WSUS | Allgemeines, "nicht zutreffende Updates 77835"

[tschulian]

Hallo Genossen,

ich habe die Produkte und Klassifizierungen unseres WSUS Servers schon auf die wichtigsten Systeme ausgedünnt, dennoch werden mir auch nach einer Serverbereinigung noch ca. 75.000 Updates angezeigt die für KEINEN unserer Clients zutreffen.

Gibt es einen Trick diese nicht zutreffenden Updates zu löschen? Der WSUS Serverknoten würde sich dann höchstwahrscheinlich nichtmehr so oft Aufhängen.

Außerdem läd der WSUS wenn ich auf Synchronisieren klicke regelmäßig Updates (2-3GB Files). Allerdings sind die Zeitstempel der Updates alle vom 08.01.2019... Also rund 17 Tage alt, obwohl er gestern und auch gerade als ich diesen Post verfasse 2840MB Daten runtergeladen hat und jetzt schreibt:  "Erfolgreich".

 

ein weiteres kleines Anliegen:

Aktuell zeigt mir ein Client an, dass er auf dem neusten Stand sei.
Der WSUS sagt allerdings, dass noch ein Update einen Neustart erfordert.
Den Client habe ich schon 2x neugestartet und folgende Befehle in einer administrativen CMD ausgeführt:

echo Checking for new Windows Updates
wuauclt /detectnow
wuauclt /detectnow

echo Reporting Current Client Status to WSUS
wuauclt /reportnow
wuauclt /reportnow

Das über die Powershell erzeugte WindowsUpdateLog zeigt meiner Meinung nach keine auffälligkeiten.
Den Client habe ich auch schon aus dem WSUS gelöscht. dieser hat sich nach kurzer Zeit wieder gemeldet - mit dem selben Update welches eben einen Neustart erfordert.

Wie soll man den Infos des WSUS Dashboards glauben schenken, wenn Client und WSUS unterschiedliche Stände aufweisen?

Falls diese Info wichtig wäre, folgende Systemeigenschaften hat unser WSUS Server der unter Windows Server 2016 Standard läuft:

 

Bearbeitet 25. Januar 2019 von tschulian

[mister harry]

Hi, ich bin zwar schon einige Zeit aus dem WSUS-Thema raus, versuche aber mal mich zu erinnen.

 

 

vor 17 Minuten schrieb tschulian:

Gibt es einen Trick diese nicht zutreffenden Updates zu löschen? Der WSUS Serverknoten würde sich dann höchstwahrscheinlich nichtmehr so oft Aufhängen.

ist mir nicht bekannt. In der Datenbank bleiben zumindest die Update-Informationen bestehen, weil es dieses Update ja mal gab.

Interessant wäre eher die Frage, ob er das nur anzeigt, oder auch wirklich herunterlädt. Wie groß ist denn der WSUS-Ordner aufdem Server? Denn herunterladen sollte er in der Tat nur die benötigten und nicht alle 75000

Falls der Server doch genau das tun sollte, gibt es Powershell-Scripts, für das Bereinigen. Dafür soltle aber vorab die Grundkonfiguration des Servers stimmt, damit er nicht immer wieder alle lädt.

Ich meine mich zu erinnnern, dass je nach Auswahl der notwendigen Kategorieren der Ordner keine 500-600GB haben sollte, eher im Bereich bis max 100. Das war zumindest bei meiner letzen Firma der Fall. Da hatten wir Updates für Win7,10 und Server 2008-2012 implementiert.

 

 

vor 17 Minuten schrieb tschulian:

Außerdem läd der WSUS wenn ich auf Synchronisieren klicke regelmäßig Updates (2-3GB Files). Allerdings sind die Zeitstempel der Updates alle vom 08.01.2019... Also rund 17 Tage alt, obwohl er gestern und auch gerade als ich diesen Post verfasse 2840MB Daten runtergeladen hat und jetzt schreibt:  "Erfolgreich".

Der Zeitstempel kommt vom Datum des Updates und nicht vom Tag des Herunterladens. Da MS normalerweise immer den zweiten Dienstag im MOnat Patchday hat, passt das Datum hier in der Tat schon.

 

 

Was die unterschiedlichen Stände Client <> Server angeht, bin ich leider zu lange aus dem Thema raus.

