Chuyển tới nội dung chính

Triển khai WSUS Cập nhật Windows Tập trung

Giới Thiệu​

Windows Server Update Services (WSUS) là một vai trò máy chủ trong Windows Server cho phép quản trị viên mạng quản lý việc phân phối các bản cập nhật sản phẩm của Microsoft cho các máy tính trong mạng doanh nghiệp. Thay vì mỗi máy tính phải tự kết nối với Microsoft Update trên internet, tất cả các máy sẽ nhận cập nhật từ máy chủ WSUS nội bộ. Điều này giúp tiết kiệm băng thông internet, tăng cường kiểm soát các bản vá, và đảm bảo tính nhất quán trong môi trường IT của bạn.

Việc triển khai WSUS là một bước quan trọng để duy trì an ninh và ổn định cho hệ thống Windows của bạn.

📋 Thời gian: 90-120 phút | Độ khó: Trung bình

Yêu Cầu​

Để triển khai WSUS thành công, bạn cần đảm bảo các điều kiện tiên quyết sau:

  • Hệ điều hành máy chủ: Một máy chủ đang chạy Windows Server (2016, 2019, hoặc 2022) với quyền quản trị viên.
  • Tài nguyên phần cứng:
    • CPU: Tối thiểu 2 core.
    • RAM: Tối thiểu 4GB (khuyến nghị 8GB trở lên cho môi trường lớn).
    • Ổ đĩa: Tối thiểu 100GB dung lượng trống để lưu trữ các bản cập nhật (khuyến nghị 200GB - 500GB tùy thuộc vào số lượng sản phẩm và ngôn ngữ cập nhật bạn chọn).
  • Cơ sở dữ liệu: Windows Internal Database (WID) hoặc SQL Server (2016 trở lên) để lưu trữ siêu dữ liệu cập nhật. WID đủ cho hầu hết các môi trường nhỏ và trung bình.
  • Kết nối mạng:
    • Máy chủ WSUS cần có kết nối internet để tải xuống các bản cập nhật từ Microsoft.
    • Các máy khách cần có kết nối mạng với máy chủ WSUS.
  • Active Directory: Khuyến nghị có môi trường Active Directory để dễ dàng quản lý máy khách thông qua Group Policy Object (GPO).
  • Quyền: Tài khoản người dùng có quyền Administrator trên máy chủ và quyền tạo/chỉnh sửa GPO trong Active Directory.

Các Bước Thực Hiện​

Bước 1: Cài đặt vai trò WSUS trên máy chủ​

Đầu tiên, chúng ta sẽ cài đặt vai trò WSUS trên máy chủ Windows Server.

  1. Mở Server Manager.
  2. Chọn Manage > Add Roles and Features.
  3. Nhấn Next cho đến khi đến phần Server Roles.
  4. Chọn Windows Server Update Services. Một cửa sổ bật lên yêu cầu thêm các tính năng liên quan, nhấn Add Features.
  5. Nhấn Next cho đến phần Role Services của WSUS.
    • Chọn WSUS Services.
    • Chọn WID Database (mặc định và dễ triển khai) hoặc Database nếu bạn muốn sử dụng SQL Server hiện có.
  6. Nhấn Next. Trên màn hình Content Location Selection, chỉ định một thư mục cục bộ (ví dụ: D:\WSUS) nơi các bản cập nhật sẽ được lưu trữ. Đảm bảo thư mục này có đủ dung lượng trống.
  7. Nhấn Next và sau đó Install.
# Cài đặt vai trò WSUS bằng PowerShell
# Chạy với quyền Administrator

# Cài đặt vai trò WSUS với WID Database và công cụ quản lý
Install-WindowsFeature -Name UpdateServices -IncludeManagementTools

# Nếu bạn muốn sử dụng SQL Server thay vì WID, bạn sẽ cần các bước bổ sung để cấu hình kết nối SQL.
# Ví dụ cài đặt WSUS mà không có WID, sau đó cấu hình thủ công:
# Install-WindowsFeature -Name UpdateServices -NoRestart

# Khởi động lại máy chủ nếu được yêu cầu sau khi cài đặt
# Restart-Computer

Bước 2: Cấu hình WSUS ban đầu​

Sau khi cài đặt, bạn cần thực hiện cấu hình ban đầu cho WSUS.

