”中默認(rèn)只有“安全更新和關(guān)鍵更新”兩類(lèi)，我推薦你在這里仔細(xì)考慮增加的更新分類(lèi)，在一般的情況下需要添加“Service Pack”和“更新匯總”兩項(xiàng)內(nèi)容，如圖11所示。
根據(jù)網(wǎng)絡(luò)情況、客戶端操作系統(tǒng)的語(yǔ)言種類(lèi)，需要對(duì)“代理服務(wù)器”、“更新源”、“語(yǔ)言”進(jìn)行配置。檢查無(wú)誤后，點(diǎn)擊“保存設(shè)置”，如果此時(shí)你已經(jīng)迫不及待地想嘗試其他的選型，可以選擇“立即同步”，然后進(jìn)行其他的配置調(diào)試。
內(nèi)容２：調(diào)整“自動(dòng)批準(zhǔn)”
點(diǎn)擊右上角的“選項(xiàng)”圖標(biāo)，選擇“自動(dòng)批準(zhǔn)選項(xiàng)”。進(jìn)入界面后，可以看到有4個(gè)內(nèi)容允許我們調(diào)整。首先是需要定義客戶端到WSUS Server后進(jìn)行檢測(cè)更新的內(nèi)容，在“批準(zhǔn)進(jìn)行檢測(cè)”欄目下選擇“添加/刪除分類(lèi)”，根據(jù)需求更改，比如增加“Service Pack”等。 下面的“計(jì)算機(jī)組”的設(shè)置可以選擇默認(rèn)就OK了，畢竟我們對(duì)所有的客戶端都要進(jìn)行自動(dòng)的檢測(cè)，關(guān)于如何進(jìn)行計(jì)算機(jī)分組的知識(shí)，下面還會(huì)有介紹。
“批準(zhǔn)進(jìn)行安裝”，這一步馬虎不得。如果你的網(wǎng)絡(luò)是慢速連接的話，在這里默認(rèn)就可以了，千萬(wàn)不要把“Service Pack”選中，不然動(dòng)輒百兆的補(bǔ)丁集成包在慢速連接的環(huán)境中部署，客戶端的投訴電話就能把管理員煩死了。
在這里還有兩點(diǎn)要注意：一、對(duì)于補(bǔ)丁安裝前一定要建立一個(gè)“測(cè)試組”，模擬現(xiàn)在網(wǎng)絡(luò)的所有應(yīng)用，一般找一臺(tái)配置較高的PC就可以了，然后啟動(dòng)幾個(gè)VMWare（虛擬機(jī)）進(jìn)行測(cè)試；二、如果安裝規(guī)則和檢測(cè)規(guī)則出現(xiàn)沖突，將使用安裝規(guī)則。后面的“更新的修訂”與“WSUS更新”默認(rèn)就可以了，完成后保存設(shè)置，如圖12所示。
內(nèi)容３：計(jì)算機(jī)分組
返回上一層，點(diǎn)擊“計(jì)算機(jī)選項(xiàng)”。提示：服務(wù)器發(fā)現(xiàn)客戶端的過(guò)程是一個(gè)緩慢的過(guò)程，并且沒(méi)有設(shè)置過(guò)的計(jì)算機(jī)都會(huì)自動(dòng)分到“未指定的計(jì)算機(jī)”組。如果你的網(wǎng)絡(luò)屬于“域”管理模型，可以選擇使用包含“組策略”的選項(xiàng)；如果是松散的管理模型或者大型的網(wǎng)絡(luò)結(jié)構(gòu)，采用“移動(dòng)計(jì)算機(jī)”的方法來(lái)進(jìn)行管理就可以了。當(dāng)然，二者都有利弊，希望在WSUS的下一個(gè)版本中在此處會(huì)有更詳細(xì)的配置信息。
下面我們就應(yīng)該分析如何對(duì)客戶端計(jì)算機(jī)分組了，點(diǎn)擊右上角的“計(jì)算機(jī)”圖標(biāo)。出現(xiàn)界面后我們可以看到左側(cè)分為三個(gè)選項(xiàng)，顧名思義，我這里就不再贅述它們的功能了。主要是如何分組的問(wèn)題？根據(jù)經(jīng)驗(yàn)，在增加測(cè)試組的以后，我們可以按照地理位置，單位名稱(chēng)，應(yīng)用功能等進(jìn)行分類(lèi)。
提示：首次將某臺(tái)計(jì)算機(jī)分配到某個(gè)目標(biāo)組時(shí)，將使用目標(biāo)組的信息來(lái)修改該計(jì)算機(jī)上的數(shù)據(jù)。數(shù)據(jù)將定期刷新或每小時(shí)刷新一次。因此，當(dāng)計(jì)算機(jī)從一個(gè)計(jì)算機(jī)組移動(dòng)到另一個(gè)計(jì)算機(jī)組時(shí)，這些信息可能最多需要一小時(shí)才能在客戶端上刷新并在 ＷＳＵＳ 管理控制臺(tái)中按照更改后的樣子顯示。
