Cài đặt Role WSUS

• Mở Server Manager và chọn Add roles and features.
• Bỏ qua các bước mặc định cho đến phần Server Roles, tích chọn Windows Server Update Services.
• Tại phần Role Services, giữ nguyên tùy chọn mặc định là WID Connectivity (sử dụng Windows Internal Database thay vì SQL Server rời) và WSUS Services.
• Tại phần Content Location, nhập đường dẫn đến phân vùng lưu trữ đã chuẩn bị (ví dụ: D:\WSUS).
• Nhấn Install để bắt đầu. Khi hoàn tất, nhấn vào liên kết Launch Post-Installation tasks và đợi hệ thống khởi tạo cấu hình nền.

Phần 1 Cài đặt dịch vụ WSUS.

Bước 1: Chạy tác vụ Hậu cài đặt (Post-Installation Tasks)

1. Mở cửa sổ Server Manager.
2. Nhìn lên góc trên cùng bên phải, bạn sẽ thấy biểu tượng lá cờ có dấu chấm than màu vàng. Hãy nhấp vào đó.
3. Chọn dòng Launch Post-Installation tasks.
4. Chờ hệ thống tự động chạy (có thể mất vài phút). Bạn sẽ thấy trạng thái chạy ở khu vực này. Khi thông báo hoàn tất, bạn có thể chuyển sang bước 2.

Bước 2: Cấu hình WSUS Wizard.

1.Trong cửa sổ Server Manager, nhấp vào menu Tools (ở góc trên bên phải) và chọn Windows Server Update Services

2. Cửa sổ WSUS Configuration Wizard sẽ hiện ra. Nhấp Next

3. Màn hình Microsoft Update Improvement Program: Bỏ dấu tick và chọn Next.

4. Màn hình Choose Upstream Server: Giữ nguyên tùy chọn mặc định là Synchronize from Microsoft Update (để tải bản vá trực tiếp từ Microsoft). Nhấp Next.

5. Màn hình Specify Proxy Server: Nếu hệ thống mạng của bạn truy cập Internet trực tiếp và không qua Proxy, hãy để trống và nhấp Next.

6. Màn hình Connect to Upstream Server: Nhấp vào nút Start Connecting. Lưu ý: Quá trình này sẽ mất khoảng 5 – 10 phút để Server 1 kết nối với Microsoft và tải về danh sách cấu trúc các phần mềm. Hãy chờ đợi cho đến khi nút Next sáng lên.

Bước 3: Tối ưu hóa tải xuống (Cực kỳ quan trọng).

Nếu Server 1 của bạn được phân bổ tài nguyên trên một môi trường ảo hóa hoặc đang kết nối với các hệ thống storage server nội bộ, việc lựa chọn đúng phần mềm cần cập nhật sẽ giúp tối ưu dung lượng lưu trữ đáng kể.

1. Màn hình Choose Languages: Chỉ chọn ngôn ngữ hệ điều hành của 4 máy chủ đang dùng (thường chỉ tick chọn English). Nhấp Next.

2. Màn hình Choose Products

• Bỏ tick ở ô vuông trên cùng để bỏ chọn tất cả.
• Kéo xuống tìm mục Windows, mở rộng ra và chỉ tick vào đúng phiên bản Windows Server mà máy chủ của bạn đang chạy (Ví dụ: Chỉ tick Windows Server 2019 hoặc Windows Server 2022). Tuyệt đối không chọn “All Windows” để tránh làm đầy ổ cứng. Nhấp Next.

3. Màn hình Choose Classifications: Bạn chỉ nên tick chọn 2 mục: Critical Updates và Security Updates. Nhấp Next.

4. Màn hình Configure Sync Schedule: Chọn Synchronize manually (chúng ta sẽ đồng bộ thủ công lần đầu tiên để dễ theo dõi). Nhấp Next.

5. Màn hình Finished: Tick vào ô Begin initial synchronization và nhấp Finish.

Tạo Nhóm

Đối với các hệ thống dịch vụ lõi như máy chủ ảo hóa Hyper-V hay máy chủ lưu trữ (storage server), việc phân chia nhóm để kiểm thử bản vá là quy trình quản trị hạ tầng mạng tiêu chuẩn nhằm hạn chế tối đa rủi ro lỗi hệ thống.

Bước 1: Tạo nhóm máy chủ trên WSUS.

1. Trên giao diện Update Services (Server Cài WSUS), mở rộng menu cây ở cột bên trái.

2. Mở rộng phần Computers -> nhấp vào All Computers.

3. Nhấp chuột phải vào All Computers và chọn Add Computer Group….

4. Gõ tên nhóm là Test_Servers (nhóm này sẽ chứa 1 máy chủ dùng để cài thử nghiệm bản vá trước) và nhấn Add.

5. Lặp lại thao tác trên để tạo thêm một nhóm thứ hai tên là Prod_Servers (nhóm này sẽ chứa các máy chủ chạy dịch vụ chính thức còn lại).

Bước 2: Chuyển quyền phân nhóm cho Group Policy (Client-Side Targeting).

Mặc định, WSUS sẽ yêu cầu quản trị viên phải phân bổ server vào nhóm bằng tay (Server-Side Targeting). Tuy nhiên, vì hệ thống này đã tham gia domain, chúng ta sẽ thiết lập để Group Policy tự động làm việc này.

