WSUS服务部署

WSUS是WindowsWSUS ServerUpdate Services的简称，它在以前Windows UpdateServices的基础上有了很大的改善。可以更新更多的Windows补丁，同时具有报告功能和导向性能，管理员还可以控制更新过程。

WSUS是个微软推出的网络化的补丁分发方案，是免费的, 支持微软公司的全部产品的更新。

通过WSUS这个内部网络中的Windows升级服务，所有Windows更新都集中下载到内部网的WSUS服务器中，而网络中的客户机通过WSUS服务器来得到更新。这在很大程度上节省了网络资源，避免了外部网络流量的浪费并且提高了内部网络中计算机更新的效率。大大降低了计算机没有及时更新补丁而受到***的可能性。

部署WSUS之后，将由WSUS服务器直接从Microsoft Update下载最新的更新，而所有客户端只需要从WSUS服务器获得最新的更新即可，不需要访问外部网络中的Microsoft Update，从而大大节省了网络带宽，可以保证所有客户端最短时间统一更新：如图所示:

硬件安装要求：

对于多达 500 个客户端的服务器，建议使用以下硬件：

* 1 GHz 的处理器

* 2 GB 的 RAM

软件安装要求

在Windows 2008R2安装 WSUS，必须在计算机上安装以下软件。

* Microsoft Internet 信息服务 (IIS) 。

* Microsoft .NET Framework4.0。

*管理控制台MMC3.0。

*Microsoft Report Viewer 2008。

要安装 WSUS，服务器上的文件系统必须满足以下要求：

* 系统分区和安装 WSUS 的分区都必须使用 NTFS 文件系统进行格式化。

* 系统分区至少需要 1 GB 的可用空间。

* WSUS 用于存储内容的卷至少需要 6 GB 的可用空间，建议预留空间为 30 GB。

* WSUS 安装程序用于安装 Windows SQL Server 2000 Desktop Engine(WMSDE) 的卷至少需要 2 GB 的可用空间。

环境介绍

客户服务器都处于工作组环境下，内网的服务器由Windows Server 2003R2和Windows Server 2008R2两种，而Windows Server 2008R2自带的WSUS3.0SP1已不再受支持，添加WSUS角色时总会报错，如果一定要用Windows Server 2008R2需要去微软下载WSUS3.0SP2完成WSUS服务器的搭建，所以WSUS服务器选择使用Windows Server 2012R2进行搭建。

操作步骤

1.在公网环境搭建一台WSUS服务器，以便下载补丁包（搭建过程略），搭建完成后设置更新文件和更新语言选项，语言选项是选择下载那些语言版本的操作系统补丁，更新文件方式分为：

（1）只有在审更新后批后，才能将文件下载到此服务器。该选项是在审批允许下载前只下载补丁包的源数据而非补丁本身，优点是节省带宽，缺点是只有审批后才会真正下载补丁包，微软建议使用该选项，它也是默认选项。

（2）下载快速安装文件。该选项是审批前直接将补丁包下载到本地，待审批通过后再进行安装，它的优点是如果内网中的计算机已安装过旧的补丁包，它只会安装就补丁包与新补丁包之间差异的部分，缓解内网网络负担，缺点是对外网带消耗大。

结合实际环境，此处选择下载安装文件，需要注意的是：后期在内网中WSUS服务器的更新文件和更新语言选项设置必须和此处的选项保持一致。而更新源和代理服务器、产品和分类、同步计划设置可以不用考虑。

为方便下载，将自动审批选项设置为任何分类，然后开始进行补丁包下载。

2.下载完成后在指定的补丁存放路径下找到WsusContent目录，该目录中存放的就是下载下来的补丁，可以使用各种备份软件或Xcopy工具进行备份，然后到内网的WSUS服务器上进行恢复，注意不要更改该目录下的层级结构，此处选择最原始的方法直接复制一份。

3.只复制WsusContent目录到内网的WSUS服务器上内网计算机依然无法正常下载补丁，还需要使用WSUS自带的wsusutil工具将外网WSUS服务器上补丁包间的源数据导出，该工具位于C:Program FilesUpdate ServicesTools目录下，该工具无法通过双击打开，在命令行模式下可以执行，命令格式为：

wsusutil.exe export packagename logfile #packagename为.cab格式，logfile为.log格式，packagename和logfile名称必须完全一致

4.在内网搭建一个WSUS服务器，补丁包存放的位置设置建议和外网服务器保持一致，将复制的WsusContent目录考到内网WSUS服务器上

5.再使用wsusutil工具导入外网WSUS服务器补丁包的源数据，此时内网WSUS服务器补丁就算更新完成，以后每次更新补丁时都需要更新源数据

6.打开IIS管理器，确认WSUS使用的端口号

7.在内网中找一台计算机，将组策略中WSUS服务器地址指向设置为实际的地址，完成后运行gpupdate /force刷新组策略

8.打开这台计算机的注册表，将Windows update键值导出成为一个reg注册表文件，发给内网中其他计算机，双击运行完成WSUS服务器的指向，至此操作完成

补充说明

1.内网中其他计算机运行完reg文件后，注册表的键值完成修改，但组策略中依然显示未设置，此时可以正常从WSUS服务器获取补丁，推测组策略和注册表不是存放在同一位置。

2.经过反复测试，内网中其他计算机运行注册表文件后是可以找到WSUS服务器的，只是有时候执行完注册表后立即可以进行更新，有时候出现错误后重启下系统也可以恢复正常，有时候反复重启、刷新组策略始终报这个错误，网上查了下这个错误说是网络故障引起的，因为都是处于同一个网络环境下，就很奇怪这个故障怎么解决，感觉这个故障的出现有很大的随机性。

3.WSUS是通过计算机名来标识PC的，如果环境中存在2台相同计算机名的PC，后向WSUS服务器报告的会被记录在WSUS的所有计算机列表中，尽管这2台PC都能从WSUS服务器获取到补丁包。