Hallo,

ich verteile die Windows Updates mit einem WSUS - Server. Der WSUS ist so eingestellt, dass der Client sich die Updates direkt bei Microsoft statt am WSUS herunterladen (ist komig, aber so gewollt).

Mein Testclient hängt aber hinter einem Proxy und bekommt die Updates auch nicht mit dem Befehl proxycfg -u. Meines erachtens werden mit dem Befehl nur die Proxydaten und nicht der Benutzer des IE übergeben, was bei mir aber der Fall sein muss, da ich einen Linuxproxy mit Benutzerauthentifizierung (LDAP) habe.

Gibt es eine Möglichkeit, den Windows Updates auf dem Client einen Proxy mit Benutzerauthentifizierung mitzugeben, sodass er sich zwar die "Infos" für die Updates vom WSUS holt, aber bei Microsoft direkt runterlädt?


MfG

Sunny schrieb on 27.08.09 um 16:21:53:


Ja, Kunden sollen von unserem WSUS die Infos für die Updates bekommen, aber selber von MS herunterladen. Wenn die Clients die Updates bei uns herunterladen würden, wird unsere Leitung ziemlich schnell zu sein.

Sunny schrieb on 27.08.09 um 16:21:53:


Jop, wenn ich den Proxy im IE, FF usw. einstelle popt halt der normale Dialog auf, dass ich dort bitte die Benutzerdaten eingeben möchte, tue ich das, funktioniert das ganze auch. Sowas würde ich mir bei den Windows Updates auch wünschen, bzw. das man die Infos irgendwo einträgt.

Sunny schrieb on 27.08.09 um 16:21:53:


Jep, bei uns dürfen alle User ins Internet, unabhängig von der Windowsanmeldung (egal ob Domäne oder Lokale Anmeldung), die Benutzer sind im LDAP für den Proxy extra angelegt. Port 80 und 443 sind natürlich offen, ich denke das liegt daran, dass ich den WU's keinen Benutzer für den Proxy mitgebe und somit keine Updates ankommen, aber wie und wo stelle ich das ein?


Mfg

Comfreak

Comfreak schrieb on 27.08.09 um 16:40:27:


Und was spricht dagegen, das die Kunden einen eigenen WSUS bekommen? Ich weiß was jetzt als Antwort kommt! Konfigurier den WSUS als Downstream von deinem WSUS, dann bekommen die Gruppen die Freigaben von dir, der WSUS von Ort holt sich die Updates entweder bei MS oder einmalig eben bei dir.

Comfreak schrieb on 27.08.09 um 16:40:27:


Das wird nicht funktionieren mit dem WU-Agent.

UMeadow schrieb on 27.08.09 um 17:02:43:


Naja, ein Proxy hat ja nicht nur die Funktion, dass man Benutzer für das Internet sperren kann .

UMeadow schrieb on 27.08.09 um 17:02:43:


Richtig, der WSUS spielt dort keine Rolle mehr. Schade, dass das nicht autmatisch geht.

UMeadow schrieb on 27.08.09 um 17:02:43:


Jop, nur die Proxyadresse und Port, hatte ich leider auch schon festgestellt.

UMeadow schrieb on 27.08.09 um 17:02:43:


Ok, da müsste ich dann mit einem Kollegen sprechen.


MfG

Comfreak

UMeadow schrieb on 27.08.09 um 17:21:08:


Naja das habe ich nicht zu entscheiden, dies macht mein Chef

Wir wollten jetzt mal probieren, den Proxy für die Adresse der Windows Updates freizuschalten um die Updates zu bekommen. Kennt einer die Adresse (n) für die Windows Updates von Microsoft? Habe jetzt noch nichts auf die schnelle gefunden.

So, schönen Feierabend.


MfG

Comfreak

Genau, IPs helfen hier nicht. Ich hab in einer Firma ohne WSUS einen Squid-Proxy (Linux) laufen der bestimmte Firmenbereiche nur ins Intranet läßt aber nicht ins Internet. Damit für die aber trotzdem Windows-Update möglich ist habe ich Ausnahmeregeln vorgeschaltet, die Liste hab ich in einem Squid-Tutorial gefunden und es funktioniert bisher damit. Auch wenn du sicher eine andere Syntax brauchst, evtl. hilft dir ja die Liste der Domains:

# windows-update erlauben
acl windowsupdate dstdomain windowsupdate.microsoft.com
acl windowsupdate dstdomain .update.microsoft.com
acl windowsupdate dstdomain download.windowsupdate.com
acl windowsupdate dstdomain au.download.windowsupdate.com
acl windowsupdate dstdomain redir.metaservices.microsoft.com
acl windowsupdate dstdomain images.metaservices.microsoft.com
acl windowsupdate dstdomain c.microsoft.com
acl windowsupdate dstdomain www.download.windowsupdate.com
acl windowsupdate dstdomain wustat.windows.com
acl windowsupdate dstdomain crl.microsoft.com

acl CONNECT method CONNECT
acl wuCONNECT dstdomain www.update.microsoft.com
http_access allow CONNECT wuCONNECT localnet
http_access allow windowsupdate localnet 

Hinweis: Der obere Block benötigt nur http-Access (Port 80), die untere Adresse (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). benötigt auch https (Port 443, in Squid ist das CONNECT). Natürlich besteht immer die Gefahr daß z.B. mit einem neuen Update-Agent zusätzliche Domains nötig werden, muß man halt eine Updatesuche anstoßen und dann in den Proxy-Log schauen was geblockt wurde und das ggf. freischalten.

