簡介
- WSUS全稱Windows Server Update Services，是微軟開發的免費服務器角色，用於在企業內網中集中管理Windows系統及微軟產品的更新分發。其前身為Windows Update Services，經過改進後支持更廣泛的補丁類型和報告功能。
- 核心功能
- 集中化更新管理：允許IT管理員通過單一服務器下載並審批更新，再分發給內網客户端，避免每台設備直接連接外網，節省帶寬。
- 支持多類產品更新：包括Windows操作系統、Office、SQL Server、Exchange Server等微軟產品的補丁、安全更新及驅動程序（注：驅動同步功能已於2025年4月18日棄用）。
- 靈活部署策略：支持創建更新組（如試點測試組）、定時下發更新，並通過組策略配置客户端從WSUS服務器獲取更新。
一、環境規劃與準備
1. 虛擬機與網絡規劃
|
主機類型 |
配置項 |
詳細參數 |
|
WSUS 服務器 |
操作系統 |
Windows Server 2022 Standard |
|
網絡配置 |
- IP 地址：192.168.1.20
|
|
|
角色與服務 |
- WSUS 服務器
|
|
|
磁盤分配 |
- 系統盤：50GB（NTFS 格式）
|
|
|
域控制器 (DC) |
操作系統 |
Windows Server 2022 Standard |
|
網絡配置 |
- IP 地址：192.168.1.10
|
|
|
角色與服務 |
- Active Directory
|
|
|
域名 |
corp.example.com |
|
|
客户端測試機 |
操作系統 |
Windows 10/11 或 Windows Server 2022 |
|
網絡配置 |
- IP 地址：192.168.1.30
|
2. 軟件與網絡要求
|
組件 |
版本/配置 |
|
VMware Workstation |
17.x（支持嵌套虛擬化） |
|
WSUS |
Windows Server 2022 內置版本 |
|
數據庫 |
Windows Internal Database (WID) |
|
網絡模式 |
NAT 或橋接模式（建議 NAT 模式隔離實驗環境） |
|
開放端口 |
- WSUS：8530（HTTP）、8531（HTTPS，可選）
|
3. 驗證規劃
- IP 衝突檢查
- 確保 192.168.1.10（DC）、192.168.1.20（WSUS）、192.168.1.30（客户端）無衝突。
- DNS 解析測試
powershell
nslookup corp.example.com 192.168.1.10
- 網絡連通性驗證
powershell
ping 192.168.1.20 # 從客户端測試 WSUS 服務器連通性
二、部署步驟
1. 創建虛擬機（VMware Workstation）
1.1 WSUS 服務器
- 新建虛擬機
- 操作系統：Windows Server 2022 Standard
- 內存：8GB
- 硬盤：
- 系統盤：50GB（動態分配，NTFS）
- 數據盤：200GB（固定大小，掛載為 D:\WSUS）
- 網絡適配器：NAT 模式
- 安裝操作系統
- 選擇 “帶 GUI 的服務器”
- 設置管理員密碼（如 Admin@WSUS123）
- 計算機名：WSUS-SERVER
- 配置靜態 IP
powershell
New-NetIPAddress -InterfaceAlias "Ethernet0" -IPAddress 192.168.1.20 -PrefixLength 24 -DefaultGateway 192.168.1.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet0" -ServerAddresses 192.168.1.10
1.2 域控制器 (DC)
- 新建虛擬機
- 操作系統：Windows Server 2022 Standard
- 內存：4GB
- 硬盤：60GB（動態分配）
- 網絡適配器：NAT 模式
- 安裝操作系統
- 計算機名：DC-SERVER
- 配置靜態 IP
powershell
New-NetIPAddress -InterfaceAlias "Ethernet0" -IPAddress 192.168.1.10 -PrefixLength 24
2. 部署域控制器 (DC)
2.1 安裝 AD 域服務與 DNS
powershell
# 安裝 AD 域服務和 DNS
Install-WindowsFeature AD-Domain-Services, DNS -IncludeManagementTools
# 提升為域控制器
Install-ADDSForest -DomainName "corp.example.com" -DomainNetbiosName "CORP" -InstallDNS -Force
2.2 配置 DHCP（可選）
powershell
# 安裝 DHCP 角色
Install-WindowsFeature DHCP -IncludeManagementTools
# 創建 DHCP 作用域
Add-DhcpServerV4Scope -Name "WSUS_Scope" -StartRange 192.168.1.100 -EndRange 192.168.1.200 -SubnetMask 255.255.255.0
Set-DhcpServerv4OptionValue -DnsServer 192.168.1.10 -Router 192.168.1.1
3. 部署 WSUS 服務器
3.1 安裝 WSUS 角色
powershell
