Tutorial: Instalar y configurar WSUS en Windows Server 2022/2019

Puede utilizar el servidor de actualización Windows Server Update Services (WSUS) para implementar actualizaciones de productos de Microsoft (Windows, Office, SQL Server, Exchange, etc.) en equipos y servidores de la red local de la empresa. En este artículo, lo guiaremos a través de cómo instalar y configurar el servidor de actualización WSUS en Windows Server 2022/2019/2016 o 2012 R2.

¿Cómo instalar el rol WSUS en Windows Server 2016/2016/2012R2?

A partir de Windows Server 2008, WSUS es una función independiente que se puede instalar a través de la consola de administración del servidor o mediante PowerShell.

Para instalar WSUS, abra la consola del Administrador del servidor y marque la función Windows Server Update Services (el sistema seleccionará automáticamente y ofrecerá instalar los componentes necesarios del servidor web IIS).

En la siguiente ventana, elija qué servicios de función de WSUS desea instalar. Asegúrese de marcar la opción Servicios WSUS. Las siguientes dos opciones dependen de la base de datos SQL que planee usar para WSUS.

La configuración del servidor, los metadatos de actualización y la información del cliente WSUS se almacenan en una base de datos de SQL Server. Como base de datos WSUS puede utilizar:

• Base de datos interna de Windows (WID): base de datos integrada de Windows (opción Conectividad WID). Esta es la opción recomendada y viable incluso para grandes infraestructuras;

• Se implementa una base de datos de Microsoft SQL Server separada en un servidor local o remoto. Puede usar MS SQL Enterprise, Standard (se requiere licencia) o la edición gratuita Express. Esta es la opción Conectividad de SQL Server.

La base de datos interna de Windows) se recomienda si:

• No tiene licencias de MS SQL Server sin usar;

• No planea usar el balanceo de carga de WSUS (NLB WSUS)

• Al implementar un servidor WSUS descendente (secundario) (por ejemplo, en sucursales). En este caso, se recomienda utilizar la base de datos WSUS integrada en servidores secundarios.

Si instala la función WSUS y la base de datos MS SQL en diferentes servidores, existen algunas limitaciones:

• SQL Server con base de datos WSUS no puede ser un controlador de dominio de Active Directory;

• El servidor WSUS no se puede implementar en un host con la función Servicios de escritorio remoto.

\\.\pipe\MICROSOFT##WID\tsql\query

Si no tiene suficiente espacio en disco para almacenar archivos de actualización, deshabilite esta opción. En este caso, los clientes de WSUS recibirán archivos de actualización aprobados de Internet (una opción viable para redes pequeñas).

Si desea almacenar archivos de actualización localmente en el servidor WSUS, habilite la opción Almacenar actualizaciones en las siguientes ubicaciones y especifique la ruta del directorio. Puede ser una carpeta en un disco local (se recomienda un volumen físico o lógico independiente) o una ubicación de red (ruta UNC). Las actualizaciones se descargan en el directorio especificado solo después de que hayan sido aprobadas por el administrador de WSUS.

Si no tiene suficiente espacio en disco para almacenar archivos de actualización, deshabilite esta opción. En este caso, los clientes de WSUS recibirán archivos de actualización aprobados de Internet (una opción viable para redes pequeñas).

También puede instalar un servidor WSUS con una base de datos interna (WID) mediante el siguiente comando de PowerShell:

Install-WindowsFeature -Name UpdateServices, UpdateServices-WidDB, UpdateServices-Services, UpdateServices-RSAT, UpdateServices-API, UpdateServices-UI -IncludeManagementTools

Configuración inicial de WSUS en Windows Server

Una vez que termine de instalar la función WSUS, debe completar su configuración inicial. Abra el Administrador del servidor y seleccione Configuración posterior a la implementación -> Iniciar tareas posteriores a la instalación.

CD "C:\Program Files\Update Services\Tools"
WsusUtil.exe PostInstall CONTENT_DIR=D:\WSUS

wsusutil.exe postinstall SQL_INSTANCE_NAME="MUN-SQL1\WSUSDB" CONTENT_DIR=D:\WSUS_Content

Luego abra la consola de Windows Server Update Services. Se inicia el asistente de configuración inicial del servidor de actualización de WSUS.

Especifique si el servidor WSUS descargará actualizaciones del sitio de Microsoft Update directamente (Sincronizar desde Microsoft Update) o si debe recibirlas desde un servidor WSUS ascendente (Sincronizar desde otro servidor de Windows Update Services). Los servidores WSUS descendentes generalmente se implementan en sitios remotos con una gran cantidad de clientes (más de 300) para reducir la carga en el enlace WAN.

Si accede a Internet a través de un servidor proxy, debe especificar la dirección y el puerto del servidor proxy, así como las credenciales de autenticación.

A continuación, verifique la conexión con el servidor de actualización ascendente (o Windows Update). Haz clic en Empezar a conectar.

Luego, debe seleccionar los idiomas del producto para los que WSUS descargará actualizaciones. Seleccionamos Inglés (la lista de idiomas se puede cambiar aún más desde la consola de WSUS).

A continuación, especifique la lista de productos para los que WSUS debería descargar actualizaciones. Seleccione solo los productos de Microsoft que se utilizan en su entorno. Por ejemplo, si está seguro de que no quedan computadoras con Windows 7 o Windows 8 en su red, no seleccione estas opciones. Esto ahorrará mucho espacio en la unidad del servidor WSUS.