Bearbeitet 25. Januar 2019 von fleschmaster

[tschulian]

Wow, super, danke für die ausführliche Antwort.
Aktuell belegt der  WSUS 217GB Festplattenplat für folgende Produkte: 

Exchange 2016
Office 2016
OOBE ZDP
Windows10
Server 2k8
Server 2k12
Server 2k12 R2
Server 2k16
Server 2k19
Windows Server-Manager - Windows Server Update Services (WSUS) Dynamic Installer

Die Klassifizierungen für die Produkte sind lediglich Sicherheitsupdates & Wichtige Updates.



Das mit dem Zeitstempel erscheint mir jetzt sinnvoll und nachvollziehbar.

[mister harry]

vor 15 Minuten schrieb tschulian:

Die Klassifizierungen für die Produkte sind lediglich Sicherheitsupdates & Wichtige Updates.

 

Das scheint mir aufgrund der Menge an Produkten noch ein halbwegs akzeptabeler Platzbedarf zu sein.

Du kannst ja dennoch mal nach den Tools zum Aufräumen suchen. Einfach mal bei Google schauen.

Das war ein Powershell-Script, welches alle überholten Updates nochmal ablehnt und dann auch den Plattenplatz aufräumt meine ich mich zu erinnen.

Und das besser, als es die Standard-Aktion vom WSUS selber tut.

Eine andere Version davon hat das wohl auch direkt in der Wsus-DB getan, dass habe ich bei uns aber nie sauber zum laufen bekommen

 

 

[_n4p_]

Jenes Script?

#Region VARIABLES

# WSUS Connection Parameters:
[String]$updateServer = "<ip wsus server>"
[Boolean]$useSecureConnection = $False
[Int32]$portNumber = 8530

# Cleanup Parameters:
# Decline updates that have not been approved for 30 days or more, are not currently needed by any clients, and are superseded by an aproved update.
[Boolean]$supersededUpdates = $True
# Decline updates that aren't approved and have been expired my Microsoft.
[Boolean]$expiredUpdates = $True
# Delete updates that are False and have not been approved for 30 days or more.
[Boolean]$obsoleteUpdates = $True
# Delete older update revisions False have not been approved for 30 days or more.
[Boolean]$compressUpdates = $True
# Delete computers that have not contacted the server in 30 days or more.
[Boolean]$obsoleteComputers = $True
# Delete update files that aren't needed by updates or downstream servers.
[Boolean]$unneededContentFiles = $True

#EndRegion VARIABLES

#Region SCRIPT

# Load .NET assembly
[void][reflection.assembly]::LoadWithPartialName("Microsoft.UpdateServices.Administration")

# Connect to WSUS Server
$Wsus = [Microsoft.UpdateServices.Administration.AdminProxy]::getUpdateServer($updateServer,$useSecureConnection,$portNumber)

# Perform Cleanup
$CleanupManager = $Wsus.GetCleanupManager()
$CleanupScope = New-Object Microsoft.UpdateServices.Administration.CleanupScope($supersededUpdates,$expiredUpdates,$obsoleteUpdates,$compressUpdates,$obsoleteComputers,$unneededContentFiles)
$CleanupManager.PerformCleanup($CleanupScope)

#EndRegion SCRIPT

 

[Gemeindetyp]

Hallo,

guck Dir mal diesen Artikel an. Damit bekommst Du ersetzte Updates auch physisch vom System

https://www.google.de/amp/s/mstechy.net/2017/03/13/wsus-alte-updates-bereinigen/amp/

Ist recht simpel und bedarf auch keines Scripts

[tschulian]

@Gemeindetyp danke für den Tipp!

Noch eine Frage: wie kann es sein, dass manche Rechner z.B Treiber laden obwohl im WSUS unter Klassifizierung keine Treiber ausgewählt sind? Kann es sein, dass die GPO, die dafür sorgt, dass die Updates automatisch installiert werden, auch nur die Updates automatisch installiert, die in den Klassifizierungen vorkommen?
Bei einem User ist ein Intel Treiber Updates ausstehend, der User kann hier selbstständig auf "Installieren" klicken - das sollte allerdings nicht der Fall sein, da ich eingestellt habe, dass Updates automatisch installiert werden, und lediglich der Neustart vom User verzögert werden kann.