內(nèi)容４：批準(zhǔn)和部署更新
1. 在 WSUS 控制臺(tái)工具欄上，單擊“更新”。默認(rèn)情況下將對(duì)更新列表進(jìn)行篩選，從而只顯示那些批準(zhǔn)在客戶端計(jì)算機(jī)上進(jìn)行檢測(cè)的關(guān)鍵更新和安全更新。測(cè)試時(shí)我們使用默認(rèn)篩選條件，當(dāng)然也可以針對(duì)“產(chǎn)品和分類(lèi)”、“批準(zhǔn)的選項(xiàng)”、“同步的時(shí)間”等方面進(jìn)行篩選。
2. 在更新列表上，選擇要批準(zhǔn)安裝的更新。有關(guān)選定更新的信息將顯示在“詳細(xì)信息”選項(xiàng)卡上（“Shift 鍵”配合選擇多個(gè)連續(xù)的更新，“Ctrl 鍵”選擇多個(gè)不連續(xù)的更新）。
3. 在“更新任務(wù)”下，單擊“更改批準(zhǔn)”。屏幕上將出現(xiàn)“批準(zhǔn)更新”對(duì)話框。
4. 在“選定更新的組批準(zhǔn)設(shè)置”列表中，針對(duì)不同的組可以設(shè)置不同的批準(zhǔn)策略。比如：?jiǎn)螕魷y(cè)試組“批準(zhǔn)”列中列表內(nèi)的“安裝”，然后單擊“確定”， 如圖13所示。
內(nèi)容５：狀態(tài)分析
在以前的SUS中，除了利用第三方的工具外，對(duì)于客戶端部署和更新的情況可以說(shuō)是一無(wú)所知。WSUS最大的改進(jìn)之一就是強(qiáng)化了管理功能，在報(bào)告中分成4個(gè)部分，圖10詳細(xì)說(shuō)明了服務(wù)器和客戶端的運(yùn)行與更新?tīng)顟B(tài)。通過(guò)在 WSUS 控制臺(tái)工具欄上，單擊“報(bào)告”，就能讓管理員對(duì)更新?tīng)顩r做到心中有數(shù)。
１． 更新的狀態(tài)
在“報(bào)告”頁(yè)上，如圖14所示。單擊“更新的狀態(tài)”，對(duì)更新列表進(jìn)行篩選。比如在“查看”下選擇“所有計(jì)算機(jī)組”為范圍條件，“需要”為檢索條件，然后單擊“應(yīng)用”。通過(guò)這樣的操作就能夠了解到那些關(guān)鍵更新還沒(méi)有部署到客戶端，進(jìn)而部署更新的工作。
２． 計(jì)算機(jī)的狀態(tài)
可以非常詳細(xì)的針對(duì)網(wǎng)絡(luò)中某個(gè)計(jì)算機(jī)組，或者計(jì)算機(jī)查詢(xún)對(duì)應(yīng)的情況，由于操作同上面大致相同，這里略過(guò)操作步驟。
３． “同步操作”與“設(shè)置摘要”
通過(guò)查看報(bào)告中“同步操作”的內(nèi)容查看是同步的時(shí)間、摘要，以及是否出現(xiàn)下載錯(cuò)誤等；而通過(guò)“設(shè)置摘要”可以查看對(duì)WSUS每個(gè)配置選項(xiàng)的配置清單。以上4個(gè)報(bào)告都支持打印功能，這些都為“實(shí)施文檔”的管理作了非常詳細(xì)的準(zhǔn)備，由此可以看出微軟對(duì)于免費(fèi)的安全產(chǎn)品的重視程度已經(jīng)有了重大的改變。
客戶端部署詳解 客戶端軟件的基本要求和SUS相同，Windows 2000 需要Service Pack 3以上、Windows XP 需要Service Pack 1以上、Windows Server 2003默認(rèn)即可。
１． 利用本地策略
如果是工作組管理模式就比較麻煩，在客戶端的運(yùn)行中輸入“gpedit.msc”打開(kāi)組策略編輯器，并依次展開(kāi)“計(jì)算機(jī)配置——管理模板”，然后在“管理模板”上點(diǎn)擊鼠標(biāo)右鍵，選擇“添加/刪除模版”，點(diǎn)擊“添加”按鈕，并找到“%windir%\inf”目錄下的“Wuau.adm”文件，雙擊“添加”。接著繼續(xù)打開(kāi)“Windows組件——Windows Update”（這一項(xiàng)只有在安裝了客戶端軟件并添加后才會(huì)出現(xiàn)），在窗口右側(cè)就會(huì)顯示出兩條可用的策略。其中“配置自動(dòng)更新”可以讓你設(shè)置進(jìn)行更新的時(shí)間和處理方法，“指定企業(yè)內(nèi)部互聯(lián)網(wǎng)…”則用來(lái)指定服務(wù)器的位置，你可以以“http://服務(wù)器名稱(chēng)”或者“http://服務(wù)器IP”的方式輸入。
