Windows Server с нуля 10. Обновления: Windows Update и WSUS

Незакрытая уязвимость на одном сервере — это дыра во всей сети. Но «поставить всё и сразу» тоже опасно: обновление может сломать приложение или перезагрузить сервер в разгар работы. Поэтому обновлениями управляют: проверяют на небольшой группе машин, раскатывают по плану, следят за результатом. Для этого в Windows Server есть роль Windows Server Update Services (WSUS). В этой статье вы:

• разберётесь, какие бывают обновления и как их получают клиенты и серверы;
• узнаете статус WSUS и когда стоит смотреть на альтернативы;
• установите роль на WSUS1 (192.168.10.31), настроите синхронизацию и группы компьютеров;
• направите клиентов на сервер групповой политикой, сначала на пилотных машинах;
• научитесь обслуживать WSUS, чтобы он не заполнил диск.

Что нужно знать заранее

• Windows Server с нуля 02: сервер WSUS1 создан по таблице «Стенд целиком», диск D: подготовлен по врезке «Добавляем диск данных».
• Windows Server с нуля 05: компьютеры лежат в OU Workstations и Servers, группы — в OU Groups.
• Windows Server с нуля 06: создание GPO, префиксы USR- и CMP-, gpupdate, gpresult.
• Windows Server с нуля 11: резервная копия состояния системы контроллера домена.

Как Windows получает обновления

Обновления бывают нескольких типов:

• Качественные (quality updates) — ежемесячные накопительные обновления с исправлениями безопасности и надёжности. Обычно они выходят во второй вторник месяца (в англоязычных материалах — Patch Tuesday), но Microsoft может выпустить обновление в любой день.
• Функциональные (feature updates) — новые версии клиентской Windows. Windows Server новую версию через Microsoft Update не получает: её ставят с установочного образа.
• Драйверы и продукты — драйверы устройств и обновления других продуктов Microsoft.

По умолчанию компьютер обращается за обновлениями в интернет, в Windows Update. Если вы направите клиентов на свой сервер WSUS, они будут искать обновления там. В интернете часто советуют сторонний модуль PSWindowsUpdate, который устанавливается отдельно (он описан в старой статье сайта); здесь мы используем только встроенные средства Windows.

Чем управлять обновлениями

• Напрямую из Windows Update. Подходит для одного-двух компьютеров: общего управления из одной точки нет.
• Клиентские политики Windows Update (прежнее название — Windows Update for Business). Бесплатно для Windows 10 и 11 Pro, Education и Enterprise: настраиваются групповой политикой или MDM (управление мобильными устройствами, например Microsoft Intune). Позволяют отложить качественные обновления до 30 дней, функциональные — до 365, приостановить обновления на 35 дней. Серверы эта страница документации не охватывает.
• WSUS. Собственный сервер: он скачивает обновления из Microsoft Update, администратор выбирает, какие и каким группам одобрить, клиенты берут их у него. Экономит внешний трафик и даёт контроль. WSUS используется и в Microsoft Configuration Manager (системе управления парком для крупных сетей).

Статус WSUS: что известно точно

Обзор WSUS на Microsoft Learn сообщает: служба устарела (deprecated) и новых функций не получает, но остаётся поддерживаемой для производственных развёртываний и получает обновления безопасности и качества по жизненному циклу продукта. На странице о компонентах, которые больше не развиваются, термин расшифрован: такой компонент по-прежнему входит в Windows Server и поддерживается, но в будущих выпусках может быть удалён. Про WSUS там сказано, что все существующие возможности и содержимое остаются доступными. Роль доступна в Windows Server 2025, 2022, 2019 и 2016.

Выводы для практики:

• Для небольшой сети WSUS остаётся рабочим решением: дата удаления роли не объявлена. Но новых возможностей ждать не стоит, а страницу Learn о состоянии компонентов полезно перечитывать.
• Windows Internal Database (WID, встроенная база данных), которую WSUS использует по умолчанию, по той же странице будет удалена из Windows в будущем выпуске; для ролей на WID предлагают рассмотреть бесплатный или полный SQL Server. WSUS поддерживает SQL Server Standard, Enterprise и Express. Для учебной сети WID проще; для долгоживущего боевого сервера заранее подумайте о SQL.
• WSUS нужно обновлять, как любой сервер: у него были собственные исправления безопасности (см. врезку «Состояние на ноябрь 2026 года» ниже).

