Windows Server 2016 wird nicht über WSUS aktualisiert

Wir haben einen WSUS-Server unter Windows Server 2016. WSUS erkennt und sendet Updates an alle Systeme, einschließlich der 2012-Server. WSUS erkennt, sendet jedoch keine Updates an einen der 2016-Server.

Es werden 0 erforderliche Updates angezeigt. Alle Updates zeigen "installiert oder nicht zutreffend" an. Hierbei handelt es sich um neue Serverinstallationen, die direkt von einem im November letzten Jahres erstellten Disk-Image installiert wurden.

Wenn ich einen Bericht auf einem der Server ausführe und den Produktfilter auf "Windows Server 2016" setze, werden 31 Updates installiert oder sind nicht anwendbar.

Alle 31 Updates werden auf die Genehmigung "Installieren" gesetzt. Der Status für alle lautet "Nicht zutreffend". Dies sind alle kritischen Updates und Sicherheitsupdates.

Ich habe die installierten Updates auf einem der betreffenden Server manuell durchgesehen und überprüft, dass diese "Nicht zutreffenden" Updates nicht installiert sind.

Alle diese Server sind Neuinstallationen und befinden sich in einer Organisationseinheit, die verhindert, dass sie sich nach einer Update-Installation neu starten. Ich bin der einzige, der sie manuell neu startet. Seit ihrer Installation haben sie 0 Updates erhalten. Es fällt mir schwer zu glauben, dass es 0 anwendbare Updates für eine Neuinstallation von Windows Server 2016 gibt.

Ich habe sichergestellt, dass BITS und die Windows Update-Dienste ausgeführt werden. Ich habe wuauclt / reportnow und wuauclt / detectnow ausgeführt. Es scheint nichts zu tun. Ich habe den Bereinigungsassistenten ausgeführt, um alle ersetzten Updates abzulehnen und zu entfernen. Ich habe überprüft, ob sich die Computer in AD und in WSUS in den richtigen Gruppen befinden. Ich habe in der Registrierung auf den betroffenen Computern überprüft, dass sie auf den WSUS-Server verweisen, und dieser kann gepingt werden. Der Client kann vom WSUS-Server aus gepingt werden. Es gibt keine Firewall oder Portblocker oder ähnliches. Ich habe eine komplett neue Serverinstallation für 2016 erstellt, auf der absolut nichts installiert ist. Keine Rollen, keine Firewalls, kein Virenscanner, kein Nichts, nur ein leerer Server und versucht, eine Verbindung zu erzwingen. WSUS erkennt, dass der Server vorhanden ist, aber das ist es auch.

Jedes andere Betriebssystem funktioniert einwandfrei. Nur die 2016-Server haben dieses Problem. Es ist definitiv ein WSUS-Serverproblem. Wenn ich in die Registrierung gehe und sie wieder auf den Microsoft-Server ändere, werden Updates gefunden.

Hat jemand eine Idee, was das Problem verursachen könnte und wie es behoben werden kann?

Vielen Dank.

EDIT - UPDATE: Immer noch Probleme. Versucht, einen 2. 2016 WSUS-Server zu installieren, das gleiche Problem, nur mit den 2016-Servern.

Ich habe sogar versucht, den Server 2019 zu installieren (obwohl ich glaube, dass es keine Unterschiede gibt ...). Kein Unterschied.

Ich habe sogar Gruppenrichtlinien ausgeschlossen. Ich habe einen 2016er Testserver ganz alleine in eine Organisationseinheit mit blockierter Vererbung gestellt. Das einzige Gruppenrichtlinienobjekt, das ich verknüpft habe, war die WSUS-Servereinstellung, die auf den Server 2019 zeigte. Die Maschine erhält keine andere Richtlinie. Auf dem Test 2016-Server ist nicht einmal ein Virenscanner oder eine Firewall konfiguriert. Sie befinden sich sogar im selben Segment.

Wir konvertieren von 2012 bis 2016 immer mehr unserer Server, was bedeutet, dass dies immer mehr ein Problem darstellt, da KEINER von ihnen Updates von WSUS erhält ... So viel ich nicht will, werde ich haben Microsoft anrufen ...

Ok, nachdem wir 3 Wochen mit dem technischen Support von Microsoft verbracht haben, haben wir das Problem gelöst.

Das Problem besteht darin, dass Dual Scan versucht, eine Verbindung zu Windows Update (online) herzustellen, und dies fehlschlägt. Wenn dies fehlschlägt, hört das System einfach auf zu versuchen und weigert sich, eine Verbindung zu WSUS herzustellen.

Das zusätzliche Problem ist, dass auf dem Serverinstallationsmedium ein Fehler vorliegt, der verhindert, dass sich der Dual Scan ändert. Es ignoriert nur die Richtlinie und behält die Standard-Update-Quelle Windows Update bei.