２． “域”中的組策略
打開(kāi)Active Directory用戶和計(jì)算機(jī)設(shè)置窗口，在要?jiǎng)?chuàng)建策略的OU或者域上點(diǎn)擊鼠標(biāo)右鍵，選擇“屬性”，然后在屬性窗口中打開(kāi)“組策略”選項(xiàng)卡，并點(diǎn)擊“新建”按鈕，給新建的策略命名（例如叫做WSUS，）。選中新建的組策略，點(diǎn)擊“編輯”按鈕，接著會(huì)彈出一個(gè)組策略設(shè)置窗口，這跟我們平常運(yùn)行g(shù)pedit.msc打開(kāi)的窗口很類(lèi)似，不過(guò)這里可以為整個(gè)域中的所有計(jì)算機(jī)設(shè)置組策略。
３． 編輯注冊(cè)表
如果你想省去每個(gè)客戶端部署的麻煩，完全可以自己制作一個(gè)注冊(cè)表導(dǎo)入文件，內(nèi)容如下：
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WSUServer"="http://服務(wù)器名稱(chēng)或IP"
"WSUStatusServer"=" http://服務(wù)器名稱(chēng)或IP "
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"UseWSUServer"=dword:00000001
注：更詳細(xì)的內(nèi)容參加WSUS的白皮書(shū)，或者微軟客戶端補(bǔ)丁管理方法等。
http://www.microsoft.com/china/technet/
itsolutions/smbiz/mits/pm/mit_pm_3.mspx
部署問(wèn)題精選 1. 如何配置客戶端自動(dòng)加入目標(biāo)組？如何運(yùn)行自動(dòng)更新行為？
（1）添加Wuau.adm文件后，組策略中\(zhòng)計(jì)算機(jī)配置\Windows 組件\Windows Update\允許客戶端目標(biāo)設(shè)置；或者導(dǎo)入注冊(cè)表文件，在相應(yīng)位置添加TargetGroup=組名。
（2）客戶端運(yùn)行wuauclt.exe /detectnow
2. 嘗試訪問(wèn) WSUS 管理控制臺(tái)時(shí)，出現(xiàn) System.IO.FileNotFoundException 錯(cuò)誤消息？
通常是由于服務(wù)器安全加固后造成的，請(qǐng)?jiān)?Windows Server 2003 操作系統(tǒng)中，授予 Network Service 賬戶對(duì)“%systemroot%\Temp” 的讀/寫(xiě)訪問(wèn)權(quán)限。
3. 在“物理隔離”的網(wǎng)絡(luò)中如何部署？
有些政府或者財(cái)政專(zhuān)網(wǎng)中無(wú)法連接到Internet，由于安全的需要，部署脫機(jī)的WSUS完全可行。方法如下：
（1）將要導(dǎo)出數(shù)據(jù)的服務(wù)器同導(dǎo)入服務(wù)器“同步高級(jí)選項(xiàng)”里面設(shè)置保持一致。
（2）將導(dǎo)出數(shù)據(jù)的服務(wù)器更新，使用Ntbackup備份此服務(wù)器存放更新的文件夾，默認(rèn)為drive:\WSUS\WSUSContent\；在導(dǎo)入服務(wù)器使用ntbackup還原備份，還原時(shí)選擇“替換位置”，位置指定為默認(rèn)的drive:\WSUS\WSUSContent\。
（3）數(shù)據(jù)庫(kù)的導(dǎo)出與導(dǎo)入
C:\Program Files\Update Services\Tools
\wsusutil export c:\export.cab c:\export.log
源服務(wù)器執(zhí)行下面的命令后，將cab與Log文件復(fù)制到目標(biāo)服務(wù)器，執(zhí)行下面命令：
C:\Program Files\Update Services\Tools
\wsusutil import c:\export.cab c:\export.log
總結(jié)：ＷＳＵＳ基本上接近了Ｗｉｎｄｏｗｓ ｕｐｄａｔｅ網(wǎng)站的更新功能，如何利用好這個(gè)免費(fèi)的“大餡餅”還依靠大家共同努力了。
（張崎）
