[網管] 有網管朋友用 Microsoft SUS / WSUS 嗎?

achen

今天在搞  ISA2004 無意中發現 SUS 居然是免費!!  我真的覺得自己欠自己很多... 因為常常為了一些 security update 搞到焦頭爛額, 而我一直認為 SUS 這種東西是要花錢的.

二話不說下載之後馬上把 readme 從頭讀到尾, 不出兩小時就全部搞定等待測試, GPO 也已經更改好, 但是遇到幾個問題...  我到美國的 newsgroup 發問尚未得到答案, 想看看 PIL 這邊有沒有高手可以幫忙我.

1. 觀念問題
以 client 端來說, SUS 是可以完全取代 Windows Update 嗎?  因為我從測試 client 選取 Windows Update, 他還是連到 MS 的網站去耶


2. 技術問題
SUS 的 home page 應該是可以瀏覽的嗎?  假設 server 名是 SUS, 我從 clinet 端進入 http://SUS 所顯示的 page 是 "Under Construction" 耶, 我把 readme file 讀了又讀, 只看到他會自動執行 IIS lockdown 強迫把更新網頁放在 port 80, 沒看到我必須要去做任何的手動設定

[ Last edited by achen on 2005-10-10 at 14:21 ]

Jerry

1.點選windows UPDATE是一定往外連的，sus是使用在【控制台】【自動更新】這個地方的。當你設定好後，自動更新時是不會往外連的。
2.個人是沒有這樣使用過，都是直接使用Terminal Services連回server看。

[ Last edited by Jerry on 2005-8-23 at 14:49 ]

achen

再加一個問題, 對於登入的 user 沒有 admin permission 沒有關係吧? 還是可以安裝吧?

其實我多做點測試應該可以找出答案, 但是如果可以省下來那些時間對我是很大的幫助

[ Last edited by achen on 2005-8-22 at 23:03 ]

parrot

achen 兄可以改用 wsus, 因為加強了 windows update 的 Log, 可以方便知道那些機器 update 失敗
Q2.的部分我都是遠端連回去控制

tzchang

其實還是不太建議用SUS, 除了他是免費的這點之外...

因為:
1. 你還是無法強迫user一定要上某些patch, 雖然windows xp會自動去SUS更新, 但是user還是可以中斷...
2. 你永遠都不知道patch有沒有成功, 沒有報表可看......
3. 你還是永遠都不知道上過的patch會不會有手賤的user自己移掉....
4. Patch出了問題要rollback?

我的建議是, 還是跟公司建議花一點點錢(大概跟買防毒軟體差不多), 買真正的patch management軟體, 你如果只相信Microsoft本家, 那就買MS SMS 2003......

你如果有非MS的平台要管理, 沒有AD或MS SQL Server, 有Win2K以前的client要支援, 需要能幫忙自動上OS之外的patch, 需要某些程度資產管理的功能, 我會建議你用用看Patchlink或Bigfix的產品, 兩家的功能一樣強大, 但方向有些不同...

Patchlink是走web based管理介面, 比較容易使用, 但細部客制化比較不易......

Bigfix是走Java based console, out of box的介面比較不user friendly, 但是有非常強大的客制化語言可用, 號稱只要是你在電腦前面可做的事, 都可以由Bigfix的語言從遠端完成......

都有試用版可以download來試......

[ Last edited by tzchang on 2005-8-23 at 15:12 ]

achen

Originally posted by parrot at 2005-8-22 11:07 PM:
achen 兄可以改用 wsus, 因為加強了 windows update 的 Log, 可以方便知道那些機器 update 失敗
Q2.的部分我都是遠端連回去控制

WSUS 要錢嗎

achen

Originally posted by tzchang at 2005-8-22 11:08 PM:
其實還是不太建議用SUS, 除了他是免費的這點之外...