  1. Mở Server Manager, bạn sẽ thấy một cảnh báo về cấu hình WSUS. Nhấn vào Launch Post-Installation tasks.
  2. Sau khi hoàn tất, mở Windows Server Update Services từ Tools trong Server Manager.
  3. Trình hướng dẫn cấu hình WSUS (WSUS Configuration Wizard) sẽ xuất hiện.
    • Nhấn Next qua màn hình Before You Begin.
    • Chọn Yes, I would like to join the Microsoft Update Improvement Program (tùy chọn).
    • Chọn Synchronize from Microsoft Update (đối với máy chủ WSUS đầu tiên) hoặc Synchronize from another Windows Server Update Services server (nếu đây là máy chủ downstream).
    • Cấu hình Proxy Server nếu cần.
    • Nhấn Start Connecting để kết nối với Microsoft Update. Quá trình này có thể mất vài phút.
    • Chọn Languages mà bạn muốn tải xuống các bản cập nhật.
    • Chọn Products (ví dụ: Windows 10, Windows Server 2019, Office).
    • Chọn Classifications (ví dụ: Critical Updates, Security Updates, Definition Updates).
    • Chọn Synchronize manually hoặc Synchronize automatically (khuyến nghị).
    • Nhấn Finish. Quá trình đồng bộ hóa ban đầu sẽ bắt đầu. Quá trình này có thể mất rất nhiều thời gian tùy thuộc vào băng thông và số lượng cập nhật.

Bước 3: Cấu hình Group Policy cho máy khách​

Để các máy tính trong mạng nhận cập nhật từ WSUS, bạn cần cấu hình Group Policy.

  1. Mở Group Policy Management trên Domain Controller của bạn.
  2. Tạo một GPO mới (ví dụ: WSUS_Client_Policy) hoặc chỉnh sửa một GPO hiện có.
  3. Liên kết GPO này với một OU chứa các máy tính bạn muốn quản lý bằng WSUS.
  4. Chỉnh sửa GPO và điều hướng đến: Computer Configuration > Policies > Administrative Templates > Windows Components > Windows Update
  5. Cấu hình các cài đặt sau:
    • Configure Automatic Updates: Chọn Enabled.
      • Chọn cài đặt 4 - Auto download and schedule the install.
      • Chọn ngày và thời gian cài đặt.
    • Specify intranet Microsoft update service location: Chọn Enabled.
      • Trong cả hai trường "Set the intranet update service for detecting updates" và "Set the intranet statistics server", nhập URL của máy chủ WSUS của bạn (ví dụ: http://<WSUS_Server_IP_or_Hostname>:8530).
    • No auto-restart with logged on users for scheduled automatic updates installations: Chọn Enabled (để tránh khởi động lại đột ngột khi người dùng đang làm việc).
    • Allow automatic updates immediate installation: Chọn Enabled (để các bản cập nhật không yêu cầu khởi động lại có thể được cài đặt ngay lập tức).
  6. Đóng Group Policy Management Editor.
  7. Trên các máy khách, buộc cập nhật GPO và kích hoạt kiểm tra WSUS:
# Trên máy khách, chạy Command Prompt hoặc PowerShell với quyền Administrator

# Buc cập nhật Group Policy
gpupdate /force

# Buộc máy khách kiểm tra WSUS và báo cáo trạng thái
wuauclt /resetauthorization /detectnow

# Sau một thời gian, bạn có thể kiểm tra trạng thái máy khách trong console WSUS

💡 Mẹo: Sau khi GPO được áp dụng, máy khách sẽ xuất hiện trong console WSUS dưới mục "Computers" > "Unassigned Computers" hoặc nhóm mà bạn đã tạo.

