Hallo zusammen!
Der Titel ist leider etwas missverständlich, jedoch weiß ich nicht, wie ich es sonst audrücken soll.
Folgendes Problem:
Auf einem SBS 2003 mit SP2 läuft der WSUS 3.2.7600.226. Die Synchronisation funktioniert, die Clients bekommen alle ihre Updates, neue werden erfolgreich immer heruntergeladen.

Nur bei einem Rechner steht, er habe seinen Status seit langem nicht mehr gemeldet. Und das ist der Server selbst. Vor einem Server-Neustart funktionierte alles (windows hatte sich irgendwie aufgehängt).

Mir sind keine Änderungen bewusst, und sämtliche Clients ausser dem Server selber haben auch keine Probleme (selbst der eine Windows 7 Enterprise-Client bekommt seine Updates).

Ich habe schon viel gesucht, aber noch keine funktionerende Lösung gefunden.

Die WindowsUpdate.log verrät mir, dass der Server wohl ein Verbindungsproblem hat - mit sich selbst?!?
Dort heißt es nämlich:

2009-10-19	11:20:02:566	 924	2dac	AU	Triggering AU detection through DetectNow API
2009-10-19	11:20:02:566	 924	2dac	AU	Triggering Online detection (non-interactive)
2009-10-19	11:20:02:566	 924	eb0	AU	#############
2009-10-19	11:20:02:566	 924	eb0	AU	## START ##  AU: Search for updates
2009-10-19	11:20:02:566	 924	eb0	AU	#########
2009-10-19	11:20:02:566	 924	eb0	AU	<<## SUBMITTED ## AU: Search for updates [CallId = {41BDEDDA-4DFD-48C2-8040-DB14C4BC6F90}]
2009-10-19	11:20:02:566	 924	3ad4	Agent	*************
2009-10-19	11:20:02:566	 924	3ad4	Agent	** START **  Agent: Finding updates [CallerId = AutomaticUpdates]
2009-10-19	11:20:02:566	 924	3ad4	Agent	*********
2009-10-19	11:20:02:566	 924	3ad4	Agent	  * Online = Yes; Ignore download priority = No
2009-10-19	11:20:02:566	 924	3ad4	Agent	  * Criteria = "IsHidden=0 and IsInstalled=0 and DeploymentAction='Installation' and IsAssigned=1 or IsHidden=0 and IsPresent=1 and DeploymentAction='Uninstallation' and IsAssigned=1 or IsHidden=0 and IsInstalled=1 and DeploymentAction='Installation' and IsAssigned=1 and RebootRequired=1 or IsHidden=0 and IsInstalled=0 and DeploymentAction='Uninstallation' and IsAssigned=1 and RebootRequired=1"
2009-10-19	11:20:02:566	 924	3ad4	Agent	  * ServiceID = {3DA21691-E39D-4DA6-8A4B-B43877BCB1B7} Managed
2009-10-19	11:20:02:566	 924	3ad4	Agent	  * Search Scope = {Machine}
2009-10-19	11:20:03:941	 924	3ad4	Misc	Validating signature for C:\WINDOWS\SoftwareDistribution\SelfUpdate\Default\wuident.cab:
2009-10-19	11:20:03:957	 924	3ad4	Misc	 Microsoft signed: Yes
2009-10-19	11:20:09:457	 924	3ad4	Misc	WARNING: Send failed with hr = 80072efd.
2009-10-19	11:20:09:457	 924	3ad4	Misc	WARNING: SendRequest failed with hr = 80072efd. Proxy List used: <(null)> Bypass List used : <(null)> Auth Schemes used : <>
2009-10-19	11:20:09:457	 924	3ad4	Misc	WARNING: WinHttp: SendRequestUsingProxy failed for <http://sbs2003:8530/selfupdate/wuident.cab>. error 0x80072efd
2009-10-19	11:20:09:457	 924	3ad4	Misc	WARNING: WinHttp: SendRequestToServerForFileInformation MakeRequest failed. error 0x80072efd
2009-10-19	11:20:09:457	 924	3ad4	Misc	WARNING: WinHttp: SendRequestToServerForFileInformation failed with 0x80072efd
2009-10-19	11:20:09:457	 924	3ad4	Misc	WARNING: WinHttp: ShouldFileBeDownloaded failed with 0x80072efd
2009-10-19	11:20:14:926	 924	3ad4	Misc	WARNING: Send failed with hr = 80072efd.
2009-10-19	11:20:14:926	 924	3ad4	Misc	WARNING: SendRequest failed with hr = 80072efd. Proxy List used: <(null)> Bypass List used : <(null)> Auth Schemes used : <>
2009-10-19	11:20:14:926	 924	3ad4	Misc	WARNING: WinHttp: SendRequestUsingProxy failed for <http://sbs2003:8530/selfupdate/wuident.cab>. error 0x80072efd
2009-10-19	11:20:14:926	 924	3ad4	Misc	WARNING: WinHttp: SendRequestToServerForFileInformation MakeRequest failed. error 0x80072efd