# 安裝 .NET Framework 4.8 和 WSUS 角色
Install-WindowsFeature NET-Framework-45-Core, UpdateServices, UpdateServices-WidDB, UpdateServices-Services -IncludeManagementTools
# 重啓服務器
Restart-Computer -Force
3.2 初始化 WSUS 配置
- 運行配置嚮導
bash
cd "C:\Program Files\Update Services\Tools"
.\WsusUtil.exe postinstall CONTENT_DIR=D:\WSUS
- 通過圖形界面配置
- 訪問 http://localhost:8530 或通過服務器管理器打開 WSUS 控制枱。
- 選擇數據庫類型：Windows Internal Database
- 設置同步源：從 Microsoft Update 同步
- 選擇產品和分類：
- 產品：Windows 10/11、Windows Server 2022
- 分類：安全更新、關鍵更新、定義更新
3.3 配置計算機組與自動審批
- 創建測試組
- 組名：Test Clients
- 設置自動審批規則
- 規則名：Auto-Approve Critical Updates
- 條件：
- 更新分類：安全更新、關鍵更新
- 產品：Windows 10/11
4. 客户端配置與驗證
4.1 創建客户端虛擬機
- 操作系統：Windows 10/11
- 內存：4GB
- 硬盤：60GB
- 網絡：NAT 模式，IP 由 DHCP 分配或手動設置為 192.168.1.30
4.2 通過組策略配置 WSUS
- 加入域
powershell
Add-Computer -DomainName "corp.example.com" -Credential (Get-Credential) -Restart
- 配置更新策略
- 策略路徑：計算機配置 → 管理模板 → Windows 組件 → Windows 更新
- 關鍵設置：
- 指定 Intranet 更新服務位置：http://192.168.1.20:8530
- 自動更新配置：自動下載並計劃安裝
- 客户端目標組：Test Clients
4.3 強制更新檢測
cmd
# 刷新組策略
gpupdate /force
# 手動觸發更新檢測
wuauclt /detectnow
# 檢查事件日誌（篩選事件 ID 19/20/24）
事件查看器 → Windows 日誌 → 系統
三、日常運維與備份
1. 更新同步與清理
powershell
# 手動同步更新
Get-WsusServer | Invoke-WsusServerSynchronization
# 清理過期更新（每月執行）
Get-WsusServer | Invoke-WsusServerCleanup -CleanupObsoleteUpdates -CleanupUnneededContentFiles
2. 存儲管理
powershell
# 監控存儲空間
Get-ChildItem D:\WSUS -Recurse | Measure-Object -Property Length -Sum
# 啓用 NTFS 壓縮
compact /C /S:D:\WSUS /I
3. 備份與恢復
3.1 WSUS 數據備份
powershell
# 增量備份內容目錄
robocopy D:\WSUS \\BackupServer\WSUS_Backup /MIR /R:3 /W:10 /NP /LOG:D:\Backup.log
# 備份 WID 數據庫（需停止服務）
Stop-Service WsusService
wbadmin start backup -backupTarget:\\BackupServer\DB_Backup -include:D:\Windows\WID
Start-Service WsusService
3.2 虛擬機快照管理
# 創建快照（關鍵操作前）
vmrun -T ws snapshot "[WSUS-SERVER.vmx]" "Before_Update" quiesce
# 恢復快照
vmrun -T ws revertToSnapshot "[WSUS-SERVER.vmx]" "Baseline_Snapshot"
四、注意事項與故障排查
1. 關鍵注意事項
- 存儲空間：定期清理過期更新，避免數據盤爆滿。
- 防火牆規則：開放 8530（HTTP）和 8531（HTTPS）端口。
- 性能優化：避免高峯時段同步，設置帶寬限制（WSUS 控制枱 → 選項 → 更新文件和語言）。
2. 常見故障處理
|
現象 |
排查步驟 |
修復命令 |
|
客户端無法檢測更新 |
檢查組策略應用狀態 (gpresult /h) |
net stop wuauserv & net start wuauserv |
|
WSUS 同步失敗 |
查看日誌 %ProgramFiles%\Update Services\LogFiles\*.log |
Invoke-WsusServerSynchronization -FullSync |
|
數據庫損壞 |
使用 esentutl.exe 檢查 WID 數據庫 |
C:\Windows\WID\bin\esentutl.exe /g "D:\Windows\WID\Data\susdb.edb" |
五、最終驗證清單
- 服務端驗證
- WSUS 控制枱顯示同步成功且無錯誤代碼（如 0x8024400C）。
- 數據盤佔用率 < 80%。
- 客户端驗證
- 測試機通過 wuauclt /detectnow 檢測到更新。
- 事件日誌顯示更新已下載並安裝。
- 備份驗證
- 測試恢復 WSUS 數據目錄和數據庫，確認服務正常啓動。