Asegúrese de incluir las siguientes secciones generales en la clasificación de WSUS:

• Herramientas de desarrollo, tiempos de ejecución y redistribuibles: se utilizan para actualizar las bibliotecas de tiempo de ejecución de Visual C++;

• Actualizaciones del Diccionario de Windows en la categoría de Windows;

• Administrador de Windows Server: instalador dinámico de Windows Server Update Services (WSUS).

En la Página de clasificación, debe especificar los tipos de actualizaciones que se implementarán a través de WSUS. Se recomienda seleccionar: Actualizaciones críticas, Actualizaciones de definiciones, Paquetes de seguridad, Paquetes de servicio, Paquetes acumulativos de actualizaciones y Actualizaciones.

Configure su calendario de sincronización de actualizaciones. Se recomienda utilizar la sincronización diaria automática del servidor WSUS con los servidores de Microsoft Update. La sincronización de WSUS debe realizarse por la noche, para no afectar el canal de Internet durante el horario comercial.

La sincronización inicial del servidor WSUS con el servidor de actualización ascendente puede demorar varios días, según la cantidad de productos que haya elegido anteriormente y su ISP.

Una vez que finaliza el asistente, se iniciará la consola de WSUS.

Hay varias secciones en el árbol de la consola de WSUS:

• Actualizaciones: actualizaciones disponibles en el servidor WSUS (aquí puede administrar las aprobaciones de actualizaciones y asignarlas para la instalación);

• Computadoras: aquí puede administrar grupos de clientes de WSUS (computadoras, servidores, grupos de prueba y producción, etc.);

• Servidores descendentes: le permite configurar si recibe desde Windows Update o un servidor WSUS ascendente;

• Sincronizaciones: actualice el programa de sincronización;

• Informes: diferentes informes de WSUS;

• Opciones: ajustes de configuración de WSUS.

Los clientes ahora pueden recibir actualizaciones conectándose al servidor WSUS en el puerto 8530 (en Windows Server 2003 y 2008, el puerto 80 se usa de manera predeterminada). Verifique que este puerto esté abierto en WSUShost:

Test-NetConnection -ComputerName yourwsushost1 -Port 8530

Si el puerto está cerrado, cree una regla de permiso en el Firewall de Windows Defender.

¿Cómo instalar la consola de administración de WSUS en Windows 10 y 11?

Utiliza la consola de Windows Server Update Services (

wsus.msc

) para administrar WSUS. Puede administrar los hosts de WSUS mediante la consola local o a través de la red desde una computadora remota.

La Consola de administración de WSUS para Windows 10 u 11 se instala desde las Herramientas de administración remota del servidor (RSAT). Para instalar el componente Rsat.WSUS.Tool, ejecute el siguiente comando de PowerShell:

Add-WindowsCapability -Online -Name Rsat.WSUS.Tools~~~~0.0.1.0

Si desea instalar la consola WSUS en Windows Server, use el comando:

Install-WindowsFeature -Name UpdateServices-Ui

Cuando instala WSUS en Windows Server, se crean dos grupos locales adicionales. Puede usarlos para otorgar a los usuarios acceso a la consola de administración de WSUS.

• Administradores de WSUS

• Reporteros de WSUS

Para ver informes sobre actualizaciones y clientes en WSUS, debe instalar:

• Tipos de Microsoft System CLR para SQL Server 2012 (SQLSysClrTypes.msi);

• Tiempo de ejecución de Microsoft Report Viewer 2012 (ReportViewer.msi).

Si estos componentes no están instalados, al generar cualquier informe de WSUS, aparecerá un error:

The Microsoft Report Viewer 2012 Redistributable is required for this feature. Please close the console before installing this package.

Optimización del rendimiento de WSUS

Esta sección describe algunos consejos para optimizar el rendimiento del servidor de actualización de WSUS en un entorno real.

• Para que WSUS funcione correctamente, el host de actualización debe tener al menos 4 GB de RAM y 2 CPU libres;

• Con una gran cantidad de clientes WSUS (más de 1500), puede experimentar una degradación significativa del rendimiento del grupo IIS WsusPoll que distribuye actualizaciones a los clientes. El error 0x80244022 puede aparecer en los clientes, o al iniciar la consola WSUS, puede bloquearse con un error Error: Error inesperado + ID de evento 7053 en el Visor de eventos (

  The WSUS administration console has encountered an unexpected error. This may be a transient error; try restarting the administration console. If this error persists

  ).

  

  Para resolver este problema, debe agregar más RAM a su host WSUS y optimizar la configuración de su grupo IIS como se recomienda en el artículo. Use estos comandos de PowerShell:

  Import-Module WebAdministration
  Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name queueLength -Value 2500
  Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name cpu.resetInterval -Value "00.00:15:00"
  Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name recycling.periodicRestart.privateMemory -Value 0
  Set-ItemProperty -Path IIS:\AppPools\WsusPool -Name failure.loadBalancerCapabilities -Value "TcpLevel"

• Habilite la aprobación automática para las actualizaciones de definiciones/firmas antivirus de Microsoft. De lo contrario, WSUS puede ralentizarse significativamente y consumir toda la RAM disponible.

Las comprobaciones antivirus pueden afectar negativamente al rendimiento de WSUS. En el Antivirus de Microsoft Defender integrado en Windows Server, se recomienda excluir las siguientes carpetas del alcance de la protección en tiempo real:

• \WSUS\WSUSContent;

• %windir%\wid\datos;

• \Distribución de software\Descarga.

¡Manténganse al tanto!