2009-10-19	11:20:14:926	 924	3ad4	Misc	WARNING: WinHttp: SendRequestToServerForFileInformation failed with 0x80072efd
2009-10-19	11:20:14:926	 924	3ad4	Misc	WARNING: WinHttp: ShouldFileBeDownloaded failed with 0x80072efd
2009-10-19	11:20:20:395	 924	3ad4	Misc	WARNING: Send failed with hr = 80072efd.
2009-10-19	11:20:20:395	 924	3ad4	Misc	WARNING: SendRequest failed with hr = 80072efd. Proxy List used: <(null)> Bypass List used : <(null)> Auth Schemes used : <>
2009-10-19	11:20:20:395	 924	3ad4	Misc	WARNING: WinHttp: SendRequestUsingProxy failed for <http://sbs2003:8530/selfupdate/wuident.cab>. error 0x80072efd
2009-10-19	11:20:20:395	 924	3ad4	Misc	WARNING: WinHttp: SendRequestToServerForFileInformation MakeRequest failed. error 0x80072efd
2009-10-19	11:20:20:395	 924	3ad4	Misc	WARNING: WinHttp: SendRequestToServerForFileInformation failed with 0x80072efd
2009-10-19	11:20:20:395	 924	3ad4	Misc	WARNING: WinHttp: ShouldFileBeDownloaded failed with 0x80072efd
2009-10-19	11:20:25:863	 924	3ad4	Misc	WARNING: Send failed with hr = 80072efd.
2009-10-19	11:20:25:863	 924	3ad4	Misc	WARNING: SendRequest failed with hr = 80072efd. Proxy List used: <(null)> Bypass List used : <(null)> Auth Schemes used : <>
2009-10-19	11:20:25:863	 924	3ad4	Misc	WARNING: WinHttp: SendRequestUsingProxy failed for <http://sbs2003:8530/selfupdate/wuident.cab>. error 0x80072efd
2009-10-19	11:20:25:863	 924	3ad4	Misc	WARNING: WinHttp: SendRequestToServerForFileInformation MakeRequest failed. error 0x80072efd
2009-10-19	11:20:25:863	 924	3ad4	Misc	WARNING: WinHttp: SendRequestToServerForFileInformation failed with 0x80072efd
2009-10-19	11:20:25:863	 924	3ad4	Misc	WARNING: WinHttp: ShouldFileBeDownloaded failed with 0x80072efd
2009-10-19	11:20:25:863	 924	3ad4	Misc	WARNING: DownloadFileInternal failed for http://sbs2003:8530/selfupdate/wuident.cab: error 0x80072efd
2009-10-19	11:20:25:863	 924	3ad4	Setup	FATAL: IsUpdateRequired failed with error 0x80072efd
2009-10-19	11:20:25:863	 924	3ad4	Setup	WARNING: SelfUpdate: Default Service: IsUpdateRequired failed: 0x80072efd
2009-10-19	11:20:25:863	 924	3ad4	Setup	WARNING: SelfUpdate: Default Service: IsUpdateRequired failed, error = 0x80072EFD
2009-10-19	11:20:25:863	 924	3ad4	Agent	  * WARNING: Skipping scan, self-update check returned 0x80072EFD
2009-10-19	11:20:26:285	 924	3ad4	Agent	  * WARNING: Exit code = 0x80072EFD
2009-10-19	11:20:26:285	 924	3ad4	Agent	*********
2009-10-19	11:20:26:285	 924	3ad4	Agent	**  END  **  Agent: Finding updates [CallerId = AutomaticUpdates]
2009-10-19	11:20:26:285	 924	3ad4	Agent	*************
2009-10-19	11:20:26:285	 924	3ad4	Agent	WARNING: WU client failed Searching for update with error 0x80072efd
2009-10-19	11:20:26:285	 924	3410	AU	>>##  RESUMED  ## AU: Search for updates [CallId = {41BDEDDA-4DFD-48C2-8040-DB14C4BC6F90}]
2009-10-19	11:20:26:285	 924	3410	AU	  # WARNING: Search callback failed, result = 0x80072EFD
2009-10-19	11:20:26:285	 924	3410	AU	  # WARNING: Failed to find updates with error code 80072EFD
2009-10-19	11:20:26:285	 924	3410	AU	#########
2009-10-19	11:20:26:285	 924	3410	AU	##  END  ##  AU: Search for updates [CallId = {41BDEDDA-4DFD-48C2-8040-DB14C4BC6F90}]
2009-10-19	11:20:26:285	 924	3410	AU	#############
2009-10-19	11:20:26:285	 924	3410	AU	AU setting next detection timeout to 2009-10-19 14:20:26
2009-10-19	11:20:30:863	 924	3ad4	Report	REPORT EVENT: {FE7759FE-FD31-45B9-95A6-C04594ADF612}	2009-10-19 11:20:25:863+0200	1	148	101	{D67661EB-2423-451D-BF5D-13199E37DF28}	0	80072efd	SelfUpdate	Failure	Software Synchronization	Windows Update Client failed to detect with error 0x80072efd. 

