Configurar un servidor WSUS para que sólo descargue las actualizaciones de seguridad (Powershell)
Introduccion a WSUS
Como con cualquier red extensa que se pueda encontrar hoy en día en cualquier empresa es muy difícil que se encuentre homogeneidad en el sistema operativo instalado en los clientes.
Esto para cualquier administrador IT supone un reto, puesto que todos estos equipos navegan por Internet, mandan emails y se actualizan cuando salen actualizaciones.
Si se dispone de un parque pequeño de equipos, quizás se pueda manejar manualmente, pero ante un parque grande de equipos hay que controlar que actualizaciones funcionan en los equipos cliente, que actualizaciones es necesario revocar porque interfieren con ciertos drivers o dan problemas con aplicaciones empresariales. Realizar toda esta gestión manualmente equipo por equipo en una red grande es poco escalable.
El servicio de Actualizaciones de Windows Server (WSUS) permite hacer precisamente esto, gestionar las actualizaciones de cualquier tipo (actualizaciones de seguridad, actualizaciones críticas, actualizaciones de drivers, de aplicaciones, Services Packs…) sobre cualquier sistema operativo y de cualquier producto de Microsoft. Disminuye el trafico descargado, puesto que, por el método tradicional se necesita una descarga por cada cliente. Al implementarlo en el servidor WSUS, los clientes se descargan la actualización desde el Servidor WSUS.
El servidor WSUS permite clasificar las actualizaciones en función de su categoría y sectorizar por grupos equipos de trabajo para implementar una actualización escalada, primero a un pequeño grupo de equipos sobre los que se prueba la estabilidad de la actualización, para que a posteriori, se expanda al resto del parque empresarial.
Bien se puede ejecutar en un grupo de trabajo o en un servidor unido a un dominio, en ambos casos, el servidor WSUS puede descargarse las actualizaciones directamente desde Windows Update o trabajar en una jerarquía de servidores WSUS en la que uno de ellos ejerce de servidor “Upstream” (conectándose directamente a Windows Update) y el resto de servidores (“Downstream”) pueden funcionar en modo independiente de tal modo que desde cada servidor se pueden aprobar o denegar actualizaciones o bien pueden funcionar en modo “replica” de tal modo que el único servidor que aprueba o deniega actualizaciones es el servidor “Upstream”.
Cualquiera de las dos implementaciones dependerá de la cantidad de equipos que se deben gestionar y de la topología de nuestra red.
Este rol permite la gestión de las actualizaciones por parte del departamento IT desde entorno grafico o desde línea de comandos, tanto con Powershell como con la herramienta de línea de comandos wsusutil.exe ubicada en C:\ %unidad%\Program Files\Update Services\Tools.
En versiones anteriores como Windows Server 2008, el rol WSUS se instalaba por separado (WSUS 3.0). En Windows Server 2012 la versión de WUSU es la 4.0, la cual viene integrada, por lo que ayuda a adoptar esta medida de gestión de Microsoft en cualquiera de las versiones de Windows Server que se adopte.
Si se implementa con System Center, WSUS permite gestionar no solo actualizaciones de Windows si no de cualquier otro fabricante, lo que añade más granularidad a la gestión.
Ante las futuras actualizaciones de Windows Server 2012 la herramienta de wsusutil.exe está en detrimento ante las funciones más avanzadas que ofrece Powershell por su orientación a objetos.
A medida que se eliminen funciones de la herramienta wsusutil.exe se añadirán posiblemente más comandos al módulo de Update Services que permitirán hacer más granular la gestión de las actualizaciones.
Entre todas las opciones que ofrece WSUS, seguro que encontramos una configuración especifica que se ajusta a nuestras necesidades.
Un saludo!
Jorge Blanco
Formación Tajamar
MCSA/MCSE 2015-2016
