windows系统局域网内补丁自动分发解决方案.docVIP

Window操作系统 局域网内补丁自动分发解决方案 武汉超特网络技术有限公司 2012年4月 目录 1 windows补丁问题现状 3 2 解决思路 3 3 WSUS安装 4 3.1 安装前的准备工作 5 3.1.1 IIS6.0 5 3.1.2 BITS20 6 3.1.3 .Net Framework 1.1 SP1 7 3.1.4 磁盘空间 8 3.1.5 数据库 8 3.2 安装WSUS2.0+SP1 9 3.3 配置WSUS2.0 14 3.4 同步WSUS2.0 18 4 利用WSUS进行补丁分发 21 4.1 WSUS分组管理 22 4.2 组策略或注册表设置 25 4.2.1 用组策略设置 25 4.2.2 用注册表设置 29 4.3 WSUS更新审批 31 4.3.1 手工批准更新 32 4.3.2 自动批准安装 35 5 链式WSUS部署 43 5.1 启用WSUS服务器间的身份验证 45 5.2 创建允许的下游WSUS服务器列表 46 5.3 配置IIS 47 6 物理隔离内网wsus部署方法 49 6.1 内部网络WSUS部署方案 49 6.1.1 WSUS服务的一般部署方案 49 6.1.2 内部网络中WSUS的安装部署 50 6.2 内网WSUS服务器的首次更新 50 6.2.1 WSUS服务器中更新的数据构成 50 6.2.2 内部网络中WSUS更新的基本方法 50 6.3 内部网络中WSUS持续更新方案的实现与优化 51 6.3.1 改进内部网络中WSUS更新方案的原因 51 6.3.2 实现内部网络中WSUS更新优化的具体方法 51 6.3.3 持续更新的关键——新增更新补丁的自动提取 52 6.4 总结 53  windows补丁问题现状 目前在企业内网中，90%以上的桌面操作系统以及大部分的服务器都使用了微软公司的产品。微软产品素以界面友好，功能强大而著称，但同时也以补丁泛滥而令管理员头疼。微软为弥补产品安全，提供了各种各样的Service Pack，Hotfix…..这些补丁解决的问题五花八门，种类繁多，管理员都有应接不暇的感觉，更别提普通用户了。但补丁又确实很重要，补丁对应着严重的安全隐患和性能缺陷，我们决不能掩耳盗铃，置之不理。那该怎么处理这个问题呢？其实微软从Win98之后就在操作系统中内置了Windows Update组件，这个组件可以使用Http或Https自动连接到微软的更新网站去下载所需要的补丁并自动安装。但对企业用户来说就 其一，带宽问题。假设某企业500名用户，每人需下载20M补丁，全公司可就至少需要10G的带宽！这可不是个小数目。公司员工都去微软下载Windows XP SP3（349M）引发的网络大塞车！ 其二，安全问题。并非所有的补丁都适合在当前环境使用。就以当年的Windows XP Service Pack 2为例，此补丁打上之后，与当时的很多应用程序都会产生冲突，解决办法是只能换用新版本的应用程序。如果管理员综合权衡安全和灵活因素，就未必会在生产环境第一时间部署这个补丁。因此，综合来看，用Windows Update组件连接到微软的更新网站更适合家庭用户或小型公司，对中大型企业来看并不适合。基于上述原因，微软为企业用户提供了WSUS（Windows Server Update Services）作为解决方案。WSUS解决问题的思路很简单，管理员利用WSUS服务器从微软的更新网站下载补丁，然后再发布给内网用户。这样既能降低网络带宽流量，将补丁下载的数据量降为最低；又能让补丁置于管理员的控制之下，管理员经过审核后，同意发放补丁，用户才可以安装补丁。 WSUS常用的部署拓扑有以下三种，现简介如下： A? 单服务器拓扑。如下图所示，单服务器拓扑是使用最广泛的WSUS拓扑。单服务器拓扑利用一个WSUS服务器从微软的更新网站下载补丁，然后负责将补丁发给内网用户。单服务器拓扑是大多数中小公司的最佳选择。（图1） ?? B 链式拓扑。如下图所示，链式拓扑定义了上游服务器和下游服务器，上游服务器可以直接连接到微软的更新网站，下游服务器则只能从上游服务器下载更新。这种拓扑在总公司/分公司的管理模型中比较常见。考虑到性能因素，链式拓扑很少超过三层。（图2） C 分离式拓扑。如下图所示，分离式拓扑指的是在一个与互联网隔离的网络内，WSUS服务器无法从微软网站进行补丁更新，因此只能先用一个能连接互联网的WSUS服务器下载所需要的补丁，然后将下载的补丁导出成数据。隔离网络内的WSUS服务器通过导入数据来间接完成补丁的下载。这种拓扑常用于部队，公安等专用网络。（图3） WSUS目前常用的是WSUS2.0 和WSUS3.0这两个版本。这两个版本的前身SUS1.0由于只能支持有限的操作