WSUS per GPO - mehrere Standorte - WMI Filter

[dataKEKS 11]

Hallo Forum!

 

Wir diskutieren bei uns gerade ein GPO Problem wo jeder eine andere Meinung hat, nur leider kommen wir bislang auf keinen funktionierenden Konsens, nur da sicher nicht nur wir das Thema haben dachte ich mir stellen das mal hier ein um zu sehen wie ihr das Thema angeht.

 

Folgendes Thema: Wir haben ein Netzwerk über mehrere Standorte die teilweise auch einen eigenen WSUS haben. Das mussten wir anfangen weil die Bandbreite in der Zentrale bescheiden ist (2MBit/s synchron, mehr genehmigt der Chef nicht) und ein Standort mittlerweile über 30 Clients hat die sich zum Teil auch noch zwischen den Standorten hin und her bewegen.

 

Unser aktueller Lösungsansatz: Wir haben WMI Filter erstellt die je nach Standort auf den WSUS der Zentrale verweisen oder eben vom zweiten Standort mit WSUS usw.

 

Daraus ergeben sich für uns aktuell nur leider zwei Probleme bei deren Lösung wir uns nicht einig werden: Machen wir für die Standorte ohne WSUS auch einen WMI Filter und verweisen auf die Zentrale? Wie machen wir das mit den Aussendienstlern die per VPN Gateway an der Zentrale angebunden sind und dadurch alle GPOs beim Rechnerstart sehen und abarbeiten....

 

Wenn wir einen WMI Filter für die Aussendienstler machen deren Netze sich alle in der gleichen Range befinden (ich meine 172.31.x.y) würdet ihr da einen gemeinsamen WMI Filter mit Wildcards machen oder habt ihr eine noch pfiffigere Idee?

 

 

Gruß

dataKEKS

[Dunkelmann 96]

Moin,

 

warum so kompliziert?

Wenn die Standorte und Subnetze im AD sauber gepflegt sind, kann man den WSUS wunderbar per Standort-Richtlinie zuweisen.

[Sunny61 773]

Das man die vom BITS verwendete Bandbreite per GPO konfigurieren kann, weißt Du schon? http://www.wsus.de/bits

[daabm 1.187]

Wir diskutieren bei uns gerade ein GPO Problem wo jeder eine andere Meinung hat

Und jetzt kommen noch 20 Meinungen dazu :)

 

Unser aktueller Lösungsansatz: Wir haben WMI Filter erstellt die je nach Standort auf den WSUS der Zentrale verweisen oder eben vom zweiten Standort mit WSUS usw.

Entweder verlinkst Du unterschiedliche GPOs an die - hoffentlich im AD gepflegten! - Sites. Oder Du verteilst die zugehörigen Registrierungswerte per Group Policy Preferences mit Zielgruppenadressierung. Die Reg-Werte findest Du unter gpsearch.azurewebsites.net

 

Ich würde zweiteres machen :)

 

VPN Gateway

Das hat ja sicher auch einen IP-Bereich - definiere also auch dafür eine Site, dann kannst Du das wie oben abdecken und sogar realisieren, daß die dann eben NICHT zum WSUS gehen, sondern direkt bei MS runterladen. Wenn Du das willst, natürlich...

[dataKEKS 11]

Ich fange mal oben an:

 

- Die Standorte für die Standorte mit Server sind "natürlich" komplett gepflegt, nur für die Homeoffices haben wir das nicht gemacht. Würdet ihr das tun?

- Wenn wir das Konzept mit den Standorten weiter denken: Dann einfach pro Standort zwei GPOs für Client und Server die wir dann per WMI auf den jeweiligen Clienttyp Server / Client filtern damit die Zuordnung stimmt, richtig? Oder - hoffentlich noch besser: Die eigentlichen WSUS GPOs für Clients bzw. Server bleiben wie sie sind allgemein und nur den internen Pfad legen wir auf die Standorte - wäre wohl die sauberste und schlankeste Umsetzung wenn ich mir das gerade richtig überlege....

- BITS Bandbreite per GPO kenne ich, nur die Anbindung an der Zentrale ist echt am Ende nachdem aktuell ein Projekt mit MDE losgeht, daher sind wir ja mit dem zweitgrößten Standort schon ausgewandert. Selbst die Zugänge auf den Terminalserver für die Warenwirtschaft hat mittlerweile andauernd Aussetzer... Wir wären froh der Chef und damit Entscheider wäre nicht so ein ausgeprägter Schwabe, für 150 Mitarbeiter sollte eine 10MBit/s Leitung echt nicht das Thema sein, nur ihn zu ändern......

 

Grüße aus der Sauna BaWü

dataKEKS

[MHenning 11]

Moin Zusammen,

 

wir haben auch mehrere Standorte, verwenden aber VMware Horizon View dazu.

Und die 3 Außenstandorte  sind alle mit 2 MBit angebunden. dort arbeiten jeweils bis zu 15 Mitarbeiter gleichzeitig.

 

Jetzt meine Idee

Wir verwenden Watchguard Firewalls. Diese können eine USB Festplatte aufnehmen die man als Netzwerkfestplatte einbinden kann.

Dort dann nachts die Updates draufschieben, so das die Clients das nicht jeder für sich über die 2MBit Leitung die Updates zieht.

Auch eine Netzwerkfestplatte könnte genau das tun.

Dann können die Clients lustig Updates installieren.

 

Man könnte auch einen alten Rechner hinstellen (wenn man knausern muss) und da nen Wsus draufpacken.

Die haben dort am Standort doch bestimmmt noch eine freie Internetleitung  und könnten da die Updates runterladen.

 

Bin nicht so im WSUS und weiß auch nicht ob es klappen könnte, ist halt eben eine Idee.

 

Gruß Martin

[NorbertFe 1.809]

Und wie liegen die Updates dann da rum auf den Platten?