Планируем WSUS1

Для установки роли нужен 64-разрядный процессор 1,4 ГГц (рекомендуется 2 ГГц), 2 ГБ памяти сверх нужд самой ОС, 40 ГБ и больше на диске для обновлений (минимум 20 ГБ), сетевой адаптер 100 Мбит/с (лучше 1 Гбит/с). Для каждой версии Windows и архитектуры, обновляемой через единую платформу обновления (UUP), понадобится ещё около 10 ГБ. Содержимое хранят на отдельном томе: мы возьмём D:\WSUS.

Что нужно решить заранее:

• База данных. WID или SQL Server. Мы выбираем WID: установка проще.
• Доступ в интернет. Только первый (верхний) сервер WSUS должен выходить в интернет, клиентам он не нужен: им достаточно доступа к WSUS. Если между сервером и интернетом брандмауэр, разрешите исходящие 80 и 443 до доменов Microsoft Update (перечень приведён на странице настройки WSUS); IP-диапазонами не ограничивайтесь, адреса постоянно меняются.
• Порты для клиентов. По умолчанию 8530 (HTTP) и 8531 (HTTPS).
• Языки и продукты. Выбирайте только нужные: так вы сэкономите диск. Английский язык включайте всегда: все обновления основаны на английских языковых пакетах.

Практика: устанавливаем роль

Перед установкой установите на WSUS1 все ожидающие обновления и перезагрузитесь. Том D: подготовьте по врезке «Добавляем диск данных» в Windows Server с нуля 02, не выбирая диск наугад. Перед установкой сделайте контрольную точку (снимок) виртуальной машины WSUS1.

В Диспетчере серверов: Manage → Add Roles and Features → роль Windows Server Update Services (добавьте предложенные компоненты). На странице служб ролей оставьте выбранными значения по умолчанию: тип базы данных выбрать обязательно, иначе задачи после установки не пройдут. На странице расположения содержимого введите D:\WSUS. После установки нажмите Launch Post-Installation tasks, дождитесь «Configuration successfully completed» и при необходимости перезагрузите сервер.

То же из PowerShell (в Windows PowerShell 5.1):

Install-WindowsFeature -Name UpdateServices -IncludeManagementTools -Restart
Get-WindowsFeature -Name UpdateServices*

Вторая команда покажет имена компонентов на вашем сервере. Базу выбирают компонентами: UpdateServices-WidDB (WID) или UpdateServices-DB (SQL Server). Задачи после установки из командной строки запускают командой wsusutil postinstall: для базы на SQL Server Microsoft называет такой способ рекомендуемым, а для WID, по архивному примеру Microsoft для Windows 10, достаточно параметра CONTENT_DIR:

New-Item -ItemType Directory -Path D:\WSUS -Force
Set-Location 'C:\Program Files\Update Services\Tools'
.\wsusutil.exe postinstall CONTENT_DIR=D:\WSUS

Перед wsusutil в PowerShell нужен префикс .\. Если команда в таком виде не сработает, запустите задачи из консоли WSUS. Проверьте, что сервер отвечает:

Get-WsusServer

Если клиенты не достучатся до порта 8530, откройте его правилом брандмауэра (отключать брандмауэр не нужно):

New-NetFirewallRule -DisplayName 'WSUS HTTP 8530' -Direction Inbound `
    -Protocol TCP -LocalPort 8530 -Action Allow -Profile Domain

Нужно ли правило, покажет Test-NetConnection wsus1.lab.example -Port 8530 с клиента: при TcpTestSucceeded : False создайте его.

Практика: первичная настройка

Откройте Server Manager → Tools → Windows Server Update Services. Мастер настройки появляется при первом запуске:

1. Участие в программе улучшения обновлений Майкрософт — по желанию; снимите флажок, если не хотите участвовать.
2. Выберите Synchronize from Microsoft Update; прокси — только если выход в интернет идёт через него.
3. Нажмите Start Connecting: сервер загрузит список продуктов.
4. Языки: английский и русский.
5. Продукты: для Windows Server 2025 в WSUS это «Microsoft Server operating system-24H2»; для Windows 11 и других версий выберите продукт, указанный в описании ежемесячного обновления. Лишнее не отмечайте: родительский флажок выбирает всё, что под ним.
6. Классификации. Начните с Critical Updates и Security Updates: ежемесячные накопительные обновления публикуются в классификации Security Updates. Классификацию Upgrades (функциональные обновления) и драйверы без нужды не включайте: это объём и риск.
7. Расписание: Synchronize automatically, первая синхронизация в ночное время, раз в сутки.
8. Отметьте Begin initial synchronization и нажмите Finish.