因為:
1. 你還是無法強迫user一定要上某些patch, 雖然windows xp會自動去SUS更新, 但是user還是可以中斷...
2. 你永遠都不知道patch有沒有成功, 沒有報表可看......
3. 你還是永遠都不知道上過的patch會不會有手賤的user自己移掉....
4. Patch出了問題要rollback?

1. 我記得在 GPO 裡面有一個選項可以執行 silent 安裝 + 強迫重開機? 現在在家裡不想做公司的事, 如果明天找到再 po 上來

2. 從 client 可以找到 log 吧?

3. 這就沒辦法防止了..  不過我相信沒人會閒到去做那種事 (大部分 user 也沒有 admin permission)

4. 這問題我也想過, 但是我相信小心把關 approve 的更新應該就沒有問題. (已經把自動 approve 關閉)

我的建議是, 還是跟公司建議花一點點錢(大概跟買防毒軟體差不多), 買真正的patch management軟體, 你如果只相信Microsoft本家, 那就買MS SMS 2003......

要是公司有那個預算, 我早就去買 SMS  了...

tzchang

WSUS
http://www.microsoft.com/windows ... rvices/default.mspx

還是免費的, 不過缺點還是跟SUS一樣......

achen

Originally posted by tzchang at 2005-8-22 11:19 PM:
WSUS
http://www.microsoft.com/windows ... rvices/default.mspx

還是免費的, 不過缺點還是跟SUS一樣......

我實在很不想問小白問題..但是各位就暫時先把我當小白好了.. 上班時間實在太多事要忙沒時間去找答案..

Q1. WSUS 除了改用 MSDE, 加強了 loggin 以外, 還有什麼優點是  SUS 沒有的?

Q2. 既生逾何生亮, 為何 MS 要讓 SUS 和 WSUS 並存讓客戶選擇? SUS 沒有被拿下線表示他還是有某些優點在?

francis_lou

WSUS是SUS的升級加強版(SMS簡化版?), SUS明年就不更新了啦, 所以早點升級到WSUS吧.

SUS的HP可以登錄呀! 我都是連 HTTP://[SERVER_NAME]/SUSADMIN

公司是用GROUP POLICY, 設定每一台CLIENT連到SUS更新PATCH.

目前碰到的問題是: CLIENT瑞一定要有ADMIN權限, 但我又不想放ADMIN權限給USER用(他們會亂灌軟體), 不知有啥處理方法.

[ Last edited by francis_lou on 2005-8-23 at 15:43 ]

achen

Originally posted by francis_lou at 2005-8-22 11:40 PM:
WSUS是SUS的升級加強版(SMS簡化版?), SUS明年就不更新了啦, 所以早點升級到WSUS吧.

Thank you for your info. 因為我要把主要的時間和力氣放在 ISA 2004,  所以更新還是晚點再說好了

SUS的HP可以登錄呀! 我都是連 HTTP://[SERVER_NAME]/SUSADMIN

我知道 /SUSAdmin 可以登入, 我只是好奇在 GPO 裡面指定的更新路徑 http://{SERVER_NAME}, 用瀏覽器去 access 究竟應不應該會有內容出現

目前碰到的問題是: CLIENT瑞一定要有ADMIN權限....

堂堂 Microsoft 設計這種軟體根本沒考慮到網管人員的實際環境?
如果真是這樣, 那我就不用搞了.. 明天來 uninstall 吧..

francis_lou

Originally posted by achen at 2005-8-23 03:48 PM:

Thank you for your info. 因為我要把主要的時間和力氣放在 ISA 2004,  所以更新還是晚點再說好了

你拿ISA來當FW嗎?

我知道 /SUSAdmin 可以登入, 我只是好奇在 GPO 裡面指定的更新路徑 http://{SERVER_NAME}, 用瀏覽器去 access 究竟應不應該會有內容出現

不會有內容, AUTOUPDATE是直接到SERVER D/L的. 不是連到MS網頁的WINDOWS UPDATE.

