Configuración de directiva de grupo de WSUS para implementar actualizaciones
En uno de los artículos anteriores hemos descrito en detalle la instalación de un servidor WSUS en Windows Server 2012 R2/2016. Una vez que haya configurado el servidor de actualizaciones, debe configurar los clientes de Windows (servidor y estaciones de trabajo) para usar el servidor WSUS para recibir actualizaciones. Por lo tanto, todos los clientes de Windows en su red deben recibir actualizaciones del servidor de actualización interno y no de los servidores de actualización de Microsoft a través de Internet. En este artículo, veremos cómo configurar clientes para usar un servidor WSUS usando políticas de grupo de dominio (GPO) de Active Directory.
Las políticas de grupo de AD permiten que el administrador asigne automáticamente computadoras a diferentes grupos de WSUS, por lo que el administrador de WSUS no tendrá que mover manualmente las computadoras entre grupos en la consola de WSUS y mantener estos grupos actualizados. La asignación de clientes a diferentes grupos de WSUS de destino se basa en una etiqueta en el registro del cliente (las etiquetas las establece un GPO o una modificación directa del registro). Este tipo de asignación de clientes a los grupos de WSUS se denomina segmentación del lado del cliente.
Se espera que nuestra red utilice dos políticas de actualización diferentes: una política de actualización separada para Servidores y otra para Estaciones de trabajo. Estos dos grupos deben crearse en la consola WSUS en la sección Todos los equipos.
Consejo. La política de uso del servidor WSUS por parte de los clientes depende en gran medida de la estructura organizativa de las unidades organizativas (OU) de Active Directory y de las reglas de instalación de actualizaciones en la empresa. En este artículo intentaremos comprender los principios básicos del uso de políticas de grupo para instalar actualizaciones de Windows.
En primer lugar, debe especificar la regla de agrupación de los equipos en la consola de WSUS (targeting). De forma predeterminada, el administrador del servidor distribuye los equipos en la consola de WSUS en grupos de forma manual (orientación del lado del servidor). No nos conviene, por lo que vamos a especificar que las computadoras se distribuirán en grupos usando la orientación del lado del cliente (usando las políticas de grupo o los parámetros de registro). Para ello, en la consola de WSUS, haga clic en Opciones y abra Equipos. Cambie el valor a “Usar directiva de grupo o configuración de registro en equipos”.
Ahora puede crear un GPO para configurar clientes WSUS. Abra la Administración de políticas de grupo (GPMC.msc) y cree dos nuevas políticas de grupo: ServerWSUSPolicy y WorkstationWSUSPolicy.
Política de grupo de WSUS para servidores Windows
Comencemos con la descripción de la política del servidor: ServerWSUSPolicy.
La configuración de la directiva de grupo responsable del funcionamiento del servicio de actualización de Windows se encuentra en la siguiente sección de GPO: Configuración del equipo -> Políticas-> Plantillas administrativas-> Componente de Windows-> Windows Update.
En nuestro entorno, sugerimos usar esta política para instalar actualizaciones de WSUS en servidores Windows. Todas las computadoras que se incluyen en esta política se asignan al grupo Servidores en la consola de WSUS. Además, queremos deshabilitar la instalación de actualizaciones automáticas en los servidores cuando se reciben. Durante la actualización, el cliente debe simplemente descargar las actualizaciones disponibles en la unidad local, mostrar la notificación correspondiente en la bandeja del sistema y esperar a que el administrador inicie manualmente la instalación (de forma local o remota mediante el módulo PSWindowsUpdate). Esto significa que los servidores productivos no instalarán actualizaciones ni se reiniciarán automáticamente sin la confirmación del administrador (por lo general, estas tareas las realiza el administrador del sistema como parte del mantenimiento programado mensual). Para implementar dicho esquema, establezcamos las siguientes políticas:
Configurar actualizaciones automáticas: Activar. 3 - Descarga automática y notificación de instalación: el cliente descarga automáticamente nuevas actualizaciones y le notifica sobre ellas;
Especifique la ubicación del servicio de actualización de Microsoft en la intranet: Activar. Configure el servicio de actualización de la intranet para detectar actualizaciones: http://hq-wsus. a-d.site:8530, Establezca el servidor de estadísticas de la intranet: http://hq-wsus.a-d.site:8530: establezca la dirección del servidor local servidor WSUS y el servidor de estadísticas (normalmente son los mismos);
Sin reinicio automático con usuarios registrados para instalaciones de actualizaciones automáticas programadas: Habilitar : deshabilite el reinicio automático si la sesión del usuario está abierta;
Habilitar la orientación del lado del cliente: Habilitar. Nombre del grupo objetivo para esta computadora: Servidores - en la consola de WSUS, asignar clientes al grupo Servidores.
