Hallo,

wir haben seit kurzem einen WSUS Server in unserem Netzwerk.
Eigentlich funktioniert bisher alles wie gewollt, die Clients werden mit Updates versorgt.

Eine Sache kann ich allerdings nicht nachvollziehen:

Wir haben 2 verschiedene Gruppen (OUs) im AD, an beiden hängt ein GPO, die WSUS Einstellungen festlegt.
In beiden Gruppen sind die Einstellungen identisch (siehe screenshot), bei beiden ist die Option "Keinen automatischen Neustart für geplante Installationen automatischer Updates durchführen, wenn Benuter angemeldet sind" aktiviert.

In Gruppe 1 funktioniert es wie gewünscht: Wenn Updates heruntergeladen wurden, werden sie beim Herunterfahren / Neustarten installiert. Der Benutzer bekommt keine Meldung, dass ein Neustart notwendig ist.

In Gruppe 2 komm ein Fenster, dass der PC neugestartet werden muss. Man kann Neustarten, oder das Fenster schließen, aber nach 15 Minuten wird ein Neustart durchgeführt, der nicht verhindert werden kann.

Das ist nicht gewünscht und ich verstehe nicht wieso es bei identischen Einstellungen in der einen Gruppe funnktioniert und in der anderen nicht...

Beide GPOs in den 2 AD Gruppen schieben die Clients wiederum in 2 verschiedene Gruppen auf dem WSUS Server.
In den Einstellungen des WSUS Servers ist konfiguriert, dass Gruppe 2 (bei der das Problem mit dem Neustart auftritt) die Updates mit einer verzögerung von 7 Tagen bekommen. Das ist der einzige Unterschied, aber das hat ja mit dem automatischen Neustart nichts zu tun.

Habt ihr vielleicht eine Idee, woran es liegen könnte?

Sorry falls ich etwas nicht beachtet habe, oder Infos vergessen habe.


MfG
Niklas

Dir fehlt eine Benutzereinstellung vermutlich. Schau dir die zweite Benutzereinstellung in diesem Beispiel-GPO an: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). Diese Benutzereinstellung *NUR* auf die Benutzer wirken lassen, nicht auf die Administratoren der Server. Wenn die Rechner jetzt wieder hart gestartet werden, hast Du Stichtage oder einen Stichtag für ein Update vergeben.

Niklas schrieb on 11.09.15 um 06:28:47:



Manuell freigeben.


(Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).
Edit:
Habe gerade mal getestet, was ohne die Einstellung mit dem Stichtag passiert:
Selbes Problem... Einstellungen in Gruppe 1 und Gruppe 2 sind nun auch auf dem WSUS Server identisch. Trotzdem kommt die Meldung "Neustart in 15 Minuten".
[/quote]

Hast Du denn auf dem Client erneut nach Updates suchen lassen? Wenn nein, dann hol das nach. Denn jetzt hat der Client immer noch die Updates mit dem Stichtag im Download Cache.

Und zusätzlich nochmal dieser Hinweis: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Niklas schrieb on 11.09.15 um 09:06:14:


Ein Computerobjekt übernimmt keine Benutzereinstellunge. Du mußt also sicherstellen, dass die angemeldeten Benutzer das GPO mit den Benutzereinstellungen ziehen.

Zusätzlich kannst Du auch ein gpupdate [ENTER] als angemeldeter Benutzer laufen lassen.

Niklas schrieb on 11.09.15 um 09:06:14:



Was meinst Du mit Gruppe? OU oder Sicherheitsgruppe?

Und nein, der Fehler kann nicht am WSUS liegen, der ist so dumm das kannst Du dir nicht vorstellen.

Niklas schrieb on 11.09.15 um 10:19:54:

Der Stichtag ist auch wirklich nicht mehr gesetzt? Kontrolliere vorsichtshalber noch einmal.

