Hallo zusammen,

wir haben hier ein Problem mit Windows 10 (1703 & 1607) Clients, die keine Updates mehr vom WSUS (v6.3.9600.18324) beziehen. Und zwar seitdem hier im Netzwerk alle Verbindungen zu den Microsoft Update Servern unterbunden wurden. Momentan darf nur noch der WSUS Server herunterladen!

Der WSUS läuft auf einem Windows Server 2012 R2.
Auf dem WSUS selbst ist alles OK. Dort werden die Clients angezeigt und die Updates sind auch genehmigt.

In der Windows Log Datei steht nur, dass keine Updates gefunden wurden und keine Verbindung zu (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).. aufgebaut werden konnte!? Erlaubt man die Verbindung zu den MS Servern wieder, zeigt er die vom WSUS genehmigten Updates wieder an und installiert diese auch...

Ist es irgendwie möglich ohne Zugriff auf die MS Update Server auf Win10 Updates über den WSUS zu beziehen?

Gruß,
MarkM

Sunny schrieb on 11.05.17 um 15:35:48:
  Einstellung?

Ach so... 

Das ist ne ganze Menge. Habe es mal als Berichtdatei angehängt. (von txt zu html umbenennen!)

edit:
noch zur Info. Die GPO ist momentan nur zum Testen, also nicht im produktiven Einsatz! 

edit2:
Die Richtlinie "Keine Verbindungen mit Windows Update-Internetadressen herstellen" habe ich wieder deaktiviert. Hatte ich nur testweise mal aktiviert. Diese führt zu einem weiteren Fehler (0x8024500c). Für was diese Richtlinie dann nutzen soll muss mir mal einer erklären. Sieht für mich nach einem Bug aus...

edit3:
Hier noch ein Auszug aus der WindowsUpdate.log

0]0C34.08A8::05/12/2017-07:27:25.579 [agent]SyncUpdates round trips: 2
2017.05.12 07:27:25.5870936 3124  2216  Agent           [0]0C34.08A8::05/12/2017-07:27:25.587 [agent]Update filtered by policy: 6964AAB4-C5B5-43BD-A17D-FFB4346A8E1D.100
2017.05.12 07:27:25.6011558 3124  2216  Agent           [0]0C34.08A8::05/12/2017-07:27:25.601 [agent]Update filtered by policy: 6964AAB4-C5B5-43BD-A17D-FFB4346A8E1D.100
2017.05.12 07:27:25.6393686 3124  2216  Agent           [0]0C34.08A8::05/12/2017-07:27:25.639 [agent]Found 0 updates and 76 categories in search; evaluated appl. rules of 332 out of 535 deployed entities
2017.05.12 07:27:25.6638800 3124  2216  Agent           [0]0C34.08A8::05/12/2017-07:27:25.663 [agent]* END * Finding updates CallerId = UpdateOrchestrator  Id = 6
2017.05.12 07:27:25.6654875 3124  2216  IdleTimer       [0]0C34.08A8::05/12/2017-07:27:25.665 [agent]WU operation (CSearchCall::Init ID 6, operation # 34) stopped; does<NULL> use network; is not at background priority<NULL>
2017.05.12 07:27:25.6676056 3124  6444  ComApi          [0]0C34.192C::05/12/2017-07:27:25.667 [comapi]*RESUMED*   Search ClientId = UpdateOrchestrator, ServiceId = 3DA21691-E39D-4DA6-8A4B-B43877BCB1B7 (cV = 6IiLeL8d80u9qCio.0.1.0.0)
2017.05.12 07:27:25.6682442 3124  6444  ComApi          [0]0C34.192C::05/12/2017-07:27:25.668 [comapi]* END *   Search ClientId = UpdateOrchestrator, Updates found = 0, ServiceId = 3DA21691-E39D-4DA6-8A4B-B43877BCB1B7 (cV = 6IiLeL8d80u9qCio.0.1.0.0)
2017.05.12 07:27:25.6685103 3124  6008  ComApi          [0]0C34.1778::05/12/2017-07:27:25.668 [comapi]* END *   All federated searches have completed. Jobs = 1, Succeeded = 1, ClientId = UpdateOrchestrator (cV = 6IiLeL8d80u9qCio.0.1.0)
2017.05.12 07:27:25.6689859 3124  5420  ComApi          [0]0C34.152C::05/12/2017-07:27:25.668 [comapi]ISusInternal:: DisconnectCall failed, hr=8024000C
2017.05.12 07:27:25.6691399 3124  5420  ComApi          [0]0C34.152C::05/12/2017-07:27:25.669 [comapi]ISusInternal:: DisconnectCall failed, hr=8024000C
 

Es wird angezeigt das 0 Updates gefunden wurden. Es müssten aber 4 Updates sein. Ein "kumulatives Update für 1703", Flash Player, Defender Definitionen und noch ein Update für 1703.

Sunny schrieb on 12.05.17 um 08:20:26:


da sind die Einstellungen der GPO für den WSUS drin. Als HTML wollte das Forum die Datei aber nicht haben. Deswegen habe ich sie als txt hochgeladen...

Den dritten Eintrag habe ich bereits drinnen! Nutzt auch nichts...

Sunny schrieb on 12.05.17 um 10:57:57:


habe dafür sogar ein VBScript das dies bei Problemen automatisch macht. Hilft aber in diesem Fall nichts...

Habe den Fehler nun endlich gefunden und zwar heißt dieser "Dual Scan" und ist ein neues Feature von MS seit der Version 1607. Ich hatte die Richtlinie "DeferUpgrade" deaktiviert. Was an sich richtig ist, aber was ich nicht wusste ist, dass MS "Dual Scan" nicht nur beim Aktivieren dieser GPO, sondern auch beim Deaktivieren aktiviert. Und da dieses Feature nun versucht auf einen WU Server von MS zuzugreifen und dies nicht ging, hat der Dienst den ganzen Update Prozess gestoppt, obwohl auf dem WSUS die Updates ja zu Verfügung standen... 
Tja, MS ist halt manchmal wirklich nicht zu verstehen!!!

Hier noch die Quelle: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).