堂堂 Microsoft 設計這種軟體根本沒考慮到網管人員的實際環境?
如果真是這樣, 那我就不用搞了.. 明天來 uninstall 吧..

也不見得啦, 可能是我不會設而已... (設個RUNAS之類的)
如果免費的東西那麼完整的話, 誰還會買SMS?

achen

Originally posted by francis_lou at 2005-8-23 01:35 AM:

你拿ISA來當FW嗎?

主要功能是取代已經奄奄一息的 Proxy (Wingate)
順便做 Back firewall (我們已經有硬體  FW)

不會有內容, AUTOUPDATE是直接到SERVER D/L的. 不是連到MS網頁的WINDOWS UPDATE.

Thank you~

也不見得啦, 可能是我不會設而已... (設個RUNAS之類的)
如果免費的東西那麼完整的話, 誰還會買SMS?

我來研究研究在分享好了...目前看到的: Deploy Guide p.46

Scheduled Installation
If Automatic Updates is configured to install on a set schedule, applicable updates are downloaded and marked as ready to install. A logged-on administrator is notified by the notification-area icon, and an event is logged to the system event log. If the icon or balloon is clicked at this time, the user sees a dialog box similar to Figure 26 but with the Remind Me Later button appearing dimmed. Installation can be done at this time.
At the scheduled day and time, Automatic Updates installs the update and restarts the computer (if necessary), even if there is no local administrator logged on. If a local administrator is logged on, Automatic Updates displays a warning that an installation is about to begin, as shown in Figure 27. If a restart is required and a user is logged on, a similar countdown dialog box is displayed, warning all logged in users about the impending restart.

[ Last edited by achen on 2005-8-23 at 06:35 ]

Jonry

Originally posted by francis_lou at 2005-8-23 03:40 PM:
目前碰到的問題是: CLIENT瑞一定要有ADMIN權限, 但我又不想放ADMIN權限給USER用(他們會亂灌軟體), 不知有啥處理方法.

如果是 Windows 2000/XP 的 Client, 就寫個 Script, 擺在 Group Policy 的開機執行檔(不是登入執行檔)裡執行, 這樣執行什麼安裝都不會有權限的問題。這次我在公司裡裝 KB899588 這支修正程式就是這麼搞的...

有時看來, SUS 雖然方便, 但是權限這關就是一個讓很多 MIS 頭痛的大問題... B)

francis_lou

是開機時跑UPDATE嗎? 可以寄那支SCRIPT給我參考看嗎? 謝謝.

目前還在看SUS 升級到WSUS的步驟, 在研究如何把SUS 的APPROVAL LIST 同步到WSUS上.

Jonry

Originally posted by francis_lou at 2005-8-24 01:42 PM:
是開機時跑UPDATE嗎? 可以寄那支SCRIPT給我參考看嗎? 謝謝.

對, 是在 AD 的群組原則, 電腦開機執行檔裡執行, 在這裡執行的程式, 一律都是以本機的 System 權限執行, 就不會有權限不足的問題。

不過我的 Script 已經轉成 VB6 了, 其中還有一些不便分享的模組, 所以我只能把部份的程式碼另外 PM 給你。

目前還在看SUS 升級到WSUS的步驟, 在研究如何把SUS 的APPROVAL LIST 同步到WSUS上.

我們這裡是直接新裝一台 WSUS, 還在摸索中...

thchen

開機時就執行的，叫做「Startup config」，GPO是登入後才執行的，叫做「logon script」。
我們公司是使用startup confing，如同Jonry所言，不用擔心權限問題。
不過，我們公司更新實是機器連開三天，第一天更新，第二天掃描機器，第三天產生報表。

Jonry

Originally posted by thchen at 2005-8-24 03:01 PM:
開機時就執行的，叫做「Startup config」，GPO是登入後才執行的，叫做「logon script」。
我們公司是使用startup confing，如同Jonry所言，不用擔心權限問題。
不過，我們公司更新實是機器連開三天，第一天更新，第二天掃描機器，第三天產生報表。

我們也是....