Folgendes müssen Sie tun, um das Problem zu beheben: Führen Sie die folgenden Befehle in Powershell auf dem fehlerhaften Server aus

$MUSM = New-Object -ComObject "Microsoft.Update.ServiceManager"
$MUSM.Services | select Name, IsDefaultAUService

Sie erhalten so etwas zurück:

Windows Update Standalone Installer - False   
Windows Server Update Service - False   
Windows Update - True

Wenn dort "Windows Update - True" steht, ist dies Ihre Standardquelle, unabhängig davon, was in Ihrem Gruppenrichtlinienobjekt steht ...

Als erstes müssen Sie sicherstellen, dass die folgenden Patches auf Ihrem Server installiert sind.

kb4103720 und kb4462928

Du brauchst sie beide. Sie sind beide riesig, die Installation dauert ewig und einen Tag und beide erfordern einen Neustart des Servers.

Diese KBs beheben das Dual-Scan-Problem, sodass der Server auf das Gruppenrichtlinienobjekt antwortet und ihm mitteilt, welche Standardquelle verwendet werden soll.

Jetzt müssen Sie die Gruppenrichtlinie so konfigurieren, dass der Server nur den WSUS-Server verwendet. Laut Microsoft sind dies die erforderlichen Einstellungen (bei einigen bin ich zweifelhaft, aber ich habe nicht jede getestet ... Ich bin nur froh, dass die Sache endlich funktioniert).

Computerkonfiguration> Richtlinien> Administrative Vorlagen> System> Geräteinstallation

Geben Sie den Suchserver für die Speicherorte der Gerätetreiber an

Set to "Enabled"  
Select search order: "Do not search Windows Update"

Geben Sie den Suchserver für Gerätetreiberaktualisierungen an

Set to "Enabled"  
Select Update Server: "Search Managed Server"

Computerkonfiguration> Richtlinien> Administrative Vorlagen> System> Internetkommunikationsverwaltung> Internetkommunikationseinstellungen

Deaktivieren Sie den Zugriff auf alle Windows Update-Funktionen (In Microsoftspeak bedeutet dies, dass der Online-Server nicht "make, damit keine Updates abgerufen werden können").

Set to "Enabled"

Deaktivieren Sie den Zugriff auf den Store

Set to "Enabled"

Computerkonfiguration> Richtlinien> Administrative Vorlagen> Windows-Komponenten> Windows Update

Lassen Sie nicht zu, dass Richtlinien zum Aufschieben von Updates Scans für Windows Update verursachen

Set to "Enabled"

Kein automatischer Neustart mit angemeldeten Benutzern für geplante automatische Update-Installationen

Set to "Enabled"

Geben Sie den Speicherort des Microsoft-Aktualisierungsdienstes im Intranet an

Set to "Enabled"  
Set the intranet update service for detecting updates: "http://[YOUR SERVER]:8530"  
Set the intranet statistics server:"http://[YOUR SERVER]:8530"  
Set the alternate download server: "http://[YOUR SERVER]:8530"  
Uncheck the box Download files with no Url in the metadata if alternate download server is set

Verschieben Sie Ihre Server in eine Organisationseinheit mit aktiviertem Gruppenrichtlinienobjekt. Ich habe eine separate Organisationseinheit in meiner Server-Organisationseinheit nur für den Server 2016 erstellt und dieses Gruppenrichtlinienobjekt damit verknüpft.

Führen Sie die obigen Powershell-Befehle erneut aus.

Es sollte jetzt sagen

 Name                                   IsDefaultAUService    
-------                                 --------------------------  
Windows Server Update Service              True  
Windows Update                             False

Wenn Sie "Windows Server Update Service" True erhalten, sollte es funktionieren!

Ich hoffe das hilft jemand anderem. Dies war sicherlich ein frustrierendes Problem ...

Ich akzeptiere Spenden in nicht gekennzeichneten Scheinen, Goldbarren und Scotch.

Wenn Sie das Web scannen, werden Sie sehen, dass alle Dinge, die @ Redwizard000 versucht hat, vorgeschlagen wurden. Es ist also klar, dass @ Redwizard000 wirklich versucht hat, dieses Problem zu lösen (siehe https://serverfault.com/a/940236/203726, wie @ Redwizard000 schließlich gelöst wurde die Angelegenheit). Lesen Sie weiter für meine Erfahrung:

In meinem Fall lief der WSUS-Server unter Windows Server 2012 R2, hatte alle Patches, hatte das VB-Bereinigungsskript ausgeführt, das Sie im Umlauf sehen, hatte den Bereinigungsprozess durchlaufen (der Stunden dauerte), konnte aber Updates für Windows 10-Computer bereitstellen Neue Windows Server 2016-Clientcomputer konnten keine Updates von WSUS abrufen und gaben 0x8024401c-Fehlermeldungen aus. Das einzige, was geholfen hat, war auf dem WSUS-Server: Erhöhen / Entfernen einiger Ressourcenlimits für den IIS-Anwendungspool (z. B. Warteschlangenlänge, Grenzwertintervall, Limit für privaten Speicher, aber es gibt andere) für den WSUS-Anwendungspool, wie in https: // beschrieben serverfault.com/a/835941 undhttps://blogs.msdn.microsoft.com/the_secure_infrastructure_guy/2015/09/02/windows-server-2012-r2-wsus-issue-clients-cause-the-wsus-app-pool-to-become-unresponsive- with-http-503 / und dann IIS neu starten. Es scheint, dass das Suchen nach Updates etwa 2 GB Speicher vom IIS-Server benötigte und ungefähr 8 Minuten dauerte. Danach verschwand die Fehlermeldung aber ...