Niklas schrieb on 11.09.15 um 10:35:36:



Hast Du denn auf dem Client erneut nach Updates suchen lassen? Wenn nein, dann hol das nach. Denn jetzt hat der Client immer noch die Updates mit dem Stichtag im Download Cache.

Anschließend auch unbedingt auf einem Testclient in einer administrativen Commandline diese Befehle ausführen:

net stop wuauserv
rd /s /q %windir%\SoftwareDistribution
net start wuauserv
wuauclt /detectnow

10 Minuten warten, jetzt erneut Updates installieren lassen.

Hast Du auch wirklich alle Updates in der WSUS-Gruppe auf den Stichtag kontrolliert? Im Ereignisprotokoll (Installation) siehst Du IMHO sehr genau, welches Update den Neustart haben möchte.

Nochmal, es kann nicht am WSUS liegen. Der WSUS ist dumm und hält nur Updates bereit, sonst nichts. Du hast Updates für die Gruppe mit Stichtagen freigegeben, beim wegnehmen der Stichtage hast Du möglicherweise nicht alle erwischt.

Niklas schrieb on 17.09.15 um 11:34:35:


OK, das Problem ist somit gelöst, oder?

Niklas schrieb on 17.09.15 um 11:34:35:


Wenn Clients auftauchen und verschwinden liegt das schon wieder NICHT am WSUS, sondern am Admin der die Clients geklont hat, und nach dem klonen NICHT SYSPREP verwendet hat. (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). Denn damit wurde die SUSClientID NICHT auf dem Client gelöscht. Jetzt melden sich also mehrere Clients mit der gleichen SUSClientID beim WSUS. Der identifiziert die Clients nur nach der SUSClientID. Der Name ist wie alles in der virtuellen Welt, nur Schall und Rauch.

Ich hatte in einer Firma das gleiche Problem, mit dieser Batch-Datei, eingebunden als *COMPUTERSTARTSCRIPT* kannst Du das fixen:

@echo off
REM In dieser Batchdatei wird die SUSClientID auf den Clients gelöscht. Beim nächsten Kontakt mit dem WSUS bekommt der Client
REM eine neue SUSClientID und wird neu registriert.

If exist \\Server\Freigabe\%COMPUTERNAME%.TXT goto ENDE

REG DELETE HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate /va /f

WUAUCLT /ResetAuthorization /DETECTNOW
WUAUCLT /DETECTNOW
WUAUCLT /REPORTNOW

set datum=%date%
echo %datum%
set Zeit=%time%
echo %time%
echo %computername% %datum% %time% > \\Server\Freigabe\%COMPUTERNAME%.TXT



:ENDE
EXIT
 

Hast Du Fragen zur Vorgehensweise oder zur Funktionalität der Batch oder ist das alles klar? Bei der Firma waren am Anfang ~120 Client im WSUS, später waren es dann ~170.


Wenn Clients im WSUS Updates benötigen, aber am Client selbst keine zum Download angeboten werden, kann es sein, dass Du die Updates erst noch genehmigen mußt. Dazu gibt es auf der Startseite vom WSUS den Link zur Ansicht: 'Nicht genehmigte Updates.' Dort nach der Spalte erforderlich sortieren, schon siehst Du die Updates, die von Clients angefordert werden. Jetzt bitte nicht blind einfach alle Updates genehmigen, denn so kriegst Du unnütze Updates auf die Clients und müllst dir deine HDD zu.

Alternativ kannst Du auch im WSUS auf einen solchen Client klicken und im unteren Bereich dir den Bericht für die benötigten Updates anzeigen lassen. Auf der Seite 2 des Berichtes siehst Du die Updates und den jeweiligen Status dazu. Genehmigt, Heruntergeladen oder Nicht installiert.


Niklas schrieb on 17.09.15 um 11:34:35:


Der WSUS ist nicht schwer zu verstehen, es sind nur ein paar Kleinigkeiten zu beachten.