WSUS Verständnisfrage

[CoolAce 17]

Hallo zusammen,

 

ich habe mal eine kleine Frage zu dem Punkt Produkte und Klassifizierungen. 

Wir haben einen Exchange 2013 nach einer Migration laufen und auf dem WSUS 4.0 ist ausgewählt

1) Exchange 2007 and Above Anti-Spam

2) Exchange 2010

3) Exchange 2013

 

Ich denke mal Exchange 2010 kann ich gefahrlos abwählen da alle weg sind. Wo mich mir unsicher bin ist der Punkt Exchange 2007 and Above Anti-Spam,

nutzt der Exchange 2013 davon etwas oder unser EndPoint Protection ?

 

Gruß

 

Coolace

[Dukel 436]

Du kannst alle Produkte im Wsus lassen, solange du nur die Patches Approvest, die angefordert werden. Wenn kein Exchange 2007 oder 2010 vorhanden ist und Patches anfordert und du nicht alles approvest wird auch nur das was benötigt wird heruntergeladen.

[Sunny61 773]

Du kannst alle Produkte im Wsus lassen, solange du nur die Patches Approvest, die angefordert werden.

 

Wenn das alle so machen würden... ;)

[CoolAce 17]

OK, d.h. er ladet hier nicht die kompletten Pakete mit einigen 100MB oder GB herunter sondern nur die "Meta-Daten", erst wenn ich diese genehmige holt sich der WSUS diese aus Internet vom Microsoft Server ?

[Sunny61 773]

OK, d.h. er ladet hier nicht die kompletten Pakete mit einigen 100MB oder GB herunter sondern nur die "Meta-Daten", erst wenn ich diese genehmige holt sich der WSUS diese aus Internet vom Microsoft Server ?

Genau, erst wenn Du das Update zur Installation freigegeben hast, *lädt* der WSUS das Update herunter. Und anschließend können die Clients sich das/die Update(s) beim WSUS abholen.

[CoolAce 17]

perfekt, dann Danke dafür, jetzt hab ich es verstanden

[Andre.Heisig 2]

Genau, erst wenn Du das Update zur Installation freigegeben hast, *lädt* der WSUS das Update herunter. Und anschließend können die Clients sich das/die Update(s) beim WSUS abholen.

 

und sogar das könnte man dahingehend ändern, dass sich die Clients die Downloads direkt bei MS holen, statt vom WSUS. Allerdings nur global, und nicht rechner-bezogen.

[Sunny61 773]

und sogar das könnte man dahingehend ändern, dass sich die Clients die Downloads direkt bei MS holen, statt vom WSUS. Allerdings nur global, und nicht rechner-bezogen.

 

Welchen Sinn soll das ganze haben? Nur für Aussendienst-MA die sich selten per VPN verbinden oder wenn ich einen WSUS ins Internet stelle und für diese MA eigens einrichte und konfiguriere.

 

Ansonsten kann ich natürlich einen weiteren WSUS ins LAN stellen, sogar mit dem Mainstream-WSUS replizieren lassen und trotzdem die Updates von MS holen lassen. Und diesen WSUS gebe ich dann ein paar ausgesuchten Rechnern per GPO mit. Und das GPO wird mit einer Sicherheitsgruppe, die nur diesen einen Client als Mitglied hat, gefilter. Ziel erreicht. ;)

[Andre.Heisig 2]

Nein, wir haben glaub ich aneinander vorbei geredet. Ich meinte Freigabe von Updates und Statuskontrolle nach wie vor per (internem) WSUS, aber das Zwischenspeichern der Updates selber auf den WSUS unterbinden.

 

Der Sinn ist "ausschlieslich", die WSUS-Datenbank / Repository klein und die WSUS-Konsole geschmeidig zu halten; ich hatte auf mittelmäßig dimensionierten PCs schon derbe Performance-Probleme mit WSUS-Datenbanken in der Standardkonfiguration; insbesondere im Zusammenhang mit SBS-Installationen, da dort zwingend alle Updates für alle Produkte gezogen werden müssen. Sonst steigt die WSUS-Integration in der SBS-Konsole aus. Ein solcher WSUS schaufelt zig GB zusammen, und mit mehreren Zehntausend Updates wird auch die Konsole selber irgendwann nahezu unbedienbar und absturzfreudig. (Ich hatte hierzu mal hier nen Fred aufgemacht ;-))

 

Im Gegenzug für den Platz und die performante Datenbank erhöht man natürlich den Traffic nach draussen um ein Vielfaches; das Szenario ist insofern wohl nur im SBS-Umfeld brauchbar, in größeren Umgebungen vermutlich eher nicht. Da sind dann aber die WSUS-Kisten anders dimensioniert und laufen i.d.R. eher nicht "auch noch" auf einem SBS, mit AD, Exchange und Fileserver.