Первая синхронизация может занять больше часа. Следите за ней в разделе Synchronizations. Когда она завершится, в Updates → All Updates появятся обновления. Настройку можно выполнять и командлетами модуля UpdateServices (Set-WsusServerSynchronization, Get-WsusProduct, Set-WsusProduct, Get-WsusClassification, Set-WsusClassification).

Группы компьютеров и политика клиентов

Группы

Компьютеры сначала попадают в группы All Computers и Unassigned Computers. Создайте группы в консоли WSUS (Computers → All Computers → правый щелчок → Add Computer Group): WSUS-Pilot (тестовая), Workstations и Servers. Компьютеры можно распределять на сервере (по умолчанию: вы переносите их вручную через Change membership) или на клиенте (политикой Enable client-side targeting; её сначала включают в Options → Computers). В небольшой сети проще серверный способ, его используем и мы.

Политика для клиентов: сначала пилот

Два GPO — для рабочих станций и для серверов — называем с префиксом CMP-, как принято в Windows Server с нуля 06. Сначала ограничим их членами группы безопасности WSUS-Pilot в AD (имя совпадает с группой в WSUS: это одно и то же множество машин): PC1 и WSUS1.

$base = (Get-ADDomain).DistinguishedName
New-ADGroup -Name 'WSUS-Pilot' -GroupScope Global -GroupCategory Security `
    -Path "OU=Groups,$base"
Add-ADGroupMember -Identity 'WSUS-Pilot' `
    -Members (Get-ADComputer 'PC1'), (Get-ADComputer 'WSUS1')
foreach ($name in 'CMP-WSUS-Workstations', 'CMP-WSUS-Servers') {
    New-GPO -Name $name | Out-Null
    Set-GPPermission -Name $name -TargetName 'WSUS-Pilot' -TargetType Group `
        -PermissionLevel GpoApply
    Set-GPPermission -Name $name -TargetName 'Authenticated Users' `
        -TargetType Group -PermissionLevel GpoRead -Replace
}
New-GPLink -Name 'CMP-WSUS-Workstations' -Target "OU=Workstations,$base"
New-GPLink -Name 'CMP-WSUS-Servers' -Target "OU=Servers,$base"

Политики привязаны к OU, но применяются только к членам WSUS-Pilot. Перезагрузите PC1 и WSUS1, чтобы членство в группе вступило в силу. В редакторе GPO: Computer Configuration → Policies → Administrative Templates → Windows Components → Windows Update. В новых версиях Windows нужные параметры лежат в подузлах: Configure Automatic Updates — в Manage end user experience, Specify intranet Microsoft update service location — в Manage updates offered from Windows Server Update Service.

В русской версии страницы Learn эти параметры названы «Указать размещение службы обновлений Майкрософт в интрасети» и «Настроить автоматические обновления»; в вашей версии Windows формулировки могут отличаться. Два поля первой политики — это сервер, с которого клиент ищет и скачивает обновления, и сервер статистики; при одном WSUS значения совпадают. Режим 4 перезагружает рабочие станции автоматически (вошедший пользователь получает уведомление и может отложить перезагрузку); другие политики перезагрузки описаны на странице настройки клиентов. Для серверов выбран режим 3 (это значение по умолчанию в Windows Server): обновления скачиваются заранее, а установку и перезагрузку администратор запускает в окно обслуживания.

На клиенте: gpupdate /force, затем gpresult /r /scope computer. Запустите проверку обновлений из Параметров (Центр обновления Windows). Через время (до 20 минут) компьютер появится в консоли WSUS в группе Unassigned Computers; щёлкните его правой кнопкой, выберите Change membership и поместите в WSUS-Pilot (PC1) или Workstations (PC2). Серверы переносите в Servers.

Когда пилот прошёл (см. раздел об одобрении), расширьте область: верните Authenticated Users право применения и привяжите серверную политику к контроллерам домена. Откат любого шага — Remove-GPLink:

foreach ($name in 'CMP-WSUS-Workstations', 'CMP-WSUS-Servers') {
    Set-GPPermission -Name $name -TargetName 'Authenticated Users' `
        -TargetType Group -PermissionLevel GpoApply
}
New-GPLink -Name 'CMP-WSUS-Servers' -Target "OU=Domain Controllers,$base"
# откат: Remove-GPLink -Name 'CMP-WSUS-Servers' `
#     -Target "OU=Domain Controllers,$base"

Одобряем обновления

В консоли откройте Updates и в разделе All Updates выберите Updates needed by computers. Выделите обновления, правый щелчок → Approve, выберите группу WSUS-Pilot → Approved for Install → OK. Можно задать срок установки (Deadline): тогда клиент установит обновление к этому времени. Если среди обновлений есть обновления самого WSUS, одобрите их первыми, иначе остальные одобрить не получится.

