Instalar y configurar WSUS en Windows Server 2019

En esta publicación, cubriré los pasos para instalar y configurar WSUS (Windows Server Update Services) en Windows Server 2019. Esta guía le ayudará si decide instalar y configurar WSUS desde cero.

En el pasado publiqué varias publicaciones en WSUS. Eso incluye instalar WSUS y configurar WSUS. Además de eso, también publiqué una publicación sobre la solución de problemas de WSUS. Desde entonces he estado usando Configuration Manager y nunca me molesté en concentrarme en WSUS.

Hace unos días, un colega mío se puso en contacto conmigo y me preguntó si podía publicar una publicación sobre la configuración de WSUS en Windows Server 2019. La empresa donde trabaja utiliza solo WSUS para implementar las actualizaciones en las computadoras. Entonces estaba buscando una guía que pudiera ayudarlo a instalar y configurar WSUS desde cero.

Entonces decidí publicar esta guía que es exclusivamente para administradores que desean instalar y configurar WSUS para administrar actualizaciones en su configuración. También cubriré algunos conceptos básicos de WSUS que responden preguntas básicas y la importancia de WSUS.

Ha pasado bastante tiempo desde que configuré algo en WSUS. Esto se debe a que en el momento en que comienzas a usar SCCM para implementar actualizaciones, te olvidas de la consola WSUS.

Elegí Windows Server 2019 para instalar y configurar WSUS. Después de Server 2012 R2, creo que Server 2019 es una versión estable. Odio Windows Server 2016 porque he pasado mucho tiempo solucionando problemas de actualización de Windows. Para mí, la queja más importante es que las actualizaciones simplemente no se instalan correctamente en Server 2016.

Qué son las actualizaciones de Windows

Comencemos con algunos conceptos básicos. Cuando instala un sistema operativo o crea una imagen de una máquina, siempre se asegura de que esté parcheada con las últimas actualizaciones. No sólo el sistema operativo, sino casi todo el software que utilizamos debe actualizarse constantemente.

Las actualizaciones de Windows se lanzan para corregir errores, solucionar problemas de seguridad en el sistema operativo y agregar nuevas funciones al sistema operativo. Las actualizaciones de Windows dependen del servicio de actualización de Windows que está configurado para iniciarse automáticamente de forma predeterminada.

El servicio Windows Update descarga e instala automáticamente las actualizaciones recomendadas e importantes.

Las actualizaciones de Microsoft se pueden clasificar en las siguientes categorías: -

1. Actualizaciones críticas
2. Actualizaciones de seguridad
3. Actualizaciones de definiciones
4. Conductores
5. Paquetes acumulativos de actualizaciones
6. Paquetes de servicio
7. Herramientas
8. Paquetes de funciones
9. Actualizaciones

Si ha migrado de Windows 7 a Windows 10, notará muchas opciones nuevas en Windows Update. Obtiene algunas opciones interesantes, como pausar las actualizaciones durante 7 días, cambiar las horas activas para instalar actualizaciones. Además de eso, hay muchas opciones útiles en Opciones avanzadas. Cuando tengas tiempo, continúa y explóralos todos.

Introducción a Windows Server Update Services

Windows Server Update Services (WSUS) permite a los administradores implementar las últimas actualizaciones de productos de Microsoft. WSUS es una función de servidor de Windows Server y cuando lo instala, puede administrar e implementar las actualizaciones de manera eficiente.

Una de las tareas más importantes de los administradores de sistemas es mantener las computadoras cliente y servidor actualizadas con los últimos parches de software y actualizaciones de seguridad. Sin WSUS sería muy difícil gestionar la implementación de actualizaciones.

Cuando tiene un único servidor WSUS en su configuración, las actualizaciones se descargan directamente desde Microsoft Update. Sin embargo, si instala varios servidores WSUS, puede configurar el servidor WSUS para que actúe como una fuente de actualización, que también se conoce como servidor ascendente.

