在 Windows Server 2019 上安装和配置 WSUS

在这篇文章中，我将介绍在 Windows Server 2019 上安装和配置 WSUS（Windows Server 更新服务）的步骤。如果您决定从头开始安装和配置 WSUS，本指南将为您提供帮助。

过去我在 WSUS 上发表过几篇文章。这包括安装 WSUS 和配置 WSUS。除此之外，我还发表了一篇有关 WSUS 故障排除的文章。从那时起，我一直在使用配置管理器，而不再关注 WSUS。

几天前，我的一位同事联系我，询问我是否可以发布有关在 Windows Server 2019 上设置 WSUS 的帖子。他工作的公司仅使用 WSUS 将更新部署到计算机。因此，他正在寻找可以帮助他从头开始设置和配置 WSUS 的指南。

因此，我决定专门为希望安装和配置 WSUS 以管理其设置中的更新的管理员发布本指南。我还将介绍一些 WSUS 基础知识，回答基本问题和 WSUS 的重要性。

我已经很长时间没有在 WSUS 中实际配置任何内容了。这是因为当您开始使用 SCCM 部署更新时，您就会忘记 WSUS 控制台。

我选择了 Windows Server 2019 来安装和配置 WSUS。在 Server 2012 R2 之后，我相信 Server 2019 是一个稳定的版本。我讨厌 Windows Server 2016，因为我花了很多时间来解决 Windows 更新问题。对我来说，最重要的抱怨是更新无法在 Server 2016 上正确安装。

什么是 Windows 更新

让我们从一些基础知识开始。当您安装操作系统或对计算机进行映像时，您始终确保它已使用最新更新进行修补。不仅仅是操作系统，我们使用的几乎所有软件都需要不断更新。

发布 Windows 更新是为了修复错误、修复操作系统中的安全问题以及向操作系统添加新功能。 Windows 更新依赖于默认设置为自动启动的Windows 更新服务。

Windows Update 服务会自动下载并安装推荐的重要更新。

Microsoft 更新可分为以下几类：-

1. 重要更新
2. 安全更新
3. 定义更新
4. 司机
5. 更新汇总
6. 服务包
7. 工具
8. 功能包
9. 更新

如果您已从 Windows 7 迁移到 Windows 10，您会注意到 Windows 更新下有很多新选项。您可以获得一些很酷的选项，例如暂停更新 7 天、更改安装更新的活动时间。除此之外，“高级选项”下还有许多有用的选项。当您有时间时，请继续探索所有这些。

Windows Server 更新服务简介

Windows Server Update Services (WSUS) 使管理员能够部署最新的 Microsoft 产品更新。 WSUS 是 Windows Server 服务器角色，安装它后，您可以有效地管理和部署更新。

系统管理员最重要的任务之一是使客户端和服务器计算机保持最新的软件补丁和安全更新。如果没有 WSUS，管理更新部署将非常困难。

当您的设置中有单个 WSUS 服务器时，将直接从 Microsoft Update 下载更新。但是，如果安装多个 WSUS 服务器，则可以将 WSUS 服务器配置为充当更新源（也称为上游服务器）。

您可以设置 WSUS 服务器并指示客户端从 WSUS 服务器下载所有更新，而不是让多台计算机直接从 Internet 下载更新。这样您可以节省 Internet 带宽并加快 Windows 更新过程。

我可以谈论很多有关 WSUS 的内容，但让我们开始安装 WSUS。

WSUS 实验室设置

首先让我介绍一下 WSUS 实验室设置。我相信掌握 WSUS 的最佳方法是首先在测试或实验室设置中安装和配置它。然后你就可以开始研究它并尝试一些事情。

我在实验室中创建了一些虚拟机。让我给您一份机器列表和操作系统信息。

如果我必须以网络图的形式展示我的设置，这就是它的样子。

WSUS 系统要求

当您决定在设置中实施 WSUS 时，必须首先了解 WSUS 要求。要规划 WSUS 部署，我建议阅读 Microsoft 的这篇文章。它涵盖了 WSUS 要求、部署方案、性能注意事项等所需的所有信息。

本文介绍了使用 Windows 内部数据库 (WID) 安装 Windows Server 更新服务的过程。

WSUS 防火墙端口/例外

设置 WSUS 服务器时，服务器连接到 Microsoft 更新以下载更新非常重要。如果 WSUS 和 Internet 之间存在公司防火墙，您可能必须配置该防火墙以确保 WSUS 可以获得更新。

为了从 Microsoft Update 获取更新，WSUS 服务器使用 HTTPS 协议的端口 443。您必须允许从 WSUS 访问以下 URL 列表的 Internet ：-