Bước 4: Phê duyệt và quản lý cập nhật​

Sau khi máy khách đã kết nối, bạn có thể bắt đầu phê duyệt các bản cập nhật.

  1. Mở Windows Server Update Services console.
  2. Trong mục Updates, bạn có thể xem các bản cập nhật đã được đồng bộ hóa.
  3. Để phê duyệt một bản cập nhật:
    • Chọn bản cập nhật bạn muốn.
    • Nhấn chuột phải và chọn Approve....
    • Chọn nhóm máy tính mà bạn muốn áp dụng bản cập nhật (ví dụ: "All Computers" hoặc một nhóm tùy chỉnh).
    • Chọn Approved for Install hoặc Approved for Detection Only.
    • Nhấn OK.
  4. Bạn cũng có thể tạo Computer Groups (trong mục Computers) để quản lý các nhóm máy tính khác nhau và phê duyệt cập nhật cho từng nhóm. Điều này rất hữu ích cho việc kiểm tra bản cập nhật trên một nhóm nhỏ trước khi triển khai rộng rãi.
  5. ⚠️ Cảnh báo: Luôn kiểm tra các bản cập nhật quan trọng trên một nhóm máy tính thử nghiệm trước khi phê duyệt cho toàn bộ hệ thống để tránh các sự cố không mong muốn.

Bước 5: Kiểm tra và theo dõi​

Việc kiểm tra và theo dõi thường xuyên là rất quan trọng để đảm bảo WSUS hoạt động hiệu quả.

  1. Trong WSUS console, điều hướng đến Reports.
  2. Bạn có thể tạo các báo cáo về trạng thái cập nhật, trạng thái máy tính, v.v. để kiểm tra xem các bản cập nhật đã được cài đặt thành công hay chưa.
  3. Kiểm tra mục Computers để xem trạng thái báo cáo của từng máy khách.
  4. Đảm bảo rằng các bản cập nhật mới đang được đồng bộ hóa định kỳ và các máy khách đang nhận chúng.

Troubleshooting​

Dưới đây là một số lỗi thường gặp khi triển khai WSUS và cách xử lý:

  • Lỗi 1: WSUS console không mở được hoặc lỗi kết nối.

    • Nguyên nhân: Dịch vụ WSUS hoặc IIS gặp sự cố, hoặc cơ sở dữ liệu bị hỏng.
    • Cách xử lý:
      • Kiểm tra và khởi động lại các dịch vụ sau: Update Services và IIS Admin Service.
      • Chạy iisreset trong Command Prompt với quyền Administrator.
      • Kiểm tra log sự kiện của WSUS và IIS để tìm thông tin chi tiết.
      # Khởi động lại các dịch vụ liên quan đến WSUS
      net stop wsusservice
      net start wsusservice
      iisreset

  • Lỗi 2: Máy khách không hiển thị trong console WSUS hoặc không nhận cập nhật.

    • Nguyên nhân: GPO chưa được áp dụng, firewall chặn kết nối, DNS không phân giải được tên máy chủ WSUS, hoặc cấu hình WSUS không chính xác.
    • Cách xử lý:
      • Trên máy khách, chạy gpupdate /force và wuauclt /resetauthorization /detectnow.
      • Kiểm tra firewall trên máy chủ WSUS (đảm bảo cổng 8530 hoặc 80 được mở).
      • Kiểm tra DNS trên máy khách để đảm bảo có thể phân giải tên máy chủ WSUS.
      • Kiểm tra log sự kiện của máy khách (Event Viewer > Applications and Services Logs > Microsoft > Windows > WindowsUpdateClient > Operational) để tìm lỗi.

  • Lỗi 3: WSUS chậm hoặc hiệu suất kém.