En lugar de permitir que varias computadoras descarguen actualizaciones directamente desde Internet, puede configurar el servidor WSUS y indicar a los clientes que descarguen todas las actualizaciones desde un servidor WSUS. Con esto ahorras ancho de banda de Internet y también aceleras el proceso de actualización de Windows.

Puedo hablar mucho sobre WSUS, pero comencemos instalando WSUS.

Configuración de WSUS Lab

En primer lugar, permítanme hablarles sobre la configuración del laboratorio WSUS. Creo que la mejor manera de dominar WSUS es instalarlo y configurarlo primero en su configuración de prueba o laboratorio. Luego puedes empezar a trabajar en ello y probar varias cosas.

He creado algunas máquinas virtuales en mi laboratorio. Déjame darte una lista de máquinas y la información del sistema operativo.

Y si tuviera que mostrar mi configuración en forma de diagrama de red, así es como se vería.

Requisitos del sistema WSUS

Cuando haya decidido implementar WSUS en su configuración, primero debe analizar los requisitos de WSUS. Para planificar su implementación de WSUS, le recomiendo leer este artículo de Microsoft. Cubre toda la información requerida para los requisitos de WSUS, escenarios de implementación, consideraciones de rendimiento, etc.

Esta publicación cubre el procedimiento para instalar Windows Server Update Services utilizando la base de datos interna de Windows (WID).

Puertos/excepciones del Firewall WSUS

Cuando configura el servidor WSUS, es importante que el servidor se conecte a Microsoft Update para descargar actualizaciones. Si hay un firewall corporativo entre WSUS e Internet, es posible que deba configurar ese firewall para garantizar que WSUS pueda obtener actualizaciones.

Para obtener actualizaciones de Microsoft Update, el servidor WSUS utiliza el puerto 443 para el protocolo HTTPS. Debe permitir el acceso a Internet desde WSUS a la siguiente lista de URL: -

• http://windowsupdate.microsoft.com
• http://*.windowsupdate.microsoft.com
• https://*.windowsupdate.microsoft.com
• http://*.update.microsoft.com
• https://*.update.microsoft.com
• http://*.windowsupdate.com
• http://descargar.windowsupdate.com
• https://descargar.microsoft.com
• http://*.download.windowsupdate.com
• http://wustat.windows.com
• http://ntservicepack.microsoft.com
• http://go.microsoft.com
• http://dl.delivery.mp.microsoft.com
• https://dl.delivery.mp.microsoft.com

Instalar la función WSUS en Windows Server 2019

Los pasos para instalar la función Windows Server Update Services (WSUS) en Windows Server 2019 incluyen: -

• Inicie sesión en el servidor de Windows 2019 en el que planea instalar la función del servidor WSUS utilizando una cuenta que sea miembro del grupo de administradores locales.
• En el Administrador del servidor, haga clic en Administrar y haga clic en agregar Funciones y características.
• En la página Antes de comenzar, haga clic en Siguiente.
• En la página de selección del tipo de instalación, seleccione la opción Instalación basada en funciones o basada en funciones. Haga clic en Siguiente.

En la página Selección de servidor, verifique el nombre del servidor y haga clic en Siguiente.

Roles del servidor: Windows Server Update Services

En la página Roles del servidor, seleccione el rol “Servicios de actualización de Windows Server”. Debería ver el cuadro Agregar funciones necesarias para Windows Server Update Services. Haga clic en Agregar funciones y luego haga clic en Siguiente.

En la página Seleccionar funciones, deje las opciones predeterminadas y haga clic en Siguiente.

En la página Servicios de actualización de Windows Server, haga clic en Siguiente.

Tipo de base de datos WSUS: servicios de rol

Debe seleccionar servicios de rol/tipo de base de datos para instalar los servicios de actualización de Windows Server. Seleccione Conectividad WID y Servicios WSUS. Haga clic en Siguiente.

Ubicación del contenido de WSUS

Especifique una ubicación de contenido para almacenar las actualizaciones. Recomendaría almacenar las actualizaciones en otra unidad y no en su unidad C:. El tamaño de esta carpeta puede aumentar con el tiempo y no desea que esta carpeta resida en la unidad C:. Por lo tanto, elija una unidad separada o almacene las actualizaciones en un servidor remoto.