• http://windowsupdate.microsoft.com
• http://*.windowsupdate.microsoft.com
• https://*.windowsupdate.microsoft.com
• http://*.update.microsoft.com
• https://*.update.microsoft.com
• http://*.windowsupdate.com
• http://download.windowsupdate.com
• https://download.microsoft.com
• http://*.download.windowsupdate.com
• http://wustat.windows.com
• http://ntservicepack.microsoft.com
• http://go.microsoft.com
• http://dl.delivery.mp.microsoft.com
• https://dl.delivery.mp.microsoft.com

在 Windows Server 2019 上安装 WSUS 角色

在 Windows Server 2019 上安装 Windows Server 更新服务 (WSUS) 角色的步骤包括：-

• 使用本地管理员组成员的帐户登录到计划安装 WSUS 服务器角色的 Windows 2019 服务器。
• 在服务器管理器中，单击管理，然后单击添加角色和功能。
• 在开始之前页面上，单击下一步。
• 在选择安装类型页面中，选择基于角色或基于功能的安装选项。单击下一步。

在“服务器选择”页面上，验证服务器名称并单击下一步。

服务器角色 - Windows Server 更新服务

在“服务器角色”页面上，选择角色“Windows Server Update Services”。您应该看到“添加 Windows Server 更新服务所需的功能”框。单击添加功能，然后单击下一步。

在“选择功能”页面上，将选项保留为默认值，然后单击下一步。

在“Windows Server 更新服务”页面上，单击下一步。

WSUS 数据库类型 - 角色服务

您必须选择要安装 Windows Server 更新服务的角色服务/数据库类型。选择WID 连接和WSUS 服务。单击下一步。

WSUS 内容位置

指定存储更新的内容位置。我建议将更新存储在另一个驱动器上，而不是 C: 驱动器上。该文件夹的大小最终会增加，并且您不希望该文件夹驻留在 C: 驱动器上。因此，选择单独的驱动器或将更新存储在远程服务器上。

单击下一步。

在Web 服务器角色(IIS) 页面上，单击下一步。

自动选择安装 Web 服务器 (IIS) 的角色服务。此处请勿更改任何内容，然后单击下一步。

安装 WSUS 之前的最终确认。检查设置并单击安装。

WSUS 安装完成后，单击启动安装后任务。

等待消息配置成功完成。单击关闭。

配置 Windows Server 更新服务 (WSUS)

单击下一步。

选择 WSUS 上游服务器

这是选择上游服务器的重要部分。你有两个选择。

• 从 Microsoft 更新同步 - 选择此选项将从 Microsoft 更新下载更新。
• 从另一台 Windows Server Update Services 服务器同步 - 如果您希望此 WSUS 服务器从现有 WSUS 服务器下载更新，请选择此选项。默认情况下，您必须指定服务器名称和端口号 (8530)。如果选择在更新同步期间使用 SSL 的选项，请确保上游 WSUS 服务器也配置为支持 SSL。

由于这将是我唯一的 WSUS 服务器，因此我将选择从 Microsoft 更新同步。单击下一步。

代理服务器

如果您有代理服务器信息，请指定代理服务器信息。如果选择此选项，请确保指定代理服务器名称和端口号。除此之外，还指定连接到代理服务器的凭据。如果您想为连接代理服务器的用户启用基本身份验证，请单击允许基本身份验证（密码为明文）。

单击下一步。

在“连接到上游服务器”页面上，单击开始连接按钮。

完成后，单击下一步。

选择更新语言

在“选择语言”页面上，您可以选择从更新中选择语言。如果您选择下载所有语言的更新，您将在 WSUS 控制台中找到所有语言的更新。

但是，如果您选择仅获取特定语言的更新，请选择仅下载这些语言的更新。选择您想要更新的语言。

单击下一步。

选择产品

您可以在该页面中选择要更新的产品。产品是操作系统或应用程序的特定版本。

从产品列表中，您可以选择您希望服务器同步更新的单个产品或产品系列。在本例中，我将选择 Windows Server 2019 和 Windows 10 1903 作为产品。

单击下一步。

选择更新分类

在帖子的开头，我列出了更新的类型。在“选择分类”页面上，选择所需的分类。我选择了重要更新、安全更新和更新汇总。

单击下一步。

配置 WSUS 同步计划

您必须决定如何执行 WSUS 同步。通过设置同步计划页面，您可以选择是手动还是自动执行同步。

如果您选择手动同步，则必须从 WSUS 管理控制台手动启动同步过程。选择此选项后，您每次都必须手动执行同步。因此，如果您在生产中设置 WSUS，请勿选择此选项。

如果您选择自动同步，WSUS 服务器将按设定的时间间隔进行同步。您可以设置首次同步的时间。然后设置每天的同步次数。您可以从下拉列表中选择 1-24 之间的值。

单击下一步。

单击开始初始同步。单击下一步。

最后在最后一页上，单击完成。这就完成了配置 WSUS 的步骤。

配置 WSUS 组策略设置

安装和配置 WSUS 后，下一个重要任务是配置自动更新的组策略设置。新客户端仍然不知道您刚刚设置的新 WSUS 服务器。使用组策略，您可以将客户端计算机指向新的 WSUS 服务器。