    • Nguyên nhân: Cơ sở dữ liệu bị phân mảnh, thiếu tài nguyên (RAM, CPU), hoặc quá nhiều bản cập nhật không cần thiết được lưu trữ.
    • Cách xử lý:
      • Đảm bảo máy chủ WSUS có đủ RAM và CPU.
      • Chạy công cụ dọn dẹp WSUS tích hợp (WSUS console > Options > Server Cleanup Wizard).
      • Thực hiện bảo trì cơ sở dữ liệu định kỳ (reindex SUSDB). Đối với WID, bạn có thể sử dụng script PowerShell sau:
      # Chạy PowerShell với quyền Administrator trên máy chủ WSUS
      # Thực hiện dọn dẹp cơ sở dữ liệu WSUS
      [void][System.Reflection.Assembly]::LoadWithPartialName("Microsoft.UpdateServices.Administration")
      $wsus = [Microsoft.UpdateServices.Administration.AdminProxy]::Get //("localhost")
      $cleanupScope = New-Object Microsoft.UpdateServices.Administration.WsusCleanupTargets
      $cleanupScope.CleanupObsoleteUpdates = $true
      $cleanupScope.CleanupObsoleteComputers = $true
      $cleanupScope.CompressUpdates = $true
      $cleanupScope.DeclineExpiredUpdates = $true
      $cleanupScope.DeclineSupersededUpdates = $true
      $cleanupScope.CleanupUnneededContentFiles = $true
      $cleanupManager = $wsus.Get //CleanupManager()
      $cleanupManager.PerformCleanup($cleanupScope)
      Write-Host "WSUS cleanup completed."

      # Đối với reindexing SUSDB, cần SQL Server Management Studio nếu dùng SQL Server
      # Với WID, bạn có thể dùng công cụ sqlcmd hoặc script chuyên dụng hơn
      # Ví dụ một phần của script reindex cho WID (cần chạy với quyền SA trên DB)
      # sqlcmd -S \\.\pipe\MICROSOFT##WID\tsql\query -I
      # USE SUSDB
      # GO
      # EXEC sp_MSforeachtable @command1="print '?' DBCC DBREINDEX ('?')"
      # GO
      # EXEC sp_updatestats
      # GO
      💡 Mẹo: Nên chạy dọn dẹp và reindex cơ sở dữ liệu WSUS hàng tháng để duy trì hiệu suất tốt.

Kết Luận​

Triển khai WSUS là một giải pháp hiệu quả và cần thiết để quản lý cập nhật Windows tập trung trong môi trường doanh nghiệp. Nó không chỉ giúp tiết kiệm băng thông mà còn cung cấp khả năng kiểm soát mạnh mẽ đối với các bản vá, đảm bảo an ninh và ổn định cho hệ thống của bạn.

Best Practices:

  • Phân nhóm máy tính: Tạo các nhóm máy tính (ví dụ: Test, Production, Servers) để kiểm tra các bản cập nhật trên một nhóm nhỏ trước khi triển khai rộng rãi.
  • Bảo trì định kỳ: Chạy Server Cleanup Wizard và reindex cơ sở dữ liệu WSUS hàng tháng để duy trì hiệu suất.
  • Theo dõi: Thường xuyên kiểm tra báo cáo WSUS để đảm bảo các máy tính đang nhận và cài đặt cập nhật đúng cách.
  • Dung lượng đĩa: Đảm bảo máy chủ WSUS có đủ dung lượng đĩa cho các bản cập nhật trong tương lai.
  • Tối ưu hóa lựa chọn: Chỉ chọn các sản phẩm và phân loại cập nhật mà bạn thực sự cần để giảm tải cho máy chủ và băng thông.

✅ Bằng cách tuân thủ các bước và lời khuyên này, bạn sẽ có một hệ thống WSUS hoạt động hiệu quả, giúp giữ cho môi trường Windows của mình luôn được cập nhật và bảo mật.

Xem thêm: