WSUS - "Nicht zugewiesene Computer" bleibt leer

[Bodenklappe 10]

Guten Tag!

 

Ich habe Ende letzter Woche WSUS 3.0 mit SP1 auf unserem SBS 2003 installiert und konfiguriert. Was mir fehlt ist da Hinzufügen von Computern, auf die die Updates angewendet werden. Leider finde ich in keinem HowTo, wie ich das genau zu machen mache. Überall geht das immer von selbst oder beiläufig mit irgendwas von wegen "Gruppenrichtlinie auf OU anwenden". Wie gerade diese geht, weiß ich aber nicht. Deshalb hoffe ich, daß mir das hier jemand genau sagen kann.

Mein Problem ist so ähnlich wie das auf http://www.mcseboard.de/windows-forum-ms-backoffice-31/wsus-clientcomputer-hinzufuegen-142277.html , aber so richtig hilft mir die Anleitung dort nicht. Zur besseren Übersicht mache ich deshalb ein neues thema auf. Vor allem kann ich mit dem Screenshot von Sunny61 nicht so recht etwas anfangen. Muß ich dafür eine extra Gruppenrichtlinie anlegen, und wenn ja: wo und genau welche? Auf dem Bild heißt sie einfach XP_SUS, aner ich sehe den Ort nicht.

 

Was ich bisher gemacht habe: WSUS installiert und konfiguriert, die gewünschten Updates heruntergeladen, ein paar davon testweise freigegeben, ein paar Computergruppen angelegt. Nur sind die alle leer, vor allem die Gruppe "Nicht zugewiesene Computer", und auch nach ein paar Tagen inzwischen erscheint dort kein einziger Computer. Deshalb bin ich mir sicher, daß ich noch nicht alles richtig gemacht habe. Als erstes habe ich natürlich Installing Windows Server Update Services 3.0 on Windows Small Business Server 2003 gelesen. Im Gruppenrichtlinienobjekt-Editor habe ich unter "Windows Update" die automatischen Updates aktiviert und auf Stufe 3 gesetzt. Dann habe ich den internen Pfad aktiviert und auf meinen Serverpfad gesetzt: http://sbs , dazu noch "keinen automatischen Neustart" und das Updateintervall auf alle 24h gesetzt. Laut allen HowTos soll das soweit okay sein, fehlen mir die Clients in der Liste. In bisher keiner Anleitung oder Hilfe bei ähnlichen Problemen konnte ich entdekcne, wie ich nun weiter vorgehen muß. Auch hier HOWTO Installation und Konfiguration eines Windows Update Servers mittels WSUS - Teil 2 - administrator sehe ich nicht, wie ich die Computer tatsächlich in der Gruppe "Nicht zugewiesene Computer" sichtbar mache.

Ich habe herausgefunden, daß ich im AD mit der rechten Maustaste auf meine interne Domäne ein vorhandenes Gruppenrichtlinienobjekt verknüpfen kann. Nur kann ich dort die vom Windows Update gar nicht auswählen. Um sicher zu gehen, daß ich das richtige meine, habe ich einen Screenshot angehängt.

Auf dem Client habe ich einmal gpresult laufen lassen, konnte aber nichts entdecken, was mir sagt, daß die entsprechende Update-Richtlinie greift. Wenn ich rsop.msc ausführe, bekomme ich den Richtlinienergebnissatz angezeigt, in dem aber unter Computerkonfiguration/Administrative vorlagen kein passender Eintrag ist. Meine Einstellungen im IIs stimmen mit diesen hier File-Upload.net - WSUS_IIS.png überein, doch im Clientdiag.exe bekomme ich als letztes die Mledung "UseWuServer is disabled - fail".

 

Schaue ich in das WindowsUpdate.log auf einem Client, steht dort bei alten Einträgen (vor WSUS) immer " DnldMgr Regulation server path: http://update.microsoft.com/v6/UpdateRegulationService/UpdateRegulation.asmx.". Seitdem ich das auf WSUS umstellen will, meldet der Client das im Log so wie im Anhang.

WindowsUpdate.txt

[Bodenklappe 10]

Bitte noch ein paar Fragen zusätzlich:

Ich habe einige Progrdukte ausgewählt, die ich jetzt nicht mehr haben will. Deshalb habe ich sie ohne Haken wieder abgewählt (z.B. Windows 2000 hat bei uns keiner). Werden die beim Synchronisieren wieder entfernt? Ich brauche die ja nicht. Oder muß ich die von Hand entfernen?

Macht es Sinn, kategorisch alle Updates zu genehmigen? Ich weiß, das müßte ich selbst entscheiden, wann gibt es schon mal Updates, die man wirklich nicht haben will? Das sind doch sehr wenige. Dieses ganze Windows-Live-Zeug, das neuerdings reinkommt, aber sonst?

Bei vielen Updates steht, daß sie von einem neueren ersetzt wurden. Kann man die global dann gleich deaktivieren? Ich frage mich, weshalb die überhaupt in der Liste auftauchen. Es wäre doch sinniger von MS, diese beim Ersetzen durch ein neueres Updates gleich herauszunehmen. Wozu soll sich jeder Betreiber eines WSUS die immer erst mit herunerladen um dann zu sagen "ich will die ja garn icht"?

Wenn man diese Updates mit genehmigt, werden die doch vermutlich eh nicht installiert, weil sie zu alt sind, richtig? Oder bekomtm der Benutzer dann jedesmal eine Meldung über dieses nicht installierbare Update? Das wäre etwas lästig.

 

An einer Stelle las ich, daß jemand die Windows Updates für Clients auf Stufe 4, für Server auf Stufe 3 gesetzt hat. `Das möchte ich auch so machen. Ich konnte aber nicht finden, wie ich das einzeln für Server oder Clientcomputer einrichte. Wo bitte finde ich das?

Das Webinterface hatte ich bei der Installation auf den Port 8530 legen lassen. Wenn ich dorthin verbinde, werde ich nach Username und Paswswort gefragt . Als Administrator des Domänencontrollers kann ich mich da komischerweise nicht anmelden, der Anmeldedialog wiederholt sich einfach ohne weitere Rückm,eldung (kann Absicht sein, habe dazu keine Angaben gefunden). Nur als Benutzer mit Dom-Admin-Rechten kann ich mich anmelden. Doch kommt dann die Meldung " Auflistung in Verzeichnis verweigert. In diesem virtuellen Verzeichnis können keine Inhalte aufgelistet werden". Allerdings klappt der Download der Testdatei http://sbs:8530/selfupdate/wuident.cab anstandslos. Er wird nur von der Meldung "Sie haben nicht die erforderliche Berechtigung, um die Seite anzuzeigen" begleitet. Da der Download klappt, denke ich, daß der Kontakt seitens des Clients zum WSUS auch funktioniert. Hilft das bei der Diagnose des Problems oben?

 

Danke fürs Lesen, ist leider sehr lang geworden, aber es sollte möglichst genau schildern, was das Problem ist.

[Necron 71]

Bitte noch ein paar Fragen zusätzlich:

Ich habe einige Progrdukte ausgewählt, die ich jetzt nicht mehr haben will. Deshalb habe ich sie ohne Haken wieder abgewählt (z.B. Windows 2000 hat bei uns keiner). Werden die beim Synchronisieren wieder entfernt? Ich brauche die ja nicht. Oder muß ich die von Hand entfernen?

Hi,

 

die musst du von Hand ablehnen.

 

An einer Stelle las ich, daß jemand die Windows Updates für Clients auf Stufe 4, für Server auf Stufe 3 gesetzt hat. `Das möchte ich auch so machen. Ich konnte aber nicht finden, wie ich das einzeln für Server oder Clientcomputer einrichte. Wo bitte finde ich das?

Das Webinterface hatte ich bei der Installation auf den Port 8530 legen lassen.

Hierzu müsstest du die Server und Clients in separate OU's stecken. Dann für jede OU eine eigene GP erstellen.

 

Nun zu deinem Problem, dass sich die Clients nicht melden. Ist ganz einfach, da du den WSUS auf Port 8530 installiert hast, musst du auch in der Richtlinie wo du den Updateserver mit übergibst http://sbs:8530 angeben, damit sich die Clients Updates ziehen können.

 

Dir ist schon klar das der WSUS 3.0 über die MMC verwaltet wird und nicht über ein Webinterface, wie es beim WSUS 2.0 noch der Fall war.

[WSUSPraxis 48]

Hallo und Abend,

 

auf WSUSpraxis.de und Blog.WSUSpraxis.de findest Du eigentlich alles zum Thema.

 

Kannst Du mal bitte Punkt für Punkt schreiben, wo nun Du genau nicht weiter kommst bzw. was Du schon unternommen hast ?

 

Dann können wir Dir bestimmt schneller helfen ?

 

 

Viele Grüße Arnd

[Bodenklappe 10]

Hi,

 

die musst du von Hand ablehnen.

Geht also nicht pro Produkt, z.B. "wirf alle Updates heraus, die nur von W2k bentigt werden". Dann manuell.

 

Hierzu msstest du die Server und Clients in separate OU's stecken. Dann fr jede OU eine eigene GP erstellen.

Okay, das schaue ich mir mal nach meinem Urlaub an.

Nun zu deinem Problem, dass sich die Clients nicht melden. Ist ganz einfach, da du den WSUS auf Port 8530 installiert hast, musst du auch in der Richtlinie wo du den Updateserver mit bergibst http://sbs:8530 angeben, damit sich die Clients Updates ziehen knnen.

Danke, z.B. diesen Hinweis habe ich nirgends gelesen. Habe ich gemacht ... dauert aber fuuuuuurchtbar lange. Nach 6 Stunden taucht der Client erst auf, obwohl ich ihn sofort mit wuauclt /detectnow und /reportnow zum Anmelden geschickt habe. Der Server selbst tauchte auch erst nach dem Wochenende auf, obwohl er ja selbst schnell sein sollte. Ob es fr den SBS auch ohne diese Portangabe ging, kann ich nicht sagen, weil ich erst danach in die Konsole schaute.

