Patchverwaltung im Windows-Netz: WSUS 3.0 perfekt einrichten

Den Anfang macht die Frage, woher der WSUS-Server seine Updates beziehen soll – direkt von Microsoft oder von einem anderen Server im gleichen Netz. WSUS-Server können in einer hierarchischen Abfolge eingesetzt werden, ein Server dient als Verteiler (Upstream) und bekommt die Updates von Microsoft. Die anderen (Downstream) holen sich ihre Updates vom Upstream-Server. Nachdem es sich vermutlich um den ersten Server handelt, wählt man „von Microsoft Update synchronisieren“ aus.

Leider funktioniert die Synchronisation mit einem eventuell bestehenden WSUS-2.0-Server nicht. Das wäre die eleganteste Variante gewesen, um die vorhandenen Einstellungen und Dateien auf den neuen Server zu bringen. Unverständlicherweise hat Microsoft diesen Weg nicht vorgesehen. Es gibt nur die Möglichkeit, ein Inline-Upgrade vorzunehmen, also den WSUS 3.0 über den WSUS 2.0 zu installieren, passendes Betriebssystem vorausgesetzt. Wer das nicht kann, zum Beispiel, weil ein Windows-2000-Server als Basis des WSUS 2.0 dient, muss mehrere Umwege gehen. Eine Variante ist auf der letzten Seite dieses Artikels beschrieben.

Nun fährt der Wizard mit der Sprachauswahl fort. Hier sollte man wirklich nur das Nötigste ankreuzen, denn die meisten Patches stellt Microsoft pro Sprache in einer eigenen Datei bereit. Wer den Standardwert „Alle Sprachen“ beibehält, lädt danach weit mehr als 100 GByte herunter.

Sparsamkeit gilt auch für die Kategorieauswahl. Mit dem WSUS 3.0 kann man Patches für einige Dutzend Programme und Programmversionen herunterladen, darunter Windows, Office XP, Office 2003, SQL Server 2000, MSDE 2000, und Exchange Server 2003. Die Beschränkung auf die Produkte, die wirklich verwendet werden, ist sehr ratsam.

Der letzte Bildschirm betrifft die Synchronisierungseinstellungen. Im Gegensatz zu WSUS 2.0, der sich einmal am Tag mit der Windows-Update-Website verband, kann Version 3.0 stündlich Kontakt zum Upstream-Server aufnehmen. Im Prinzip reicht eine Anfrage pro Tag, vor allem weil das Gros der Updates ohnehin nur am Patch-Tuesday veröffentlicht wird. Aber um mögliche, brandaktuelle Sicherheitslücken mit zeitnah bereitgestellten Patches zu schließen, ist die Abfrage mehrmals pro Tag sinnvoll. Nach dem letzten Klick auf „Weiter“ öffnet WSUS die Verwaltungsoberfläche und startet die Erstsynchronisation, die mehrere Stunden dauern kann.