 

;-)

bearbeitet 15. Dezember 2014 von Andre.Heisig

[XP-Fan 215]

Hallo,

 

...... insbesondere im Zusammenhang mit SBS-Installationen, da dort zwingend alle Updates für alle Produkte gezogen werden müssen.

 

 

also das was du hier schreibst ist mir bisher noch nicht untergekommen ... hast du Quellen zu dem Zwang ?

 

 

 

ich hatte auf mittelmäßig dimensionierten PCs schon derbe Performance-Probleme mit WSUS-Datenbanken

 

 

Sei mir nicht böse aber wenn ich PC und Serversoftware in einem Satz lese stimmt etwas nicht mit der Planung. :suspect:

Was war denn dort an Hardware im Einsatz ?

 

 

[Sunny61 773]

In http://www.wsus.de/scriptskannst Du dir ein Cleanup Script aussuchen. Das lässt man, nicht nur beim SBS, regelmässig laufen, dann gibt es keine Probleme mit Konsolen oder Datenbanken.

 

Und Produkte die man nicht braucht, kann man auch beim SBS deaktivieren. Und immer schön das Aufräumscript laufen lassen. ;)

[Andre.Heisig 2]

Hallo,

 

also das was du hier schreibst ist mir bisher noch nicht untergekommen ... hast du Quellen zu dem Zwang ?

 

Wir haben das mal hier ausführlicher diskutiert, siehe insbesondere ab Post #26, und den MS-Link zur "Reparatur" des WSUS, wenn eine indivduelle Konfiguration die SBS-Konsole aus dem Tritt bringt.

 

Der SBS, konkreter die WSUS-Integration in die SBS-Konsole und Statusmails, erwartet eine recht vorgegebene WSUS-Konfig, insbesondere bei der Produktauswahl.

 

Ich hab bei 2003er und 2008er SBS'en persönlich schon sehr aufwendig WSUS-Neuinstallationen durchführen müssen, weil ich die Produktauswahl abgespeckt habe, und mich die SBS-Konsole hernach belehrt hat, dass sie das für eine weniger gute Idee hielt, und auch mit einem Wiederanhaken der abgewählten Produkte nicht mehr zufrieden gab. Seither fahre ich die auf SBS-Maschinen in meinem Dunstkreis weitestgehend im Standard, bis auf die erwähnte Download-Option.

 

Ob der 2011er SBS da "robuster" ist, kann ich nicht sagen, weil nicht mehr getestet.

 

Edit: Zumindest die Anleitung ist inhaltlich identisch:

http://technet.microsoft.com/de-de/library/gg680316.aspx.

Zitat: "Click Products and Classifications, and then on the Products tab, verify that all check boxes are selected."

Zitat 2: "On the Home tab, in the Network Essentials Summary, the Updates status shows as Not Available."

(das klassische Symtom, wenn man nicht gemäß Standard-Setup fährt. Geht teilweise soweit, dass die Statusmails des SBS nicht gesendet werden, vermutlich weil der WSUS nicht abgefragt werden kann.)

 

 

Und Produkte die man nicht braucht, kann man auch beim SBS deaktivieren.

 

Ja, kann man. Der WSUS selber wirds dann sogar immer noch tun. Deine SBS-Konsole wird aber den Status des WSUS nicht mehr abfragen können.

 

;)

 

Ich wollte auch keine Diskussion über Sinn oder Unsinn bestimmter WSUS-Optionen vom Zaun brechen. Fakt ist, dass es im WSUS 3.x unter "Dateien und Sprache aktualisieren" eine Option gibt, die Updates nicht auf dem WSUS zu lagern, sondern von MS direkt runterzuladen. Für diese Option wird es sinnvolle Szenarien geben, ob, wann und wer sich in einem solchen widerfindet, darf ja jeder selber entscheiden.

 

In dem Sinne: Gute Nacht! :)

bearbeitet 15. Dezember 2014 von Andre.Heisig