windows系统局域网内补丁自动分发解决方案

Window操作系统局域网内补丁自动分发解决方案武汉超特网络技术有限公司2012年4月目录1WINDOWS补丁问题现状 (3)2解决思路 (3)3WSUS安装 (4)3.1安装前的准备工作 (5)3.1.1IIS6.0 (5)3.1.2BITS20 (6) Framework 1.1 SP1 (7)3.1.4磁盘空间 (8)3.1.5数据库 (8)3.2安装WSUS2.0+SP1 (9)3.3配置WSUS2.0 (14)3.4同步WSUS2.0 (18)4利用WSUS进行补丁分发 (21)4.1WSUS分组管理 (22)4.2组策略或注册表设置 (25)4.2.1用组策略设置 (25)4.2.2用注册表设置 (29)4.3WSUS更新审批 (31)4.3.1手工批准更新 (32)4.3.2自动批准安装 (35)5链式WSUS部署 (43)5.1启用WSUS服务器间的身份验证 (45)5.2创建允许的下游WSUS服务器列表 (46)5.3配置IIS (47)6物理隔离内网WSUS部署方法 (49)6.1内部网络WSUS部署方案 (49)6.1.1WSUS服务的一般部署方案 (49)6.1.2内部网络中WSUS的安装部署 (50)6.2内网WSUS服务器的首次更新 (50)6.2.1WSUS服务器中更新的数据构成 (50)6.2.2内部网络中WSUS更新的基本方法 (50)6.3内部网络中WSUS持续更新方案的实现与优化 (51)6.3.1改进内部网络中WSUS更新方案的原因 (51)6.3.2实现内部网络中WSUS更新优化的具体方法 (51)6.3.3持续更新的关键——新增更新补丁的自动提取 (52)6.4总结 (53)1windows补丁问题现状目前在企业内网中，90%以上的桌面操作系统以及大部分的服务器都使用了微软公司的产品。

微软产品素以界面友好，功能强大而著称，但同时也以补丁泛滥而令管理员头疼。

微软为弥补产品安全，提供了各种各样的Service Pack，Hotfix…..这些补丁解决的问题五花八门，种类繁多，管理员都有应接不暇的感觉，更别提普通用户了。

但补丁又确实很重要，补丁对应着严重的安全隐患和性能缺陷，我们决不能掩耳盗铃，置之不理。

那该怎么处理这个问题呢？其实微软从Win98之后就在操作系统中内置了Windows Update组件，这个组件可以使用Http或Https自动连接到微软的更新网站去下载所需要的补丁并自动安装。

但对企业用户来说就存在以下问题：其一，带宽问题。

假设某企业500名用户，每人需下载20M补丁，全公司可就至少需要10G的带宽！这可不是个小数目。

如果公司员工同时都去微软下载Windows XP SP3（349M），一定会引发的网络大塞车！其二，安全问题。

并非所有的补丁都适合在当前环境使用。

就以当年的Windows XP Service Pack 2为例，此补丁打上之后，与当时的很多应用程序都会产生冲突，解决办法是只能换用新版本的应用程序。

如果管理员综合权衡安全和灵活因素，就未必会在生产环境第一时间部署这个补丁。

因此，综合来看，用Windows Update组件连接到微软的更新网站更适合家庭用户或小型公司，对中大型企业来看并不适合。

2解决思路基于上述原因，微软为企业用户提供了WSUS（Windows Server Update Services）作为解决方案。

WSUS解决问题的思路很简单，管理员利用WSUS服务器从微软的更新网站下载补丁，然后再发布给内网用户。

这样既能降低网络带宽流量，将补丁下载的数据量降为最低；又能让补丁置于管理员的控制之下，管理员经过审核后，同意发放补丁，用户才可以安装补丁。

WSUS常用的部署拓扑有以下三种，现简介如下：A 单服务器拓扑。

如下图所示，单服务器拓扑是使用最广泛的WSUS拓扑。

单服务器拓扑利用一个WSUS服务器从微软的更新网站下载补丁，然后负责将补丁发给内网用户。

单服务器拓扑是大多数中小公司的最佳选择。

（图1）B 链式拓扑。

如下图所示，链式拓扑定义了上游服务器和下游服务器，上游服务器可以直接连接到微软的更新网站，下游服务器则只能从上游服务器下载更新。

这种拓扑在总公司/分公司的管理模型中比较常见。

考虑到性能因素，链式拓扑很少超过三层。

（图2）C 分离式拓扑。

如下图所示，分离式拓扑指的是在一个与互联网隔离的网络内，WSUS 服务器无法从微软网站进行补丁更新，因此只能先用一个能连接互联网的WSUS服务器下载所需要的补丁，然后将下载的补丁导出成数据。

隔离网络内的WSUS服务器通过导入数据来间接完成补丁的下载。

这种拓扑常用于部队，公安等专用网络。

（图3）WSUS目前常用的是WSUS2.0 和WSUS3.0这两个版本。

这两个版本的前身SUS1.0由于只能支持有限的操作系统补丁管理，已经基本被淘汰了。

下面我们从WSUS2.0＋SP1开始介绍。

3WSUS安装介绍一下实验拓扑，如下图所示，Florence是域的域控制器，Berlin是wsus 服务器，perth是测试用的工作站。

三台计算机都安装了Win2003中文企业版。

（图4）3.1 安装前的准备工作要在Berlin上安装WSUS2.0SP1，需满足下列条件。

3.1.1IIS6.0由于WSUS客户机和服务器之间通过Http或Https传递数据，因此WSUS服务器必然需要IIS的支持。

我们在Berlin上依次点击控制面板－添加或删除程序－添加/删除Windows 组件－应用程序服务器，在应用程序服务器中选择安装Internet信息服务（IIS），如下图所示.（图5）3.1.2BITS20BITS可以支持后台传输，数据压缩，断点续传等高级功能。