EDIT: Schreibfehler korrigiert

Moin,

also ich habe das jetzt mit meinem Kollegen eingetragen. Jedoch müssten sich die Clients sich die Updateinfos vom WSUS über "https" holen...nur wie mach ich das? Klar, bei den Clients einfach https://serveradresse in die Gruppenrichtlinie, aber was muss ich beim WSUS einstellen?


MfG

Comfreak

Edit: Mein WSUS läuft auf einem Windows 2003.

Moin,

UMeadow schrieb on 01.09.09 um 22:28:19:


Kundenclients sollen von unserem WSUS die Infos für die Updates bekommen, aber selber von MS herunterladen

UMeadow schrieb on 01.09.09 um 22:28:19:


Stimmt, müsste ich mal machen.

Habe jetzt schonmal die WSUS-Seiten im IIS nach dieser Anleitung freigeschaltet: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Dort wird von einem "Local Computer's Trusted Root CA store" und "Automatic Update Service's Trusted Root CA store" gesprochen, wo die SSL-Zertifikate importiert werden sollen. Ich find im Internet irgendwie nichts, wo diese sein sollen .

Client habe ich natürlich auf "https://servername" in den Gruppenrichtlinien eingestellt.


MfG

Comfreak

Hallo zusammen,

ja, ich melde mich auch nochmal. Hier mein Feedback:

Ich habe es aufgegeben mit einem Windows Server 2003 zu arbeiten, da ich dort kaum durch das IIS 5 durchgeblickt habe. Aufgrund dessen habe ich einen Windows

Server 2008 mit IIS 7 aufgesetzt.

Was ich installiert habe:

- MS Reportviewer 2005

- Andwendungsserver (darin: )
  - Application Server Foundation
  - Unterstützung auf Webservern (IIS)
  - TCP - Portfreigabe
  - Unterstützung des Aktivierungsdienstes für Windowsprozesse
  - HTTP - Aktivierung

- vollständiger Webserver (IIS)

- Dateidienste

- Windows Server Update Services 3.0 SP1


Im Internetinformationsdienste - Manager unter "Sites", "Default Web Sites" habe ich die Unterpunkte mit den Einstellungen "Verzeichnis durchsuchen"

aktiviert.

In der Firmenfirewall habe ich Port 80 und 443 freigegeben.

Zudem habe ich eine Subdomain für den Server eingerichtet.

Für den Client müssen im Proxy die folgenden Adressen ohne Benutzerauthentifizierung freigeschaltet werden (hier ein Auszug für den Squid, danke an AraldoL):

# windows-update erlauben
acl windowsupdate dstdomain windowsupdate.microsoft.com
acl windowsupdate dstdomain .update.microsoft.com
acl windowsupdate dstdomain download.windowsupdate.com
acl windowsupdate dstdomain au.download.windowsupdate.com
acl windowsupdate dstdomain redir.metaservices.microsoft.com
acl windowsupdate dstdomain images.metaservices.microsoft.com
acl windowsupdate dstdomain c.microsoft.com
acl windowsupdate dstdomain www.download.windowsupdate.com
acl windowsupdate dstdomain wustat.windows.com
acl windowsupdate dstdomain crl.microsoft.com
acl Windowsupdate dstdomain domaindes.wsus.de

acl CONNECT method CONNECT
acl wuCONNECT dstdomain www.update.microsoft.com
http_access allow CONNECT wuCONNECT localnet
http_access allow windowsupdate localnet
 

Achtung, hier die Domain des WSUS (domaindes.wsus.de) ändern!


Mit diesen Einstellungen kann ich von aussen einen PC zum WSUS hinzufügen und Warten.


Nochmal Danke an alle die geholfen haben!


MfG Comfreak

PS: Eine Frage habe ich aber noch : Ich habe eine Gruppe mit 2 Untergruppen im WSUS eingerichtet.

Z.B.:

- Kunde 1
  - Workstations
  - Server

Wie kann ich jetzt dem Client sagen, dass er in die Untergruppe "Workstations" von Kunde 1 soll? Es geht mir hier speziell um die Untergruppe, dass man

vorher die Einstellungen im WSUS bzw. die Gruppe im Client eintragen mus, ist mir klar.

Hallo,

hmm komig, eigentlich wollte ich das noch garnicht abschicken, keine Ahnung warum das jetzt schon gepostet ist . Ich editiere den Eintrag noch, der ist nämlich noch langen nicht fertig.

Soweit ich das im Internet gesehen habe, ist für 2003 nur bis IIS 5 freigeschaltet, erst ab 2008 dann ISS 6 und 7.

Gute Frage warum ich nicht gleich den WSUS 3.0 SP2 genommen habe. Denke wohl, weil ich die Setup.exe schon runtergeladen habe und immer genommen habe .

MfG

Comfreak

Edit: Ich werde den WSUS 3.0 SP2 mal ausprobieren, Editierung vom letzten Beitrag folgt noch...
Edit 2: Letzen Beitrag (Feedback) editiert.

Comfreak schrieb on 04.09.09 um 16:27:58:


Weshalb denn eine Subdomain für den Server?

Comfreak schrieb on 04.09.09 um 16:27:58:


Durch Semikolon getrennt: Kunde 1;Workstation

Hallo,

Sunny schrieb on 05.09.09 um 01:13:56:


naja, besser als sich eine ip zu merken, kostet uns eh nicht mehr

Araldo.L schrieb on 05.09.09 um 12:35:12:


Ah, das wusste ich nicht, danke für die Info!

Araldo.L schrieb on 05.09.09 um 12:35:12:


Das ergibt sich dann daraus, klar .

Danke für Eure Hilfe. Ich denke, dass ich das Forum noch öfters aufsuchen werde..


MfG

Comfreak

Sunny schrieb on 05.09.09 um 17:57:12:


Sorry, ja natürlich -.-

Comfreak