Haga clic en Siguiente.

En la página Rol del servidor web (IIS), haga clic en Siguiente.

Los servicios de rol para instalar el servidor web (IIS) se seleccionan automáticamente. No cambie nada aquí y haga clic en Siguiente.

Una confirmación final antes de instalar WSUS. Revise la configuración y haga clic en Instalar.

Una vez que se complete la instalación de WSUS, haga clic en Iniciar tareas posteriores a la instalación.

Espere el mensaje Configuración completada exitosamente. Haga clic en Cerrar.

Configurar Windows Server Update Services (WSUS)

Después de instalar WSUS, puede configurar el servidor WSUS mediante el asistente de configuración del servidor WSUS. Esta es una configuración única en la que configurará algunas opciones importantes de WSUS.

Si no ve el asistente de configuración del servidor WSUS o si lo omitió por error, no se preocupe. Puede iniciarlo abriendo la Consola WSUS > Opciones > Asistente de configuración del servidor WSUS.

Nota: antes de comenzar a configurar WSUS, algunos puntos importantes.

• Asegúrese de que el firewall del servidor permita a los clientes acceder al servidor WSUS. Si los clientes tienen problemas para conectarse al servidor WSUS, las actualizaciones no se descargarán del servidor.
• El WSUS descarga las actualizaciones del servidor ascendente, que en nuestro caso es la actualización de Microsoft. Así que asegúrese de que el firewall permita que el servidor WSUS se conecte a Microsoft Update.
• En caso de que haya un servidor proxy en su configuración, debe ingresar las credenciales del servidor proxy mientras configura WSUS. Téngalos a mano cuando sean necesarios.

En la página Antes de comenzar, haga clic en Siguiente.

Haga clic en Siguiente.

Elija WSUS Upstream Server

Esta es una sección importante donde selecciona el servidor ascendente. Tienes dos opciones.

• Sincronizar desde Microsoft Update: al seleccionar esta opción, se descargarán las actualizaciones de Microsoft Update.
• Sincronizar desde otro servidor de Windows Server Update Services: seleccione esta opción si desea que este servidor WSUS descargue actualizaciones de un servidor WSUS ya existente. Debe especificar el nombre del servidor y el número de puerto (8530) de forma predeterminada. Si selecciona la opción para usar SSL durante la sincronización de actualizaciones, asegúrese de que el servidor WSUS ascendente también esté configurado para admitir SSL.

Como este será mi único servidor WSUS, seleccionaré Sincronizar desde Microsoft Update. Haga clic en Siguiente.

Servidor proxy

Especifique la información del servidor proxy si tiene uno. Si se selecciona esta opción, asegúrese de especificar el nombre del servidor proxy y el número de puerto. Además de eso, especifique las credenciales para conectarse al servidor proxy. Si desea habilitar la autenticación básica para el usuario que se conecta al servidor proxy, haga clic en Permitir autenticación básica (contraseña en texto sin cifrar).

Haga clic en Siguiente.

En la página Conectarse al servidor ascendente, haga clic en el botón Iniciar conexión.

Una vez que esté completo, haga clic en Siguiente.

Elija idiomas para las actualizaciones

En la página Elegir idiomas, tiene la opción de seleccionar los idiomas de las actualizaciones. Si elige descargar actualizaciones en todos los idiomas, encontrará actualizaciones en todos los idiomas en la consola de WSUS.

Sin embargo, si elige recibir actualizaciones solo para idiomas específicos, seleccione Descargar actualizaciones solo en estos idiomas. Seleccione los idiomas para los que desea actualizaciones.

Haga clic en Siguiente.

Elija productos

Esta es la página donde selecciona los productos para los que desea las actualizaciones. Un producto es una edición específica de un sistema operativo o aplicación.

De la lista de productos puede seleccionar productos individuales o familias de productos para los cuales desea que su servidor sincronice las actualizaciones. En este caso voy a seleccionar Windows Server 2019 y Windows 10 1903 como productos.

Haga clic en Siguiente.