WSUS2.0SP1需要BITS2.0的支持，从/downloads/details.aspx?FamilyID=3fd31f05-d091-49b3-8a80-bf9b832 61372&DisplayLang=zh-cn下载BITS2.0，然后启动安装程序，安装过程非常简单，如下图所示，安装完BITS2.0后重启Berlin即可。

注：Win2003SP1不需要安装此补丁。

（图6） Framework 1.1 SP1WSUS2.0SP1还需要.Net Framework 1.1 SP1的支持。

从/downloads/details.aspx?displaylang=zh-cn&FamilyID=AE7EDEF7-2C B7-4864-8623-A1038563DF23下载.Net Framework 1.1 SP1 for Win2003，启动安装程序，安装过程非常简单，如下图所示，在此不再赘述。

注：Win2003SP1不需要安装此补丁。

（图7）3.1.4磁盘空间WSUS2.0SP1要求系统分区至少应有1G的剩余空间，WSUS的更新文件需要至少6G 空间，WSUS的元文件至少需要2G空间。

解释一下，更新文件是我们安装补丁时所需要的二进制文件，元文件则负责提供更新文件的信息，例如这个补丁修补了哪些漏洞，适用于哪些版本，需要哪些安装条件等等。

更新文件存储在目录中，元文件存储在数据库中。

建议将WSUS数据安装在非系统分区，并且至少准备8G剩余空间，用虚拟机作实验的朋友尤其作注意这点！3.1.5数据库WSUS的后台数据库可以是SQL2000，MSDE或WMSDE。

WSUS安装时自带了WMSDE，MSDE是大家很熟悉的数据库桌面引擎，MSDE和WMSDE的区别在于MSDE 有最大不能超过2G的限制，而WMSDE没有。

MSDE和WMSDE都没有提供管理工具，如果你需要管理工具，可以考虑安装SQL2000+SP3作为WSUS的后台数据库，也可以在WMSDE或MSDE的基础上加装一个SQL2000管理工具。

建议如无特殊需求，使用WSUS 自带的WMSDE数据库即可。

3.2 安装WSUS2.0+SP1作好安装前的准备工作后，我们就可以进行WSUS2.0的安装了。

如下图所示，启动WSUS2.0SP1的安装程序后出现了安装向导。

（图8）接受软件许可协议，下一步。

（图9）设置存储WSUS更新文件的目录为E:\WSUS，更新文件至少需要6G磁盘空间。

（图10）WSUS后台数据库选用自带的WMSDE，设置数据库的存储目录为E:\WSUS。

（图11）选择WSUS是利用IIS的默认网站发布补丁还是新建一个网站进行补丁发放。

建议如果有可能，尽量选择80端口的默认网站。

因为考虑到以后的应用，默认网站兼容性还是要好一些。

（图12）安装向导询问WSUS是否从镜像服务器继承设置，我们准备把Berlin作为一个独立的WSUS服务器进行管理，不从任何WSUS服务器继承设置。

（图13）安装向导收集数据完毕，点击"下一步"开始安装.（图14）经过一段时间的等待，安装终于完成。

（图15）3.3 配置WSUS2.0WSUS2.0安装完成后，我们需要先对WSUS进行一些基本的设置，例如WSUS可以下载哪些微软产品的补丁？哪种语言的补丁等等。

我们在浏览器中输入Http://berlin/wsusadmin 启动WSUS的管理界面，如下图所示，我们点击右上角的"选项"（图16）如下图所示，选择"同步选项"（图17）如下图所示，我们可以设置补丁所涉及的微软产品以及补丁分类。

在产品和分类中，点击红圈处的"更改"，准备对补丁所涉及的微软产品进行设置。

（图18）如下图所示，由于我们实验环境中所有的操作系统都是Win2003，因此我们只选择了"Windows server 2003，Datacenter Edition"，这样WSUS就只会下载Win2003操作系统的相关补丁。

值得注意的是，现在WSUS20.只能支持操作系统相关补丁，但WSUS2.0开始工作后，就会连接到微软更新网站对自身组件进行更新，更新完毕后WSUS就可以支持微软的全系列产品了。

（图19）接下来设置WSUS的补丁分类，如下图所示，WSUS默认只下载"安全更新"和"关键更新程序"类的补丁，这两类补丁这是在工作中使用最多的。

（图20）设置完补丁的产品和分类后，我们来设置一下更新文件存储的位置以及更新的语言版本，如下图所示，点击红圈处的"高级"进行设置。

（图21）如下图所示，我们选择将更新文件存储到WSUS服务器。

如果企业访问互联网的带宽很充足，也可以选择不在本地存储更新，只在WSUS保留元文件，用户需要更新文件时仍然去微软网站下载。

我们在语言设置中选择仅下载简体中文版本的补丁。