WSUS 3.0 Beta: тестируем новую консоль и наконец получаем нормальные отчёты

WSUS 2.0 у нас работает на нескольких клиентских площадках уже около года. Работает - в том смысле, что обновления приходят, компьютеры их получают, администраторы не звонят с криком «всё сломалось». Но стоит кому-то спросить «а на каких машинах не стоит вот этот патч?» - и начинается ручная работа. Встроенная отчётность WSUS 2.0 - это, откровенно говоря, больное место: несколько статических HTML-страниц с общей статистикой и никакой возможности нормально срезать данные по группам, критичности или дате.

Поэтому когда Microsoft анонсировала WSUS 3.0 Beta с переработанной консолью и email-уведомлениями, мы поставили его на внутренний тест в тот же день. Не от восторга - просто хотелось наконец закрыть этот пробел без написания самодельных скриптов.

Что изменилось в консоли

Визуально консоль WSUS 3.0 выглядит иначе с первых же секунд. Вместо веб-интерфейса - MMC-snap-in, что сразу привычнее для всех, кто провёл годы в оснастках Active Directory и Group Policy. Навигация по дереву слева, детали справа - стандартная схема.

Полезное изменение - фильтры по компьютерным группам наконец стали работать как надо. В WSUS 2.0 можно было создать группы компьютеров, но вся аналитика была общей. Теперь можно выбрать группу и увидеть статус обновлений именно для неё: сколько машин получили патч, сколько ждут, сколько вернули ошибку. Для нас это принципиальная разница - у одного клиента разные подразделения с разными политиками обновлений, и раньше вычленить картину по каждому было нельзя без ручного сбора.

Второй момент - детальный вид по конкретному обновлению стал человекочитаемым. Раньше приходилось кликать через несколько экранов, чтобы понять, каких машин не хватает в списке «установлено». Теперь это один экран с фильтром по статусу.

Email-отчёты о несоответствиях

Это, пожалуй, главное, ради чего стоит тестировать бету. WSUS 3.0 умеет слать email-отчёты по расписанию - ежедневные или еженедельные сводки о состоянии парка. Не просто «обновления доступны», а конкретные данные: какие машины не получили критические патчи, какие вернули ошибку установки, какие давно не появлялись в сети.

Настройка отчётов занимает минут пятнадцать: указываешь SMTP-сервер, адресата, расписание и пороговые условия. Можно настроить так, чтобы письмо приходило только если есть несоответствия - иначе ящик превращается в помойку со статусными рапортами.

На практике это меняет процесс: вместо того чтобы раз в неделю заходить в консоль и проверять руками, утром приходит письмо с конкретным списком проблемных машин. Если список пустой - хорошо, можно заниматься другим. Если там появились имена - понятно, что делать.

Перевод трёх клиентов на новую схему

Мы перевели три клиентских площадки с WSUS 2.0 на 3.0 Beta. Все три - это управляемая инфраструктура с Windows Server 2003 и парком рабочих станций на XP.

Миграция несложная: WSUS 3.0 устанавливается рядом или поверх старой инсталляции, база данных и группы компьютеров переносятся. На двух площадках всё прошло без происшествий. На третьей - слетели настройки Group Policy для клиентских машин, из-за чего часть компьютеров перестала обращаться к серверу обновлений. Починили за час, но в следующий раз будем заранее делать снапшот настроек GPO перед миграцией.

После перевода сразу выяснилось несколько вещей, которых раньше не знали:

На одной из площадок около трети машин не получили патчи безопасности за последние шесть недель. Клиентские агенты молчали, WSUS 2.0 об этом никак не сигнализировал. Оказалось, часть машин работает через VPN с нестабильным соединением, и окно обновления у них просто не наступало - агент не мог достучаться до сервера. Теперь это видно в ежедневном отчёте.

Фильтр по критичности помог расставить приоритеты. После августовской уязвимости в Server Service мы отдельно проверили покрытие MS06-040 по всем трём площадкам - в новой консоли это один запрос, а не три отдельных похода в разные интерфейсы.

Что раздражает в бете

Бета есть бета. Несколько вещей, которые нужно держать в уме:

Отчёты иногда виснут. При большом парке генерация детального отчёта по всем машинам может занять несколько минут и периодически падает с таймаутом. Лечится запуском в нерабочее время, но это неудобно.

Нет гибкой сортировки в email-отчёте. Письмо приходит с плоским списком, без группировки по подразделениям или типу патча. Для небольшого парка нормально, для ста машин - нужно читать внимательно.

Установка требует SQL Server. WSUS 2.0 мог работать с встроенным MSDE, 3.0 Beta требует SQL Server Express или полноценный SQL Server. На площадках, где SQL уже есть, это не проблема; там, где его не было - добавляет шаг в установку.

В целом - инструмент стал ощутимо взрослее. Для нас главная ценность не в красоте интерфейса, а в том, что теперь не нужно писать скрипты для базовых вопросов вроде «покажи машины без критических патчей». На Linux-парке мы эту задачу решили через yum cron ещё в феврале, на Windows она до WSUS 3.0 оставалась открытой. Будем смотреть, как бета ведёт себя на дистанции.