Ich habe bereits die Proxy-Konfiguration mit der vom IE abgeglichen (die auf allen Clients - XP wie auch Win 7 - funktioniert), jedoch brachte auch das keinen Erfolg.

Hat jemand eine Idee, was da schief läuft?

Herzlichen Dank schonmal im Voraus,
David Sallge

Hallo Sunny, danke für die Antwort.
Ich sehe im IIS keine Einschränkungen (vielleicht bin ich auch blind?).

Auch beim ISA sehe ich keine Einschränkung in dieser Richtung.
Der IE des Servers kann auf die Datei zugreifen und bietet sie direkt zum Download an. Das gleiche gilt auch für den Firefox.

Die Client-Diagnose liefert folgendes:

F:\WSUS Diag\Client>ClientDiag.exe

WSUS Client Diagnostics Tool

Checking Machine State
        Checking for admin rights to run tool . . . . . . . . . PASS
        Automatic Updates Service is running. . . . . . . . . . PASS
        Background Intelligent Transfer Service is running. . . PASS
        Wuaueng.dll version 7.4.7600.226. . . . . . . . . . . . PASS
                This version is WSUS 2.0

Checking AU Settings
        AU Option is 3 : Notify Prior to Install. . . . . . . . PASS
                Option is from Policy settings

Checking Proxy Configuration
        Checking for winhttp local machine Proxy settings . . . PASS
                Winhttp local machine access type
                        <Using Proxy>
                Winhttp local machine Proxy
                sbs2003:8080
                Winhttp local machine ProxyBypass
                localhost;192.168.0.5;antje-nas;<local>
        Checking User IE Proxy settings . . . . . . . . . . . . PASS
                User IE Proxy
                sbs2003:8080
                User IE ProxyByPass
                localhost;192.168.0.5;antje-nas;<local>
                User IE AutoConfig URL Proxy . . . . . . . . .  NONE
                User IE AutoDetect
                AutoDetect not in use

Checking Connection to WSUS/SUS Server
                WUServer = http://sbs2003:8530
                WUStatusServer = http://sbs2003:8530
        UseWuServer is enabled. . . . . . . . . . . . . . . . . PASS

VerifyWUServerURL() failed with hr=0x80072efd

A connection with the server could not be established


Press Enter to Complete 

Danke für die Mühe!

Viele Grüße,
David

Kontrollier im ISA ob der SBS über Port 8530 auf sich selbst zugreifen darf.

Und nein, die Aussage von wegen WSUS 2.0 ist nicht schuld. Die angegebene Version der DLL ist viel wichtiger.

Weiterer Test: Protokollierung des ISA-Servers nach allen Events auf Port 8530 gefiltert.
Interessantes Ergebnis: die Verbindung eines Clients taucht auf, die des Servers gar nicht (auch nicht als verweigert oder zugelassen oder sonstwas).

Es scheint, als würde die Kommunikation schon vor dem ISA-Server irgendwo verloren gehen.

Was übersehe ich denn da?

tracert ist da sehr interessant....

tracert auf den Servernamen (sbs2003) läuft über die IP V6-Adresse 

F:\WSUS Diag\Client>tracert sbs2003

Routenverfolgung zu sbs2003.PresentationServiceGmbH.local [fe80::2ff:a5ff:fe86:414b%4] über maximal 30 Abschnitte:

  1    <1 ms    <1 ms    <1 ms  sbs2003.PresentationServiceGmbH.local [fe80::2ff:a5ff:fe86:414b]

Ablaufverfolgung beendet.

F:\WSUS Diag\Client>tracert 127.0.0.1

Routenverfolgung zu sbs2003.PresentationServiceGmbH.local [127.0.0.1] über maxim
al 30 Abschnitte:

  1    <1 ms    <1 ms    <1 ms  sbs2003.PresentationServiceGmbH.local [127.0.0.1]

Ablaufverfolgung beendet. 

ansonsten nur 1 hop, wie es sich gehört.

Genau, was WinHTTP vom IE (der ja erfolgreich ist) übernommen hat:

F:\WSUS Diag\Client>proxycfg
Microsoft (R) WinHTTP-Standard-Proxykonfigurationstool
Copyright (c) Microsoft Corporation. Alle Rechte vorbehalten.