Trotzdem habe ich auf dem Client noch einen Fehler wie hier WSUS clients , das schaue ich mir auch nach dem Urlaub an.

 

Dir ist schon klar das der WSUS 3.0 ber die MMC verwaltet wird und nicht ber ein Webinterface, wie es beim WSUS 2.0 noch der Fall war.

 

Ja. Wenn das angeboten wird, will ich es mir aber zumindest mal kurz anschauen. Neugier eben.

[Bodenklappe 10]

Hallo und Abend,

 

auf WSUSpraxis.de und Blog.WSUSpraxis.de findest Du eigentlich alles zum Thema.

Die Seite kannte ich, fand sie aber nicht hilfreich. Dort stehen auch nur die selben Standaradangaben wie überall, hauptsähclih Installationsanleitung. Alles Wesentliche, nämlich welche präzisen Einstellungen (GPO, Reg ...) erforderlich sind, damit man Clients hinzufügen kann, fehlt dort.

Kannst Du mal bitte Punkt für Punkt schreiben, wo nun Du genau nicht weiter kommst bzw. was Du schon unternommen hast ?

Ich wundere mich etwas. Genau das habe ich in meinen beiden ersten Beiträgen nun wirklich haarklein beschrieben, woran es hapert.

[Bodenklappe 10]

Was mir mißfällt ist, daß ich trotz der Gruppenrichtlinie für jeden Client die Registry ändern muß. Nach meinem Verständnis soltle doch gerade Sinn der Gruppenrichtlinie sein, daß ich domänenweit allen Clients melde "hier ist euer neue Windows-Update-Server, holt die Updates ab jetzt von dort". Ist das falsch gedacht oder fehlt noch irgendwas in meinen Einstellungen, damit das klappt? Laut gpresult wird die Gruppenrichtlinie gar nicht angewendet.

[Necron 71]

Die Seite kannte ich, fand sie aber nicht hilfreich. Dort stehen auch nur die selben Standaradangaben wie überall, hauptsähclih Installationsanleitung. Alles Wesentliche, nämlich welche präzisen Einstellungen (GPO, Reg ...) erforderlich sind, damit man Clients hinzufügen kann, fehlt dort.

Steht auch dort, aber naja.

Es scheint mir als ob bei dir am SBS noch mehr nicht funktioniert, was sagt denn das Ereignisprotokoll am Server?

[Dukel 436]

Was mir mißfällt ist, daß ich trotz der Gruppenrichtlinie für jeden Client die Registry ändern muß. Nach meinem Verständnis soltle doch gerade Sinn der Gruppenrichtlinie sein, daß ich domänenweit allen Clients melde "hier ist euer neue Windows-Update-Server, holt die Updates ab jetzt von dort". Ist das falsch gedacht oder fehlt noch irgendwas in meinen Einstellungen, damit das klappt? Laut gpresult wird die Gruppenrichtlinie gar nicht angewendet.

 

Was hast du in der Reg. Lokal geändert?

[WSUSPraxis 48]

Die Seite kannte ich, fand sie aber nicht hilfreich. Dort stehen auch nur die selben Standaradangaben wie überall, hauptsähclih Installationsanleitung. Alles Wesentliche, nämlich welche präzisen Einstellungen (GPO, Reg ...) erforderlich sind, damit man Clients hinzufügen kann, fehlt dort.

 

Ich wundere mich etwas. Genau das habe ich in meinen beiden ersten Beiträgen nun wirklich haarklein beschrieben, woran es hapert.

 

 

@Bodenklappe

 

 

Also dann verstehe ich vielleicht deine Beiträge nur nicht !

 

 

Ich würde das Problem ja trotzdem gerne lösen ! Was genau verstehst Du bei meinen Beschreibungen auf WSUSpraxis.de nicht ?

Im Notfall könnte ich Dir auch eine Step by Step Anleitung geben.

 

Viele Grüße Arnd

[NorbertFe 1.809]

Was mir mißfällt ist, daß ich trotz der Gruppenrichtlinie für jeden Client die Registry ändern muß. Nach meinem Verständnis soltle doch gerade Sinn der Gruppenrichtlinie sein, daß ich domänenweit allen Clients melde "hier ist euer neue Windows-Update-Server, holt die Updates ab jetzt von dort". Ist das falsch gedacht oder fehlt noch irgendwas in meinen Einstellungen, damit das klappt? Laut gpresult wird die Gruppenrichtlinie gar nicht angewendet.

 

Das sollte auch so sein. Und damit wir nicht rumraten müssen, wäre es sinnvoll, wenn du deine Schritte mal etwas erläuterst.

 

Funktionieren denn GPOs prinzipiell?

 

Bye

Norbert