TEMA 7. SERVICIOS DE ACTUALIZACIÓN DE WINDOWS SERVER (WSUS)

Transcripción

1 TEMA 7. SERVICIOS DE ACTUALIZACIÓN DE WINDOWS SERVER (WSUS) Antes de poner en funcionamiento los Servicios de Actualización de Windows Server (WSUS), hemos de conocer cómo deben estar configurados los componentes cliente y servidor en diferentes entornos. Sin una planificación correcta, las actualizaciones pueden tardar demasiado en distribuirse, gastar cantidades de ancho de banda de Internet y de la red de área amplia (WAN), o fallar al instalarse Resumen de WSUS Los Servicios de Actualización de Windows Server es una versión privada del servicio Microsoft Update desde la cual los ordenadores Windows pueden descargar actualizaciones automáticamente. Debido a que podemos ejecutar WSUS en nuestra propia red interna y utilizarlo para distribuir actualizaciones en nuestros ordenadores, podemos utilizar el ancho de banda de forma más eficiente y mantener un control total sobre las actualizaciones instaladas en nuestros ordenadores clientes. Cuando ejecutamos WSUS, se conecta al sitio Microsoft Update, descarga la información sobre las actualizaciones disponibles y las agrega a una lista de actualizaciones que requieren la aprobación administrativa. Después de que un administrador aprueba y le da prioridad a estas actualizaciones, (un proceso que se puede automatizar por ejemplo), WSUS las hace disponibles automáticamente para los ordenadores Windows. Entonces, el cliente Windows Update (cuando está configurado correctamente) comprueba el servidor WSUS y descarga automáticamente, y opcionalmente, instala las actualizaciones aprobadas. Podemos distribuir WSUS a través de varios servidores y ubicaciones para cumplir con las necesidades de pequeñas y grandes empresas El cliente Windows Update El cliente Windows Update es el componente de los clientes WSUS que reciben el software desde el servidor WSUS, verifican la firma digital y el Algoritmo de Hash Seguro (SHA1), notifica al usuario que la actualización está disponible e instala el software (si está configurado para hacer esto). El cliente Windows Update instala las actualizaciones en un momento programado y reinicia automáticamente el ordenador si es necesario. Si el ordenador se apaga en dicho momento, las actualizaciones se pueden instalar tan pronto como se encienda el ordenador. Si el hardware del ordenador lo soporta, Windows Update puede sacar un ordenador de suspensión e instalar las actualizaciones en un momento determinado. Nota: El cliente WSUS en versiones anteriores de Windows (XP y 2000) se llama cliente de Actualizaciones Automáticas. Debido a que la configuración de Windows Update debe aplicarse a todos los ordenadores de nuestra organización, las directivas de grupo suele ser la mejor forma para distribuir la configuración. La configuración de Windows Update se encuentra en: Configuración del equipo / Directivas / Plantillas Administrativas / Componentes de Windows / Windows Update Arquitectura WSUS WSUS puede ajustarse a pequeñas organizaciones o a empresas multinacionales. En general, tendremos un solo servidor WSUS en cada sucursal con más de 10 ordenadores y un Pág. 113

2 servidor WSUS independiente para cada departamento de IT que necesite control acerca de cómo se aprueban las actualizaciones. Normalmente, no se necesita repetición en los servidores WSUS; sin embargo, debemos hacer una copia de seguridad de la base de datos WSUS y prepararnos para reparar o reemplazar el servidor en el plazo de una semana después del fallo. Si falla un servidor WSUS, no hay un impacto directo en los usuarios, y las actualizaciones no suelen ser tan críticas como para tener ningún impacto si tardamos algunos días en restaurar un servidor WSUS. Los siguientes apartados describen cómo diseñar arquitecturas WSUS para diferentes tipos de oficinas Organizaciones con una oficina Si sólo tenemos una ubicación, podemos utilizar un solo servidor WSUS, independientemente del número de ordenadores clientes. El cliente Windows Update está diseñado para compartir el ancho de banda y para esperar si nuestra red está ocupada, así que el impacto en la red debe ser mínimo Organizaciones con varias oficinas Si fuésemos a utilizar un solo servidor WSUS para soportar clientes en varias oficinas, cada ordenador cliente necesitaría descargar actualizaciones a través de su conexión WAN. Las actualizaciones, especialmente los service packs, pueden tener un tamaño de cientos de megabytes. Debido a que las conexiones WAN tienden a tener un ancho de banda menor que las conexiones LAN, descargar grandes actualizaciones a través de WAN puede afectar al rendimiento. Si nuestra WAN tiene un ancho de banda bajo o está muy ocupada, los clientes pueden no ser capaces de conseguir las actualizaciones correctamente. Para permitir que los clientes reciban las actualizaciones desde nuestra LAN, configuramos un servidor WSUS en cada sucursal y configuramos los servidores WSUS para recibir actualizaciones de forma jerárquica de nuestros servidores superiores. Para obtener mejores resultados, utilizamos una jerarquía que refleje nuestra arquitectura WAN mientras que minimizamos el número de niveles de la jerarquía. La figura siguiente muestra una arquitectura WAN típica y un diseño WSUS eficiente para esa arquitectura. Pág. 114