在活动目录环境中，您可以使用组策略指定 WSUS 服务器。组策略设置将用于从 Windows Server Update Services (WSUS) 获取自动更新。

您可以创建组策略并在域级别应用它。或者，您可以创建 GPO 并将其应用到特定 OU（包含您的计算机）。

虽然有许多 Windows 更新策略设置，但我将配置其中的几个。有关所有 Windows 更新策略设置的列表，请阅读 Microsoft 的这篇文章。

配置自动更新 WSUS

为 WSUS 配置自动更新组策略设置

• 打开组策略管理控制台，然后打开现有 GPO 或创建新 GPO。
• 导航至计算机配置 > 策略 > 管理模板 > Windows 组件 > Windows 更新 。
• 双击配置自动更新并将其设置为启用。

在配置自动更新下，选择所需的选项。在安排安装日期下，选择您想要安装更新的日期。设置预定的安装时间。

如果您选择自动下载并安排更新安装，您将获得一些限制更新频率的选项。如果您已配置设置，请单击应用和确定。

指定 Intranet Microsoft 更新服务位置

您应该配置的下一个设置是指定 Intranet Microsoft 更新服务位置。其背后的想法是确保客户端计算机联系指定的 Intranet 服务器，而不是从互联网下载更新。除非您配置此策略设置，否则客户端计算机将不知道 Intranet 服务器。

要启用该策略，请单击启用。指定内网更新服务和内网统计服务器。单击应用和确定。

在客户端计算机上，检查生成的策略集以确认是否应用了 WSUS GPO。

检查 WUServer 和 WUStatusServer 的值，并确认这些值是否与您在 WSUS GPO 中提供的值匹配。

配置 WSUS 计算机组

通过创建计算机组，您可以首先测试并将更新定位到特定计算机。当您打开 WSUS 控制台时，您会发现两个默认计算机组 - 所有计算机和未分配的计算机。

您可以创建自定义计算机组来管理组织中的更新。根据 Microsoft 的规定，您必须在 WSUS 控制台中至少创建一个计算机组。在将更新部署到组织中的其他计算机之前测试更新。

在 WSUS 控制台中创建新的计算机组

在 WSUS 管理控制台中的更新服务下，展开 WSUS 服务器。展开计算机，右键单击“所有计算机”，然后单击添加计算机组。

在添加计算机组对话框中，指定新组的名称，然后单击添加。

单击所有计算机，您应该会看到计算机列表。选择计算机，右键单击，然后单击更改成员身份。

在设置计算机组成员身份框中，选择您刚刚创建的新组。单击确定。

单击新组，您应该会找到这些计算机。

在 WSUS 中批准和部署更新

创建测试计算机组后，下一个任务是将更新部署到测试组。为此，您必须首先批准并部署 WSUS 更新。

批准 WSUS 中的更新

• 启动 WSUS 管理控制台，单击更新 > 所有更新。
• 在所有更新部分中，选择您想要批准在测试计算机组中安装的更新。
• 右键单击更新，然后单击批准。

最重要的是，在批准更新对话框中，选择您的测试组，然后单击向下箭头。单击批准安装。您还可以设置安装更新的截止日期。单击确定。

将出现“批准进度”窗口，其中显示影响更新批准的任务的进度。审批过程完成后，单击关闭。

在 WSUS 中配置自动批准规则

如果您不想手动批准更新，可以在 Windows Server Update Services 中配置自动批准规则。

在 WSUS 中配置自动批准

• 启动 WSUS 管理控制台，展开 WSUS 服务器，然后单击选项。
• 在选项中，点击自动批准。
• 您应该找到默认的自动批准规则，如果您愿意，您可以编辑并使用它。
• 要创建新的审批规则，请单击新建规则。

选中当更新属于特定分类时复选框。选择分类。您还可以批准计算机组的更新。我将选择Windows 10，因为这是我的测试计算机组。最后，您可以设置更新批准的截止日期并指定自动批准规则名称。

配置规则后，单击确定。

在“自动批准”窗口中，您可以找到刚刚创建的规则。如果您希望运行此规则，请单击运行规则。

WSUS 报告

我想介绍的最后一部分是 WSUS 报告。单击 WSUS 控制台中的报告会显示报告列表。 WSUS 附带多个报告，可帮助您查找更新部署状态、同步报告和计算机报告。

• 更新报告 - 包括更新状态摘要、详细和表格状态、已批准更新的表格状态。
• 计算机报告 - 计算机状态摘要、详细状态、表格状态和已批准更新的计算机表格状态。
• 同步报告 - 显示上次同步的结果。