То же в PowerShell; сначала с -WhatIf, чтобы увидеть, что произойдёт:

Get-WsusUpdate -Classification Security -Approval Unapproved `
    -Status FailedOrNeeded |
    Approve-WsusUpdate -Action Install -TargetGroupName 'WSUS-Pilot' -WhatIf

Допустимые значения -Classification: All, Critical, Security, WSUS. Значение All одобрит всё, что синхронизировано, включая Upgrades и драйверы, если вы их включали. Уберите -WhatIf, когда результат устроит. Через сутки посмотрите отчёт Reports → Update Status Summary. Если у пилота всё в порядке, одобрите те же обновления для Workstations и Servers.

Правила автоодобрения (Options → Automatic Approvals) удобны для тестовой группы, но не включайте их для классификации Upgrades: именно в ней выходят функциональные обновления, и клиенты могут начать обновляться до новой версии Windows. Не все обновления можно удалить через WSUS, в том числе обновления UUP.

Окно обслуживания для серверов

Серверы обновляют по плану, по одному:

1. Перед окном подготовьте откат. Контрольные точки (снимки) ВМ годятся для лаборатории и для рядовых серверов перед опасным шагом, поэтому для FS1 и WSUS1 сделайте точку. Для контроллеров домена в боевой сети откат контрольной точкой не применяют: Microsoft не рекомендует снимок как замену резервной копии (подробнее — раздел про USN rollback в Windows Server с нуля 11). Для DC сделайте копию состояния системы по той же статье.
2. Запустите установку: на Server Core — через sconfig, на Desktop Experience — через Параметры (Центр обновления Windows).
3. Перезагрузите сервер и проверьте службы. После перезагрузки контроллера проверьте репликацию Active Directory (команды — в Windows Server с нуля 03).
4. Только после этого переходите к следующему серверу. Так вы не останетесь без обоих контроллеров домена и без файлового сервера одновременно.

Диагностика

• Компьютер не появляется в консоли. Подождите до 20 минут; убедитесь по gpresult, что политика применилась и URL верный (порт соответствует HTTP или HTTPS), что имя wsus1.lab.example разрешается, а порт открыт.
• Статус «не отчитывался». Часто компьютер выключен, спит или потерял сеть.
• Принудительная проверка. Команда wuauclt /detectnow в описании WSUS указана только для версий до Windows 10, а в списке удалённых функций Windows Server названа удалённой; там же предложена замена — вызов COM-объекта Microsoft.Update.AutoUpdate: $AutoUpdates = New-Object -ComObject 'Microsoft.Update.AutoUpdate'; $AutoUpdates.DetectNow(). Проверьте её на тестовой машине; обычно хватает кнопки в Параметрах.
• Клиентский журнал. Get-WindowsUpdateLog собирает ETL-файлы (двоичные журналы трассировки Windows) в читаемый WindowsUpdate.log (по умолчанию на рабочем столе текущего пользователя).

Обслуживание WSUS

Без обслуживания база и каталог содержимого разрастаются, а клиенты дольше ищут обновления. Ежемесячный порядок такой: резервная копия базы SUSDB (база данных WSUS), переиндексация базы, отклонение замещённых обновлений (superseded) и мастер очистки сервера. Не правьте таблицы базы вручную: управляйте WSUS через консоль и командлеты. Исключение — скрипты обслуживания (копия, переиндексация) из руководства Microsoft; их запускают точно по инструкции.

Мастер очистки (Options → Server Cleanup Wizard) удаляет неиспользуемые обновления и их файлы, отклоняет просроченные и замещённые обновления и убирает из списка компьютеры, которые давно не обращались к серверу. Очистка необратима: перед первым запуском сделайте контрольную точку WSUS1; для учебного стенда её достаточно. Резервную копию SUSDB делают средствами базы данных любым подходящим способом: руководство Microsoft из «Источников» называет это первым шагом ежемесячного порядка (в Windows Server с нуля 11 она не разбирается). То же делает командлет; -WhatIf лишь имитирует запуск, перечня затрагиваемых объектов он не гарантирует, поэтому главная страховка — контрольная точка:

Get-WsusServer | Invoke-WsusServerCleanup -DeclineExpiredUpdates `
    -DeclineSupersededUpdates -CleanupObsoleteUpdates -CompressUpdates `
    -CleanupUnneededContentFiles -CleanupObsoleteComputers -WhatIf

Если очистку не запускали давно, начните с одного параметра -CleanupObsoleteUpdates: иначе она может не уложиться в тайм-аут и потребовать нескольких проходов. Если в иерархии несколько серверов, чистите снизу вверх, сначала нижестоящие. Следите и за свободным местом на D:.