Elija Actualizar clasificaciones

Al comienzo de la publicación, enumeré los tipos de actualizaciones. En la página Elegir clasificaciones, seleccione las clasificaciones requeridas. He seleccionado Actualizaciones críticas, Actualizaciones de seguridad y Resumen de actualizaciones.

Haga clic en Siguiente.

Configurar el programa de sincronización de WSUS

Debe decidir cómo desea realizar la sincronización de WSUS. La página Establecer programación de sincronización le permite seleccionar si desea realizar la sincronización de forma manual o automática.

Si elige Sincronizar manualmente, debe iniciar manualmente el proceso de sincronización desde la Consola de administración de WSUS. Con esta opción seleccionada, deberá realizar la sincronización manualmente cada vez. Por lo tanto, no seleccione esta opción si está configurando WSUS en producción.

Si elige Sincronizar automáticamente, el servidor WSUS se sincronizará a intervalos establecidos. Puede configurar la hora de la primera sincronización. Luego establezca el número de sincronizaciones por día. En el menú desplegable puede elegir el valor entre 1 y 24.

Haga clic en Siguiente.

Haga clic en Comenzar sincronización inicialn. Haga clic en Siguiente.

Finalmente, en la última página, haga clic en Finalizar. Esto completa los pasos para configurar WSUS.

Configurar las opciones de política de grupo para WSUS

Después de instalar y configurar WSUS, la siguiente tarea importante es configurar la política de grupo para las actualizaciones automáticas. Los nuevos clientes aún no conocen el nuevo servidor WSUS que acaba de configurar. Con la política de grupo, puede apuntar sus máquinas cliente al nuevo servidor WSUS.

En un entorno de directorio activo, puede utilizar la Política de grupo para especificar el servidor WSUS. La configuración de la política de grupo se utilizará para obtener actualizaciones automáticas de Windows Server Update Services (WSUS).

Puede crear la política de grupo y aplicarla a nivel de dominio. O puede crear y aplicar el GPO a una unidad organizativa específica (que contenga sus computadoras).

Si bien hay muchas configuraciones de políticas de Windows Update, configuraré algunas de ellas. Para obtener una lista de todas las configuraciones de la política de actualización de Windows, lea este artículo de Microsoft.

Configurar actualizaciones automáticas WSUS

Para configurar las opciones de política de grupo de Actualizaciones automáticas para WSUS

• Abra la consola de administración de políticas de grupo y abra un GPO existente o cree uno nuevo.
• Vaya a Configuración del equipo > Políticas > Plantillas administrativas > Componentes de Windows > Actualización de Windows .
• Haga doble clic en Configurar actualizaciones automáticas y configúrelo en Activado.

En Configurar actualización automática, seleccione la opción deseada. En Programar día de instalación, seleccione el día en el que desea que se instalen las actualizaciones. Establezca la hora de instalación programada.

En caso de que seleccione Descarga automática y programe la instalación de las actualizaciones, obtendrá algunas opciones para limitar la frecuencia de actualización. Si ha configurado los ajustes, haga clic en Aplicar y Aceptar.

Especificar la ubicación del servicio Microsoft Update de intranet

La siguiente configuración que debe configurar es especificar una ubicación del servicio de actualización de Microsoft en la intranet. La idea detrás de esto es garantizar que las computadoras cliente contacten con el servidor de intranet especificado en lugar de descargar actualizaciones de Internet. A menos que configure esta configuración de política, las computadoras cliente no conocerán el servidor de intranet.

Para habilitar la política, haga clic en Activada. Especifique el servicio de actualización de la intranet y el servidor de estadísticas de la intranet. Haga clic en Aplicar y Aceptar.

En la computadora cliente, verifique el conjunto de políticas resultante para confirmar si se aplica el GPO de WSUS.

Verifique los valores de WUServer y WUStatusServer y confirme si los valores coinciden con el que proporcionó en WSUS GPO.

Configurar grupos de computadoras WSUS

Al crear grupos de computadoras, primero puede probar y dirigir las actualizaciones a computadoras específicas. Cuando abre la consola WSUS, encontrará dos grupos de computadoras predeterminados: Todas las computadoras y Computadoras no asignadas.

