وقتی هر رایانه شرکت خودش و هر وقت خواست از اینترنت به‌روزرسانی بگیرد، چند مشکل پیش می‌آید: پهنای باند اینترنت در ساعات کاری مصرف می‌شود، هیچ‌کس دقیق نمی‌داند کدام رایانه‌ها وصله‌های امنیتی را نصب کرده‌اند و یک به‌روزرسانی مشکل‌دار ممکن است هم‌زمان روی همه سیستم‌ها نصب شود.
WSUS (Windows Server Update Services) نقشی در ویندوز سرور است که به‌روزرسانی‌ها را یک‌بار از مایکروسافت دریافت می‌کند و شما تعیین می‌کنید کدام به‌روزرسانی، چه زمانی و روی کدام گروه از رایانه‌ها نصب شود.
مایکروسافت WSUS را در فهرست قابلیت‌های منسوخ‌شده (Deprecated) قرار داده است؛ یعنی قابلیت جدیدی به آن اضافه نمی‌شود، اما فعلاً همچنان پشتیبانی می‌شود و به‌روزرسانی‌ها از طریق آن منتشر می‌شوند. برای برنامه‌ریزی بلندمدت، وضعیت آن و راهکارهای جایگزین مایکروسافت را دنبال کنید.
راه‌اندازی اولیه
- نقش WSUS را روی یک سرور عضو دامین نصب کنید؛ ترجیحاً سروری که نقش حساسی مثل کنترلر دامین ندارد.
- محل ذخیره فایل‌های به‌روزرسانی را روی دیسکی جدا با فضای کافی قرار دهید، نه درایو سیستم‌عامل.
- برای دیتابیس، Windows Internal Database در بیشتر شرکت‌های کوچک و متوسط کافی است.
- در ویزارد پیکربندی فقط محصولاتی را انتخاب کنید که واقعاً در شبکه دارید، مثلاً نسخه‌های ویندوز و Office مورد استفاده.
- در بخش Classifications، دسته‌های Security Updates و Critical Updates و در صورت نیاز Updates را انتخاب کنید و Drivers را جز در صورت نیاز واقعی کنار بگذارید.
انتخاب همه محصولات و همه دسته‌ها رایج‌ترین اشتباه است؛ دیسک و دیتابیس WSUS به‌سرعت پر می‌شود و کنسول آن کند می‌شود.
گروه‌بندی رایانه‌ها
رایانه‌ها را در گروه‌های جدا قرار دهید تا به‌روزرسانی‌ها مرحله‌به‌مرحله نصب شوند:
- Test: چند رایانه از واحدهای مختلف و یک سرور غیرحیاتی
- Workstations: رایانه‌های کاربران
- Servers: سرورها، با زمان نصب و ری‌استارت جداگانه
بهترین روش گروه‌بندی، Client-side Targeting است: در تنظیمات WSUS استفاده از Group Policy برای تعیین گروه را فعال کنید و در GPO مربوط به هر OU، نام گروه مقصد را بنویسید.
تنظیم کلاینت‌ها با Group Policy
تنظیمات زیر در بخش Windows Update از Administrative Templates قرار دارند؛ نام و محل دقیق آن‌ها بسته به نسخه ویندوز کمی متفاوت است:
- Specify intranet Microsoft update service location: آدرس سرور، مثلاً
http://wsus01:8530 - Enable client-side targeting: نام گروه، مثلاً
Workstations - Configure Automatic Updates: نحوه و زمان دانلود و نصب
- تنظیمات مهلت نصب و ری‌استارت، تا کاربر نتواند به‌روزرسانی را برای همیشه عقب بیندازد
چرخه ماهانه به‌روزرسانی
- پس از انتشار به‌روزرسانی‌های ماهانه، آن‌ها را برای گروه Test تأیید (Approve) کنید.
- چند روز رفتار رایانه‌ها و نرم‌افزارهای اصلی شرکت را زیر نظر بگیرید.
- اگر مشکلی دیده نشد، برای Workstations و سپس Servers تأیید کنید.
- با گزارش‌های WSUS، رایانه‌هایی را که خطای نصب دارند یا مدتی است گزارش نداده‌اند پیدا و مشکل‌شان را رفع کنید.
نگهداری که معمولاً فراموش می‌شود
WSUS بدون نگهداری به‌مرور کند و ناپایدار می‌شود. به‌روزرسانی‌های جایگزین‌شده (Superseded) را رد (Decline) کنید، Server Cleanup Wizard را به‌صورت دوره‌ای اجرا کنید و فضای دیسک را پایش کنید. بخشی از این کارها را می‌شود با دستوری مثل Invoke-WsusServerCleanup -CleanupObsoleteUpdates -DeclineSupersededUpdates در PowerShell زمان‌بندی کرد.
چک‌لیست
- فقط محصولات و دسته‌های لازم انتخاب شده‌اند.
- فایل‌های WSUS روی دیسک جدا با فضای کافی ذخیره می‌شوند.
- گروه‌های Test، Workstations و Servers تعریف شده‌اند.
- کلاینت‌ها با Group Policy به WSUS و گروه درست متصل‌اند.
- هر ماه به‌روزرسانی‌ها اول روی گروه Test سنجیده می‌شوند.
- پاک‌سازی دوره‌ای انجام می‌شود و رایانه‌های عقب‌مانده پیگیری می‌شوند.
اگر می‌خواهید وضعیت وصله‌های امنیتی همه رایانه‌ها را یک‌جا ببینید، کارشناسان ITPlus724 می‌توانند WSUS را راه‌اندازی یا سامان‌دهی کنند و چرخه به‌روزرسانی ماهانه را برای شرکت شما طراحی کنند.