Nota. Cuando configure la política de actualización, le recomendamos que se familiarice con todas las configuraciones que están disponibles en cada opción de la sección GPO de Windows Update y establezca los parámetros adecuados para su infraestructura y organización.
Política de grupo de WSUS para estaciones de trabajo de Windows
Suponemos que, a diferencia de la política del servidor, las actualizaciones en las estaciones de trabajo de los clientes se instalan automáticamente por la noche inmediatamente después de recibir las actualizaciones. Las computadoras deben reiniciarse automáticamente después de la instalación de actualizaciones (notificando al usuario en 5 minutos).
En esta GPO (WorkstationWSUSPolicy) especificamos:
Permitir la instalación inmediata de actualizaciones automáticas: Deshabilitado : la instalación inmediata de actualizaciones después de recibirlas está deshabilitada;
Permitir que los no administradores reciban notificaciones de actualizaciones: Habilitado : muestra notificaciones de las nuevas actualizaciones a los no administradores y permite instalarlas manualmente;
Configurar actualizaciones automáticas: Habilitado. Configurar actualizaciones automáticas: 4 - Descarga automática y programación de la instalación. Día de instalación programado: 0: todos los días. Hora de instalación programada: 05:00: un cliente descarga nuevas actualizaciones y planea instalarlos automáticamente a las 5:00 am;
Nombre del grupo de destino para esta computadora: Estaciones de trabajo : en la consola de WSUS, asigne el cliente al grupo Estaciones de trabajo;
Sin reinicio automático con usuarios registrados para instalaciones de actualizaciones automáticas programadas: Deshabilitado;
Especifique la ubicación del servicio de actualización de Microsoft en la intranet: habilite. Configure el servicio de actualización de la intranet para detectar actualizaciones: http://hq-wsus.a-d.site:8530, Configure el servidor de estadísticas de la intranet: http://hq-wsus.a-d.site:8530: es la dirección del servidor WSUS corporativo.
En Windows 10 1607 y versiones posteriores, a pesar de que haya especificado recibir actualizaciones del WSUS interno, es posible que Windows 10 aún intente acceder a los servidores de Windows Update en Internet. Esta "característica" se llama Dual Scan. Para deshabilitar la recepción de actualizaciones de Internet, debe habilitar adicionalmente la política No permitir que las políticas de aplazamiento de actualizaciones provoquen análisis contra Windows Update.
Consejo. Para permitir que los equipos de la empresa tengan instalados todos los parches disponibles, se pueden configurar ambas políticas para que se fuerce el inicio del servicio de actualización (wuauserv) en el cliente. Para hacerlo, en Configuración del equipo -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Servicios del sistema busque Windows Update y configúrelo para que se inicie automáticamente (Automático).
Asignación de las políticas de grupo de WSUS a las unidades organizativas de AD
El siguiente paso es asignar las políticas creadas a los contenedores de Active Directory (OU) correspondientes. En nuestro ejemplo, la estructura de OU es extremadamente simple: hay dos contenedores: Servidores (contiene todos los servidores de la empresa, con la excepción de los controladores de dominio) y WKS (Estaciones de trabajo: computadoras de los usuarios).