3 En esta arquitectura, sólo el servidor WSUS de Boston descargará actualizaciones directamente desde Microsoft. Toda la administración de actualizaciones se realizará en el servidor WSUS de Boston, y todos los demás servidores WSUS estarán configurados como réplicas. Los servidores de descarga tomarán las actualizaciones de los servidores de subida; por ejemplo, Los Ángeles (el servidor de descarga) tomará actualizaciones de Boston (el servidor de subida). De forma similar, Argentina se considerará un servidor de descarga para Costa Rica. Para proporcionar actualizaciones a pequeñas oficinas que no pueden soportar un servidor WSUS, debemos configurar los ordenadores clientes para que descarguen actualizaciones del servidor WSUS más cercano. Si la oficina tiene una conexión a Internet rápida, debemos considerar poner en funcionamiento una réplica WSUS que no almacene las actualizaciones localmente y que, en vez de eso, dirija los ordenadores clientes para que tomen las actualizaciones directamente desde Microsoft Organización con varios departamentos de IT La arquitectura mostrada anteriormente muestra un ideal que no suele ser real: una compañía multinacional administrada por un solo departamento de IT. La mayoría de organizaciones tienen departamentos de IT separados, con sus propios procesos y directrices, los cuales insisten en controlar las actualizaciones que se ponen en funcionamiento en los ordenadores clientes que administran. En organizaciones con departamentos de IT distribuidos, podemos diseñar la arquitectura WSUS exactamente igual que la descrita en el apartado anterior. La única diferencia es que en la configuración, en vez de configurar cada servidor WSUS como una réplica, configuramos los servidores WSUS como autónomos, lo cual permite las aprobaciones y administración en cada servidor Requisitos WSUS Pág. 115

4 Cuando planifiquemos la puesta en funcionamiento de WSUS, debemos tener en cuenta los siguientes requisitos: El servidor WSUS debe establecer conexiones HTTP con Internet (específicamente, con el sitio Web Microsoft Update). Si las conexiones utilizan un servidor proxy, debemos proporcionar credenciales (si fuese necesario). Los servidores WSUS de descarga deben establecer conexiones con los servidores WSUS de subida utilizando HTTP (y el puerto 80 TCP) o, si tenemos instalado un certificado SSL, HTTPS (y el puerto 443 TCP). Los ordenadores clientes deben conectarse desde su intranet utilizando HTTP o HTTPS. El sistema operativo del ordenador cliente debe ser uno de los siguientes: o Windows 2000 con Service Pack 3 o Service Pack 4. o Windows XP Proffesional. o Windows Vista. o Windows 7?. o Windows Server o Windows Server Si los ordenadores clientes se desconectan de su red durante un periodo de tiempo prolongado (por ejemplo, si un empleado trabaja en su casa durante meses y no se conecta a la red virtual privada VPN), el cliente no podrá descargar las actualizaciones. Debemos considerar configurar el ordenador para que instale automáticamente las actualizaciones desde Microsoft o, utilizando NAP, requerir que los ordenadores tengan las actualizaciones antes de conectarse a la intranet Planificar la instalación de WSUS Durante el proceso de instalación de WSUS debemos tomar varias decisiones importantes: Fuente de actualización: WSUS puede conseguir las actualizaciones directamente desde Microsoft Update o desde otro servidor WSUS de nuestra propia red. Normalmente, debemos elegir el método con el ancho de banda más eficiente. Si hay conectados dos servidores WSUS con una conexión de área local muy rápida, podemos tener uno de los servidores descargando directamente desde Microsoft y otro descargando las actualizaciones del primero. Si tenemos servidores WSUS en tres oficinas remotas vinculadas utilizando VPN a través de Internet, podemos ser más eficientes para cada una descargar las actualizaciones directamente desde Microsoft, debido a que las actualizaciones pueden necesitar cruzar las conexiones individuales a internet. Nuestra arquitectura WSUS define la configuración exacta, con servidores de descarga configurados para tomar las actualizaciones desde servidores de subida. Aprobación y configuración de la replicación: Si tenemos varios servidores WSUS y los configuramos para recibir actualizaciones de uno de nuestros servidores WSUS, podemos elegir entre sincronizar las aprobaciones, configuraciones, ordenadores y grupos en el servidor WSUS principal. Esencialmente, esto hace que el servidor WSUS secundario sea una réplica perfecta. Si configuramos un servidor como autónomo, debemos aprobar manualmente las actualizaciones en los servidores WSUS, lo cual es útil para darle control independiente a varios departamentos de IT. Pág. 116