..die Windows Server 2016-Clientcomputer würden beim Herunterladen von 0% der Updates auf unbestimmte Zeit hängen bleiben. Um dies zu überwinden, musste ich ein aktuelles kumulatives Update (auf den Windows Server 2016-Clientcomputern) manuell von http://www.catalog.update.microsoft.com/home.aspx herunterladen (oder vorübergehend die Windows-Update-Server von Microsoft zum Abrufen verwenden ein kumulatives Update) und installieren Sie dieses, bevor Sie die Einstellungen für die Verwendung von WSUS ändern.

Update : Es gibt einen MS-Support-Artikel mit dem Titel " Windows Update steckt unter Windows 10 oder Windows Server 2016 bei 0 Prozent fest ", in dem erläutert wird, wie Sie den Windows Update-Agenten auf Windows 10/2016 /2019-Clientcomputern nach der RTM-Version (10.0) aktualisieren müssen .14393.0), bevor Sie WSUS verwenden können. Dies klingt wie das, was im vorherigen Absatz effektiv getan wurde.

Ich hatte so ein Problem, 2016 würde den Fehler 0x8024401crauswerfen : und in WSUS würde sich zeigen 0% updated (not reported yet).

Um dies zu beheben, habe ich die Werte des WSUS-Anwendungspools in IIS (Erweiterte Einstellungen) und auf allen 2016-Servern geändert.

Queue Length: 25000 from 1000
Limit Interval (minutes): 15 from 5
"Service Unavailable" Response: TcpLevel from HttpLevel

Gehen Sie dann zu https://community.spiceworks.com/scripts/show/2998-adamj-clean-wsus und kopieren Sie den Code wie angewiesen.

1. Nennen Sie es Clean-WSUS.ps1
2. Installieren Sie die erforderliche Software
3. Lauf .\Clean-WSUS.ps1 -FirstRun
4. Schließlich, .\Clean-WSUS.ps1 -DirtyDatabaseCheck

Dieser Typ hat definitiv eine Spende verdient!

Gleiches Problem, gleiches Szenario. Deaktivieren Sie "Upgrades" in den Klassifizierungen für die Konfigurationspunktkonfigurationen Ihrer Site Server-Software.

Ein anderer Vorschlag war, die Kommandozeile zu machen

"c: \ Programme \ Update Services \ Tools \" "wsusutil.exe nach der Installation / Wartung"

Aber ich habe diesen Prozess noch nicht durchlaufen, da ich auf weitere Erklärungen von MS warte.

Ich hatte das gleiche Problem. So habe ich es behoben.

1. Aktivieren Sie in der Richtlinie (unabhängig davon, ob es sich um eine Gruppenrichtlinie oder eine lokale Richtlinie handelt) die Richtlinie "Keine Verbindung zu Windows Update-Speicherorten herstellen". Dadurch wird verhindert, dass der Server Microsoft / Windows Update kontaktiert.
2. In der Richtlinie wurde unter "Microsoft Update-Speicherort angeben" ein alternativer Update-Server hinzugefügt. Dies war derselbe Server wie der Berichts- und Update-Server.
3. Deaktivieren Sie in Windows Update - Erweiterte Optionen - das Kontrollkästchen "Feature-Updates verschieben".

Danach konnte ich den Server vollständig über WSUS patchen. Dies wurde auf zwei Servern in zwei verschiedenen Umgebungen bestätigt. Es scheint, dass die wichtigste Änderung darin besteht, die Option zum Aktualisieren von Updates zu deaktivieren, aber die anderen können auch Update-Probleme verursachen, basierend auf dem, was ich im Internet gelesen habe.

Wenn Sie dieses Setup in der Gruppenrichtlinie haben, würde ich vorschlagen, den Registrierungsschlüssel zu überprüfen [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]. Erstellen Sie eine Sicherungskopie des Schlüssels, löschen Sie ihn und führen Sie ihn aus gpupdate /force, um ihn neu zu erstellen.

In meinem Fall habe ich nach dem Vergleich der Sicherung und des neuen Datensatzes einen Schlüssel mit dem Namen gefunden "DisableWindowsUpdateAccess"=dword:00000000, der mein Problem verursacht hat. Dieser Schlüssel wurde von einem Dritten erstellt.

Eigentlich müssen Sie nur den Wartungsstapel aktualisieren. https://support.microsoft.com/en-us/help/4485447/servicing-stack-update-for-windows-10 . Erfordert nicht einmal einen Neustart. Sobald Sie dies getan haben, wird die Meldung an WSUS problemlos durchgeführt.