1. Nhìn xuống danh mục bên trái, chọn Options.

2. Ở khung giữa, tìm và nhấp đúp vào Computers.

3. Một hộp thoại nhỏ hiện ra. Hãy chuyển dấu tick sang tùy chọn thứ hai: Use Group Policy or registry settings on computers.

4. Nhấn OK để lưu lại.

Hoàn tất hai bước này, Server 1 đã sẵn sàng để tiếp nhận cấu hình từ Active Directory.

Phần 2:Cấu hình máy server còn lại nhận bản cập nhật.

Để các máy chủ còn lại nhận diện Server 1 và bắt đầu kéo bản vá, bạn cần thiết lập Group Policy trên Domain Controller, sau đó tiến hành phê duyệt tải xuống trên WSUS. Dưới đây là trình tự thao tác cụ thể cho các server trong hạ tầng của bạn.

Bước 1: Trỏ 3 máy chủ về Server 1 bằng GPO (Thực hiện trên Domain Controller (Server chạy Domain Controller)).

• Mở Group Policy Management trên Domain Controller.
• Tạo một GPO mới (ví dụ: WSUS_Client_Servers) và liên kết (Link) nó vào OU đang chứa tài khoản Computer của các máy chủ kia.

• Nhấp chuột phải vào GPO vừa tạo, chọn Edit và điều hướng đến: Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Windows Update sau đó lần lược tìm các mục bên dưới:

Cấu hình 3 mục bắt buộc sau:

1. Configure Automatic Updates: Chọn Enabled. Tại mục Options, chọn 3 – Auto download and notify for install. Lựa chọn này cực kỳ quan trọng đối với server để tránh việc tự động khởi động lại làm gián đoạn dịch vụ

2. Specify intranet Microsoft update service location: Chọn Enabled. Nhập http://172.16.10.11:8530 vào cả hai ô update service và statistics server. IP này là IP của máy chủ được cài tool WSUS máy của mình IP là 172.16.10.11 các bạn thay thành IP của mình nhé!

3. Enable client-side targeting: Chọn Enabled. Nhập chính xác tên nhóm là Prod_Servers.

Bước 2: Ép các máy chủ nhận cấu hình ngay lập tức (Thực hiện trên các Server còn lại)

• Đăng nhập (Remote Desktop) vào từng máy trong số 3 server.
• Mở Command Prompt với quyền Administrator.
• Chạy lệnh ép nhận policy mới: gpupdate /force.

• Chạy lệnh để server quét và báo cáo trạng thái về WSUS ngay lập tức:
  • Với Windows Server 2016/2019/2022: UsoClient StartScan.
  • Nếu lệnh trên không có phản hồi, chạy: wuauclt /detectnow /reportnow.

***Khoảng 5 đến 10 phút sau, bạn quay lại màn hình của Server 1, bấm Refresh tại nhóm Prod_Servers. Bạn sẽ thấy các máy chủ kia tự động xuất hiện trong danh sách và hiển thị chi tiết trạng thái những bản vá chúng đang thiếu.

Nếu vẫn chưa thấy các Server khác sau 5-10 phút có thể nguyên nhân là:

1.Đổi bộ lọc hiển thị trên WSUS Console (Nguyên nhân phổ biến nhất) Mặc định, WSUS sẽ ẩn các máy tính mới kết nối hoặc chưa quét xong bản vá.

• Trên máy chủ WSUS (Server 1), mở nhóm Prod_Servers.
• Nhìn lên thanh công cụ (Action Pane) ở phía trên bảng danh sách, mục Status đang được đặt mặc định là Needed or Failed.
• Hãy chuyển đổi Status thành Any.
• Nhấn Refresh (hoặc F5). Các máy chủ thường sẽ xuất hiện ngay lập tức với trạng thái Not yet reported.

2. Kích hoạt bộ máy Windows Update trên Client.

Lệnh gpupdate /force chỉ làm nhiệm vụ ghi cấu hình GPO vào Registry của 3 máy con, chứ chưa ra lệnh cho dịch vụ Windows Update lập tức kết nối với máy chủ WSUS.

• Truy cập vào các máy server con.
• Mở Settings -> Update & Security -> Windows Update.
• Nhấn nút Check for updates. Thao tác này ép hệ điều hành gửi dữ liệu định danh về Server 1.
• Nếu thao tác qua Command Prompt (Run as Administrator), hãy chạy lệnh UsoClient StartScan và chờ khoảng 3-5 phút.

Bước 3: Phê duyệt tải và triển khai bản vá (Thực hiện lại trên Server 1 (Server cài WSUS)).

Mở WSUS Console, vào mục Computers -> Prod_Servers. Nhấn biểu tượng Refresh. Bạn sẽ thấy 3 máy chủ của mình xuất hiện tại đây cùng báo cáo các bản vá đang thiếu.

Chuyển sang mục Updates -> All Updates. Ở hai thanh thả xuống trên cùng, chọn Unapproved và Any, sau đó nhấn Refresh để liệt kê danh sách.

Chọn các bản cập nhật hệ thống đề xuất (ưu tiên các bản Security Updates hoặc Critical Updates), nhấp chuột phải và chọn Approve.

Bấm vào nhóm Prod_Servers và chọn Approved for Install, sau đó nhấn OK.

Chúc các bạn thực hiện thành công!