Puede crear grupos de computadoras personalizados para administrar las actualizaciones en su organización. Según Microsoft, debe crear al menos un grupo de computadoras en la consola WSUS. Pruebe las actualizaciones antes de implementarlas en otras computadoras de su organización.

Para crear un nuevo grupo de computadoras en la consola WSUS

En la Consola de administración de WSUS, en Servicios de actualización, expanda el servidor WSUS. Expanda equipos, haga clic con el botón derecho en Todos los equipos y luego haga clic en Agregar grupo de equipos.

En el cuadro de diálogo Agregar grupo de computadoras, especifique el nombre del nuevo grupo y luego haga clic en Agregar.

Haga clic en Todos los ordenadores y debería ver una lista de ordenadores. Seleccione las computadoras, haga clic derecho y haga clic en Cambiar membresía.

En el cuadro Establecer membresía en grupo de computadoras, seleccione el nuevo grupo que acaba de crear. Haga clic en Aceptar.

Haga clic en el nuevo grupo y debería encontrar esas computadoras.

Aprobar e implementar actualizaciones en WSUS

Una vez que haya creado un grupo de computadoras de prueba, su próxima tarea será implementar las actualizaciones en el grupo de prueba. Para hacerlo, primero debe aprobar e implementar las actualizaciones de WSUS.

Para aprobar las actualizaciones en WSUS

• Inicie la Consola de administración de WSUS, haga clic en Actualizaciones > Todas las actualizaciones.
• En la sección Todas las actualizaciones, seleccione las actualizaciones que desea aprobar para su instalación en su grupo de computadoras de prueba.
• Haga clic derecho en las actualizaciones y haga clic en Aprobar.

Sobre todo, en el cuadro de diálogo Aprobar actualizaciones, seleccione su grupo de prueba y luego haga clic en la flecha hacia abajo. Haga clic en Aprobado para instalación. También puede establecer una fecha límite para instalar las actualizaciones. Haga clic en Aceptar.

Aparece la ventana Progreso de aprobación, que muestra el progreso de las tareas que afectan la aprobación de la actualización. Cuando se complete el proceso de aprobación, haga clic en Cerrar.

Configurar reglas de aprobación automática en WSUS

Si no desea aprobar manualmente las actualizaciones, puede configurar la regla de aprobación automática en Windows Server Update Services.

Para configurar aprobaciones automáticas en WSUS

• Inicie la Consola de administración de WSUS, expanda el servidor WSUS y luego haga clic en Opciones.
• En Opciones, haga clic en Aprobaciones automáticas.
• Debería encontrar la regla de aprobación automática predeterminada y, si lo desea, puede editarla y usarla.
• Para crear una nueva regla de aprobación, haga clic en Nueva regla.

Marque la casilla Cuando una actualización esté en una clasificación específica. Seleccione las clasificaciones. También puede aprobar la actualización para grupos de computadoras. Voy a seleccionar Windows 10 ya que ese es mi grupo de computadoras de prueba. Finalmente, puede establecer una fecha límite para la aprobación de la actualización y especificar el nombre de la regla de aprobación automática.

Después de configurar la regla, haga clic en Aceptar.

En la ventana Aprobaciones automáticas, puede encontrar la regla que acaba de crear. Si desea ejecutar esta regla, haga clic en Ejecutar regla.

Informes WSUS

La última sección que quiero cubrir son los informes de WSUS. Al hacer clic en Informes en la consola de WSUS se muestra la lista de informes. WSUS viene con varios informes para ayudarlo a encontrar el estado de implementación de las actualizaciones, informes de sincronización e informes de computadoras.

• Informes de actualización: incluye resumen del estado de las actualizaciones, estado detallado y tabular, estado tabular de las actualizaciones aprobadas.
• Informes de computadora: resumen del estado de la computadora, estado detallado, estado tabular y estado tabular de la computadora para actualizaciones aprobadas.
• Informes de sincronización: muestra los resultados de la última sincronización.