Consejo. Consideramos solo una forma bastante simple de vincular las políticas de WSUS a los clientes. En el mundo real, es posible vincular una sola política de WSUS a todas las computadoras del dominio (se asigna un GPO a la raíz del dominio), distribuir diferentes tipos de clientes en diferentes unidades organizativas (como en nuestro ejemplo, creamos diferentes políticas de WSUS para servidores y estaciones de trabajo). En grandes dominios distribuidos, vale la pena vincular diferentes servidores WSUS a sitios AD, o asignar un GPO basado en los filtros WMI, o incluso combinar estos métodos.
Para asignar la política a la OU, haga clic en la OU correcta en la Consola de administración de políticas de grupo, seleccione Vincular un GPO existente y luego marque la política adecuada.
Consejo. No se olvide de la unidad organizativa independiente: controladores de dominio. En la mayoría de los casos, la política de servidor de WSUS debe vincularse a este contenedor.
Debe asignar WorkstationWSUSPolicy al contenedor AD con el nombre WKS (donde se encuentran las estaciones de trabajo de Windows) de la misma manera.
Queda por actualizar las políticas de grupo en los clientes para vincular el cliente al servidor WSUS:
gpupdate /forceTodas las configuraciones de actualización de Windows que hemos establecido a través de las políticas de grupo deben aparecer en la clave de registro del cliente HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate.
El siguiente archivo de registro se puede usar para transferir la configuración de WSUS a otras computadoras en las que no puede configurar las configuraciones de actualización usando GPO (computadoras en un grupo de trabajo, segmentos aislados, DMZ, etc.)
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://hq-wsus.a-d.site:8530"
"WUStatusServer"="http://hq-wsus.a-d.site:8530"
"UpdateServiceUrlAlternate"=""
"TargetGroupEnabled"=dword:00000001
"TargetGroup"="Servers"
"ElevateNonAdmins"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000 -
"AUOptions"=dword:00000003
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"ScheduledInstallEveryWeek"=dword:00000001
"UseWUServer"=dword:00000001
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
También es conveniente controlar la configuración de WSUS aplicada en los clientes mediante el complemento rsop.msc.
En algún momento (depende de la cantidad de actualizaciones y el ancho de banda del servidor WSUS), verifique si hay una notificación emergente de las nuevas actualizaciones en la bandeja. Los clientes (el nombre del cliente, una IP, un SO, porcentaje de parche y la fecha de la última actualización de estado) deben aparecer en los grupos correspondientes en la consola de WSUS. Dado que asignamos las computadoras y los servidores a los diferentes grupos de WSUS mediante GPO, solo recibirán las actualizaciones aprobadas para su instalación en los grupos de WSUS correspondientes.
Nota. Si las actualizaciones no aparecen en el cliente, se recomienda examinar detenidamente el registro del servicio de actualización de Windows (C:\Windows\WindowsUpdate.log). Tenga en cuenta que Windows 10 (Windows Server 2016) usa un formato diferente del archivo WindowsUpdate.log.
El cliente descarga actualizaciones en la carpeta local C:\Windows\SoftwareDistribution\Download.
Para iniciar la búsqueda de nuevas actualizaciones en el servidor WSUS inmediatamente, debe ejecutar el comando:
wuauclt /detectnowAdemás, a veces hay que obligar al cliente a volver a registrarse en el servidor WSUS:
wuauclt /detectnow /resetAuthorizationEn casos particularmente difíciles, puede intentar arreglar el servicio wuauserv de la siguiente manera. Si se produce un error 0x80244010 al recibir actualizaciones en los clientes, intente cambiar la frecuencia de búsqueda de actualizaciones en el servidor WSUS mediante la directiva Frecuencia de detección de actualizaciones automáticas a 3 o 4 horas.
En los próximos artículos, describiremos las peculiaridades de la aprobación de actualizaciones en el servidor WSUS y cómo transferir actualizaciones aprobadas entre grupos a un servidor WSUS usando PowerShell.