SUS: один раз скачали, всем раздали - и канал свободен

У одного клиента - небольшой офис, двадцать с лишним машин на Windows 2000 - в начале года начало регулярно проседать подключение к интернету. Причём без видимой закономерности: то всё нормально, то всё одновременно тормозит, страницы не открываются, почта ползёт. Смотрели трафик - каждый раз примерно одна и та же картина: масса соединений наружу, мелкими потоками, но в сумме плотно. Выяснилось: Windows Update. Не одна машина - несколько разом, каждая тянет своё. Канал узкий, места на всех не хватает.

Логика Windows Update простая и с точки зрения отдельного ПК вполне разумная: машина проверяет, нет ли патчей, видит - есть, скачивает. Но когда таких машин двадцать, и каждая работает по собственному расписанию, одни и те же мегабайты качаются раз за разом с серверов Microsoft - каждый раз заново, каждой машиной отдельно. Ни о какой координации речи нет.

Microsoft как раз выпустила Software Update Services - сокращённо SUS. Идея прямая: один сервер внутри сети скачивает обновления с серверов Microsoft, а все остальные машины берут патчи уже с него, по локалке. Снаружи - одна загрузка. Внутри - раздача без ограничений по скорости.

Что поставили. SUS - это веб-служба на IIS. Ставится на Windows 2000 Server, требует IIS и достаточно места на диске - сами обновления весят прилично, особенно если хранить несколько языков. Мы взяли под это один из серверов клиента, выделили отдельный раздел под хранилище патчей, поставили IIS, накатили SUS.

Интерфейс у него веб-браузерный - заходишь на http://имя-сервера/SUSAdmin, видишь список доступных обновлений, выбираешь, что одобряешь к распространению. Это важный момент: SUS не раздаёт всё подряд автоматически. Администратор должен явно одобрить каждый патч. Такой подход защищает от ситуации, когда Microsoft выпускает обновление, оно ломает что-то специфическое в конфигурации клиента, и до того, как это замечено - всех уже накатило.

Как клиентские машины узнают о сервере. Через групповые политики. В Active Directory есть параметры WUAU (Windows Automatic Updates) - прописываешь путь к SUS-серверу, и все машины в домене начинают обращаться туда вместо windowsupdate.microsoft.com. Групповые политики в этом смысле удобны: настроил один раз в домене - и без беготни по машинам.

Параметров несколько полезных:

• Адрес SUS-сервера - куда машина идёт за обновлениями.
• Расписание установки - можно задать ночное время, чтобы патчи ставились, когда офис не работает.
• Поведение при перезагрузке - предупреждать ли пользователя, откладывать ли.

Проверить, что патч дошёл. SUS ведёт лог синхронизаций и хранит статус по каждой машине - когда последний раз обращалась, что получила, что установлено, что нет. Это отдельный раздел в веб-интерфейсе, без него картина была бы неполная. До SUS мы вообще не имели видимости: машина патч поставила или нет - непонятно, разве что заходить на каждую и смотреть список установленных обновлений.

Теперь видно: вот эти двадцать машин, из них восемнадцать получили последний пакет, две нет. Смотришь почему - оказывается, одна неделю не включалась (командировка), вторая была недоступна в момент синхронизации. Как машины появились в сети - подтянули патчи при следующем сеансе.

Что изменилось по каналу. Трафик к Microsoft резко упал. Теперь сервер один раз скачивает одобренные обновления по расписанию - ночью, когда офис пустой. Днём наружу по этой теме - тишина. Машины общаются с SUS-сервером внутри, по локалке, это быстро и канал не нагружает.

Отдельный плюс - контроль. Синхронизировать время в домене важно, патчи не менее важны. До SUS клиент не знал, какой процент машин вообще обновлён. После вспышки Code Red и Nimda год назад стало понятно, что неустановленный патч - это конкретная дыра, и незнание о ней не извиняет.

Что не идеально. SUS не охватывает продукты Office и другой софт Microsoft - только обновления самой операционной системы и нескольких связанных компонентов. Это ограничение, с которым пока живём. Плюс, пока патч не одобрен администратором - машины его не получат. Если про одобрение забыть и месяц не заходить в интерфейс - всё висит без движения. Нужен регламент: раз в неделю смотреть, что нового появилось, принимать решение.

Для клиентов, где мы ведём инфраструктуру в рамках обслуживания, это теперь часть обычного еженедельного обхода: зашёл в SUS, одобрил актуальные патчи, проверил статус по машинам, отметил отставших. Не подвиг - просто рутина, которая не даёт накапливаться дырам.