Aktuelle WinHTTP-Proxyeinstellungen unter:
  HKEY_LOCAL_MACHINE\
    SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\
      WinHttpSettings :

    Proxyserver :  sbs2003:8080
    Umgehungsliste     :  localhost;192.168.0.5;antje-nas;<local> 

Ich habe fast den Eindruck, als würde irgendein Programm explizit den Update-Service (und den ClientDiag) blocken...
Was aber auch nicht sein kann, da ich nie eine Regel für ClientDiag erstellt habe.
Und warum klappt der Zugriff beim IE und FF?

Rätsel über Rätsel...

In den Sicherheitseinstellungen der Seite (IIS - Rechtsklick - Berechtigungen) steht er jetzt drin - ohne Erfolg.
Muss ich die Rechte noch an anderer Stelle gewähren?

Vielen Dank schonmal für deine Geduld!

Hum, die Rechte der "SBS Microsoft Update Sites Access Rule" umfasst "Alle Benutzer", ich habe aber mal "System- und Netzwerkdienst" hinzugefügt.

*test*

Fail. Irgendwo muss ich was übersehen, oder?
Scheint, als wäre ich blind...

Ich hab keine Idee mehr.

David Sallge schrieb on 11.01.10 um 10:53:07:

Ja also wenn der Sevice nich läuft, dann kann sich der Server auch nicht Updaten.

David Sallge schrieb on 11.01.10 um 11:22:36:


Am 08.12.2009 gabs AFAIR die letzten Updates von MS. Sind die denn zum installieren freigegeben worden? Wenn ja, wurde die auch auf dem Master gedownloadet?

David Sallge schrieb on 11.01.10 um 11:22:36:


Scheinen tut die Sonne draußen oder auch nicht. Schau doch in die %windir%\WindowsUpdate.log nach Fehlermeldungen. Alternativ kannst Du auch den Downloadcache leeren. Wie das geht, hab ich schon öfters beschrieben, ist bestimmt ganz leicht zu finden.

David Sallge schrieb on 11.01.10 um 13:03:17:

Und damit Deine Clients vom WSUS abgeschnitten? Wenn es mit localhost geht und mit dem Servernamen nicht, dann hast Du ein DNS Problem. Wäre es dann nicht sinnvoller statt mit localhost mit der IP-Adresse Deines WSUS zu arbeiten.

David Sallge schrieb on 11.01.10 um 13:03:17:


Was meinst Du damit?

David Sallge schrieb on 11.01.10 um 13:03:17:


Wenn es nur mit dem Localhost auf dem Server funktioniert, hat der Server vermutlich auch nur den localhost als DNS eingetragen. Kontrollier das mal.

David Sallge schrieb on 11.01.10 um 15:06:26:


Genau, deshalb schreib ich mir hier ja auch die Finger wund.

David Sallge schrieb on 11.01.10 um 15:06:26:


Welche ist denn eingetragen? Soll ich jetzt raten? Richtig wäre natürlich die LAN-IP.

David Sallge schrieb on 11.01.10 um 15:06:26:


OK, dann hast Du aber trotzdem eine falsche Konfiguration. Aber mir ist das jetzt egal, Du mußt dir das nur ganz groß in die Dokumentation schreiben.

David Sallge schrieb on 13.01.10 um 09:34:43:


Ich bin ja nicht der DNS-Spezialist, aber IMHO kann so nicht richtig sein. Ich würde auf dem Adapter für das Internet die IP vom DNS-Server des Providers oder die IP vom Router oder Firewall eintragen. Für den internen Adapter ist die interne IP in Ordnung. Wie siehts im DNS aus mit der Weiterleitung?

David Sallge schrieb on 13.01.10 um 09:34:43:


Wie oben geschrieben, für mich ist das nicht in Ordnung, muß aber nichts heißen. Lass die Konfig von einem Spezilaisten prüfen und notfalls korrigieren. Läuft dann der WSUS immer nocht, kannst Du natürlich gerne wieder kommen.

UMeadow schrieb on 13.01.10 um 17:35:46:


Nicht ganz, auf dem internen Adapter ist ja die LAN-IP eingetragen, das ist OK so. Beim Internet Adapter muß IMHO ein anderer DNS eingetragen werden. Sicher bin ich mir aber nicht.

Hmm, mir fällt nichts mehr ein.

David Sallge schrieb on 15.01.10 um 10:22:03:

Ja aber er selber schein seine Adresse nicht auflösen zu können. Was passiert denn wenn du am Server ein Ping auf den Servernamen machst und ein ping -a auf die Serveradresse. Hat denn Dein Server sich selbst auch als DNS Server in den Netzwerkeinstellungen?
Und Kontrolliere doch mal im DNS ob Dein Server eingetragen ist.