順便可以看看哪些人下班不關電腦的...

thomaschion094

Originally posted by achen at 2005-8-23 03:18 PM:


1. 我記得在 GPO 裡面有一個選項可以執行 silent 安裝 + 強迫重開機? 現在在家裡不想做公司的事, 如果明天找到再 po 上來

強迫重開機這件事在我們公司被很多USER罵到沒力,這樣搞讓許多user做到一半的文件不見或是搞壞掉.
我真的很想扁那位負責設定的同事.

achen

Originally posted by thomaschion094 at 2005-8-24 03:52 AM:


強迫重開機這件事在我們公司被很多USER罵到沒力,這樣搞讓許多user做到一半的文件不見或是搞壞掉.
我真的很想扁那位負責設定的同事.

有選項可以讓 user 正在 log on 當中的時候電腦不重新開機
你們 MIS 是豬頭啊, 哪有不管三七二十一就重開機的? 搞到高層管理者怎麼辦?



[ Last edited by achen on 2005-8-24 at 06:43 ]

SQUARE

Proxy 的話可以建議使用 Squid for win32，免費又好用
ISA 其實能搞的不多，用選單搞一搞就可以解決大部分問題，除非有考慮到整合
WSUS 的最大好處是免費又可以更新 Local LAN Client
如果錢多一點的話，其實還是會建議用 SQL+SMS，不止 Win 可以更新，連 Office 也可以一併做下去，還可以順便來個資產管理產生的報表多好看啊.......

Jonry

Originally posted by thomaschion094 at 2005-8-24 07:52 PM:
強迫重開機這件事在我們公司被很多USER罵到沒力,這樣搞讓許多user做到一半的文件不見或是搞壞掉.
我真的很想扁那位負責設定的同事.

這位設定的同事似乎真的沒被人海扁過
在公司 MIS 變更使用者環境的最高指導原則, 就是儘量不讓 user 在開機完後莫名其妙的再度重開, 否則 MIS 的電話會接到手軟...

我公司裡的電腦從 Win95 到 WinXP, 中文版、英文版, 算算大概有七, 八種 Windows 的版本, 所以要下更新程式還不能就只單純的下個 /quite /norestart 就好, 還要寫程式去判斷作業系統版本和語系。所以我就像女生的 MC 一樣, 每個月都要來一次.... B)B)

francis_lou

不能統一一下版本? 管理起來比較方便.

Jonry

Originally posted by francis_lou at 2005-8-26 01:43 PM:
不能統一一下版本? 管理起來比較方便.

唉~~~ 很想啊, 但是, 很多古老的 3rd party AP, 不容得作業系統說換就換!!

不過最近有在想一招: 想用老 AP? 請用 Virtual PC ...

achen

Originally posted by Jonry at 2005-8-26 03:48 AM:

唉~~~ 很想啊, 但是, 很多古老的 3rd party AP, 不容得作業系統說換就換!!

不過最近有在想一招: 想用老 AP? 請用 Virtual PC ...

深有同感.. 還好我管的全部網路只剩兩台 Win98
其他都是 2K 和 XP

achen

我想這是我的 WSUS 完工前最後一個問題了, 以 non-Admin 來講, 我遇到下面的問題:

(1) 設定為 "Auto Download and Notify for Install" 時, 即使登入的 user 不是 local admin, 也可以收到訊息而進行安裝 (真是讓人振奮!!)

(2) 設定改為 "Auto Download and Schedule the install -- xx:00" 的時候, 在時間到的時候, 所有已經下載到 workstation 的更新並沒有自動安裝, 過了  12~15 分鐘後, 工作列上出現和設定 (1) 一樣的　ｎｏｔｉｆｉｃａｔｉｏｎ

奇怪了，我若是只要看那個 notification, 我何必設定 schedule to install 呢?  難道我誤解了　Schedule the install　的意思嘛？