ok, verstehe ich. Ein MVP ist also Sunny zum Beispiel??
Ich muss ehrlich gestehen, dass ich sonst wenig in Foren bin. Ich finde aber gefallen daran, weil man doch sehr gut geholfen wird. Übrigens den BITS braucht man mir nicht mehr erklären. Das wird auf der wsus.de Seite doch super gezeigt!
Ich finde es bemerkenswert, dass es solche Leute wie dich gibt, die soviel Zeit investieren, um unbekannte zu helfen. Wenn ich das irgendwie zurück geben könnte, würde ich das sofort tun.

Hi Billy,

so ich bin nun daheim ... jetzt werde ich Dir die Lösungen zusammenstellen.
Zuerst zu Deinen Fragen:

Billy schrieb on 10.07.11 um 22:50:30:

Der Windows Update Agent versuch beim Kontakt zum WSUS zu prüfen, ob er selbst aktuell ist. Ist das nicht der Fall aktualisiert er sich selbst über den kontakteten WSUS. Da ist auch das "Problem". Da der Agent zu alt für die Kommunikation mit dem WSUS-Server sein könnte, wird die Aktualisierung, das sogenannte Selfupdate, über die Standard-IIS-Site mit Port 80 abgewickelt.
Nach der Aktualisierung ist sichergestellt, dass ein Kommunikation sauber über die ggf. anderweitig konfigurierten Schnittstellen läuft.

Billy schrieb on 10.07.11 um 22:50:30:

BITS ist der Windows Hintergrund Übertragungsdienst und läuft über das WinHTTP. Er ist vereinfacht eine Warteschlange von Downloadaufträgen, die unter Rücksichtnahme auf andere Prozesse, die ebenfalls eine Netzwerkaktivität benötigen, Dateien in Häppchen transportiert und zusammen setzt. Downloadaufträge werden über einen konfigurierten Zeitraum aufrecht erhalten. Kommt es in der entsprechenden Zeit nicht zu einem erfolgreichen Download, werden die Aufträge verworfen. Machmal muss man da als Admin nachhelfen => sprich die Downloadauftragsliste leeren.

Billy schrieb on 10.07.11 um 22:50:30:

Der WSUS besteht neben einem Dateistorage (WSUS-Content) und einer SQL-Datenbank (SUSDB) aus einem Windowsdienst. Dieser koordiniert die Zusammenhänge. Für eine Kommunikation mit Clients (Anfragen aus dem Netzwerk) aber auch für die Steuerung durch die MMC-Konsolen bedient er sich des IIS. Der Download der Updates aus dem Content erfolgt von den Clients über BITS.

Billy schrieb on 10.07.11 um 22:50:30:

Der WSUS-Server hält neben den Updates im Content und den aktuellsten Agent für das Selfupdate auch ALLE min. einmal von MS abgerufenen Metainformationen der Updates. Diese können nicht ohne weiteres gelöscht werden.
Der Update-Agent ist relativ autark. Er wird am Client konfiguriert (via Reg, lokale GPO oder AD DS-GPO), kontaktet den entsprechenden WSUS-Server, aktualsiert sich ggf. selbst über WSUS, ruft Metainformationen zu verfügbaren/genehmigten Updates ab, analysiert die Situation vor Ort, downloaded erforderliche Updates via BITS und intitialisiert deren Installation via MSI. Zusätzlich informiert er den WSUS-Server über seine Existenz und die aktuelle Updatesituation. Er hat ein eigenes API für Programmierung, dass aus Sicherheitsaspekten nur unwesentlich Remoteinteraktionen zulässt.

PS: Das ist der kleine aber feine Unterschied, der von unserm MVP einem immer wieder um die Ohren geschlagen wird.

Gruß Dani

Lösung zu 1.:

Billy schrieb on 10.07.11 um 20:21:19:


Richtig. Auf alternativem System neu installieren mit Bezug auf immernoch vorhandene externe SUSDB auf einem anderen Server (SQL 2005 oder höher ist Voraussetzung).
Den Content-Inhalt kann man kopieren, wenn ein erneuter vollständiger Download vermieden werden soll. Danach sollte aber mit dem WsusUtil ein /Reset ausgelöst werden. Damit wird der Content und die Metainformationen in der SUSDB wieder in Einklang gebracht. Er zeigt "scheinbar" einen vollständigen Download in der Konsole an, läd aber tatsächlich nur die fehlenden oder korrupten Updates von MS herunter. Das kann eine gewisse Zeit beanspruchen ... hier ist Gedult gefragt.
Im Falle eines HW-Crash kann das aber ggf. nicht möglich sein.

Gruß Dani

Lösung zu 3.:

Billy schrieb on 10.07.11 um 20:21:19:


Korrekt. Den WSUS am besten als Replika konfigurieren und den Standort mit einer eigenen GPO koordinieren. Der Vorteil ist, dass die Steuerung zentral beim Master verbleibt und die Updates i.d.R. einmal über das WAN schwappen. Die bedarfsorientierten Anforderungen der Clients werden über das schnelle LAN im Standort abgewickelt. Hier sollte als optimalster Fall mit einer Zuordnung der Clients zu den WSUS-Gruppen via GPO gearbeitet werden. Der Standort läuft praktisch automatisiert. Ein Zugriff auf den Standort-WSUS kann aus der Zentrale realisiert werden. Einfach in der WSUS-Konsole den Server hinzufügen. Paßt und läuft.

Gruß Dani

Lösung zu 5.:

Billy schrieb on 10.07.11 um 20:21:19:


Korrekt. Hier sollte man auf Genehmigungsregel verzichten. Dies Clients sollten geteilt werden. Ein Teil wird geschützt aktualisiert. Einige wenige werden für Testungen zur Verträglichkeit herangezogen. Hier wird auch der Aufwand für ein zügiges Rollback betrieben. Wichtig ist, dass diese Testclients vollständig die Produktion representieren. Ein Sondergerät in der Ecke ist da wenig hilfreich, da i.d.R. wenige Spezialisten solche SW bedienen können und diese keine Zeit für eine Schattenproduktion haben. Komplexe SW kann sowieso nicht vollumfänglich getestet werden. Oft sind aber neuralgische Knackpunkte an der SW bekannt. Also einer muß als "Dolly" herhalten.

Gruß Dani

Lösung zu 6.:

Billy schrieb on 10.07.11 um 20:21:19:


Richtig. Auch prüfen ob die Option "Download wenn Update genehmigt wurde" aktiv ist. Sonnst läde er ALLES runter was er kriegen kann. Solche WSUS-Server nent man WSUS-Loader. Das kommt nur vor, wenn in stark frequentierten Netzen oder aus Sicherheitserwägungen der Zugang zum Internet beschränkt ist. Der Loader bunkert was von MS neu ist und bedient dann ein oder mehrere WSUS-Master. Vor der Erstsynchronisation sollten immer alle Genehmigungsregel gelöscht werden.

Gruß Dani

Lösung zu 7.:

Billy schrieb on 10.07.11 um 20:21:19:


Nein, das Geheimnis ist einfach nur trivial.
Man muss auf dem Client eine WSUS-Konsole installieren. Net-Applikationen referenzieren Assemblies. Die benötigte Assembly "WindowsUpdate.Administration" steht aber nicht standardisiert zur Verfügung. Erst nach der Installation der Konsole ist diese im lokalen Framework verfügbar und die SW kann funktionieren.

Gruß Dani