Типичные ошибки и недоразумения

• Клиент настроен, но на WSUS не отчитывается. Чаще всего в URL не тот порт, имя не разрешается или закрыт порт на сервере.
• Выбрали все продукты и все языки. Диск заполнится за недели. Оставьте только нужное.
• Включили классификации «на всякий случай». Drivers и Upgrades увеличивают объём и риск.
• Одобрили всё всем сразу. Нет пилота — нет шанса вовремя заметить сбой.
• Политику сразу на все серверы и контроллеры. Начинайте с WSUS-Pilot, откат — Remove-GPLink.
• Серверы и контроллеры домена перезагружаются одновременно. Используйте режим 3 и окно обслуживания; контроллеры обновляйте по одному.
• Никогда не чистили WSUS. Мастер очистки может перестать укладываться в тайм-аут; запускайте его регулярно.
• Не обновляли сам WSUS. Его тоже нужно патчить.

Проверьте себя

1. Какой статус у WSUS? Служба устарела (deprecated): новых функций нет, но она поддерживается для производственных развёртываний и получает обновления безопасности и качества по жизненному циклу продукта.
2. Какие порты WSUS использует по умолчанию? 8530 для HTTP и 8531 для HTTPS.
3. Какие два поля заполняют в политике Specify intranet Microsoft update service location? Адрес сервера, откуда клиент ищет и скачивает обновления, и адрес сервера статистики; при одном WSUS они совпадают.
4. Зачем нужна группа WSUS-Pilot? Сначала одобрить обновления и применить политику для небольшого числа машин, проверить результат в отчётах и только потом раздать остальным.
5. Что делает мастер очистки сервера и в каком порядке его запускают в иерархии? Удаляет неиспользуемые обновления и файлы, отклоняет просроченные и замещённые обновления, убирает давно не отвечавшие компьютеры; сначала запускают на нижестоящих серверах.

Что дальше

• Windows Server с нуля 11. Резервное копирование — копия состояния системы контроллеров домена и контрольные точки перед окном обслуживания.
• Windows Server с нуля 12. Безопасность и обслуживание — регулярные проверки, в том числе состояния обновлений.
• Windows Server с нуля 06. Групповые политики — резервные копии GPO и диагностика применения.

Источники

• Windows Server Update Services (WSUS) overview — статус WSUS: устарел, но поддерживается
• Features removed or no longer developed in Windows Server — значение термина deprecated, WSUS, Windows Internal Database, wuauclt /detectnow
• Plan your WSUS deployment — требования, WID и SQL Server, хранение, языки, порты, группы
• Step 1: Install the WSUS server role — установка роли в Диспетчере серверов и в PowerShell
• Roles, Role Services, and Features included in Windows Server - Server Core — имена компонентов UpdateServices-*
• Implement a shared SUSDB for Configuration Manager SUPs — wsusutil postinstall
• Prepare for deployment with MDT (архив, Windows 10) — пример wsusutil postinstall CONTENT_DIR=… для WID
• Step 2: Configure WSUS — мастер настройки, группы компьютеров, TLS, клиенты
• Step 3: Approve and deploy updates in WSUS — одобрение, автоодобрение, отчёты
• Step 4: Configure Group Policy settings for Automatic Updates — параметры Configure Automatic Updates и Specify intranet Microsoft update service location
• The complete guide to WSUS and Configuration Manager SUP maintenance — ежемесячное обслуживание: копия, индексы, замещённые обновления, очистка
• UpdateServices module — командлеты Approve-WsusUpdate, Get-WsusUpdate, Invoke-WsusServerCleanup и другие
• What are Windows Update client policies? — клиентские политики (Windows Update for Business), отсрочка и пауза
• KB5126646 (Windows Server 2025, October 13, 2026) — продукт и классификация для WSUS, известная проблема с ошибками синхронизации
• Get-WindowsUpdateLog — сбор журнала Windows Update клиента