5 Almacenar las actualizaciones: WSUS puede copiar las actualizaciones desde Microsoft y almacenarlas localmente o dirigir los ordenadores clientes para que descarguen las actualizaciones desde Microsoft. Si seleccionamos almacenar las actualizaciones localmente, el servidor WSUS necesitará al menos 6GB de espacio libre en el disco duro (aunque la cantidad actual puede ser mucho mayor, dependiendo de cuántas actualizaciones lance Microsoft y cuántos idiomas necesitemos). Almacenar las actualizaciones localmente puede reducir el ancho de banda de Internet necesario para las actualizaciones permitiendo a los clientes descargar las actualizaciones a través de LAN. Base de datos: De forma predeterminada, WSUS almacenará la lista de actualizaciones (incluyendo las actualizaciones que deseamos poner en funcionamiento y otras opciones) en una base de datos interna de Windows. El proceso de configuración de WSUS necesita al menos 3GB de espacio libre en el disco duro para almacenar la base de datos interna, aunque el tamaño actual suele ser de 1GB aproximadamente. La base de datos interna de Windows funciona en la mayoría de casos, pero también podemos utilizar un servidor de base de datos externo en el ordenador local o en un ordenador remoto. Nota: De forma predeterminada, la base de datos está ubicada en: C:\WSUS\UddateServicesDbFiles\SUSDB.mdf. Selección del sitio Web: WSUS necesita IIS debido a que los ordenadores clientes toman las actualizaciones utilizando HTTP o HTTPS. Si no utilizamos IIS para otras tareas en el servidor WSUS, podemos utilizar el sitio Web predeterminado de IIS. De otra forma, podemos crear un nuevo sitio Web especialmente para WSUS. Idiomas: Muchas actualizaciones tienen idiomas específicos. Para minimizar el uso del espacio del disco duro, debemos elegir descargar únicamente los idiomas necesarios por los ordenadores clientes que accederán al servidor WSUS. Debemos evitar seleccionar todos los idiomas, debido a que el espacio de almacenamiento total y el ancho de banda necesario serán muy elevados. Productos: Microsoft Update puede proporcionar actualizaciones para una gran variedad de productos diferentes del núcleo de los sistemas operativos Windows. Por ejemplo, Microsoft Update distribuye actualizaciones para Exchange Server, ISA Server, SQL Server y Office. Debemos seleccionar únicamente las aplicaciones y sistemas operativos utilizados en nuestra organización para minimizar el espacio necesario en disco Auditar actualizaciones Después de poner en funcionamiento WSUS, algunos ordenadores clientes pueden seguir perdiendo actualizaciones debido a un fallo en la instalación de éstas, a que el ordenador cliente esté mal configurado (o que no es parte de nuestro dominio Active Directory), o a que el ordenador cliente se ha desconectado de nuestra red durante un periodo de tiempo prolongado. Podemos utilizar varias técnicas para identificar los ordenadores que han perdido actualizaciones: La consola de Windows Update: Podemos utilizar el nodo Equipos e informes para identificar los clientes WSUS que no han instalado las actualizaciones aprobadas. Microsoft System Center Configuration Manager 2007 (Configuration Manager 2007): Es la última version de Microsoft System Management Server (SMS). Configuration Manager 2007, al igual que SMS, puede proporcionar información detallada acerca de las actualizaciones y aplicaciones instaladas en los ordenadores Pág. 117

6 administrados. Configuration Manager 2007 se ajusta mejor a las empresas con un dominio Active Directory. ( Microsoft Baseline Security Analyzer (MBSA): MBSA es una herramienta de auditoría de seguridad automatizada que identifica las actualizaciones perdidas y las configuraciones que pueden desembocar en vulnerabilidades de seguridad. MBSA puede escanear redes completas, permitiéndonos identificar ordenadores no administrados en nuestra red. Esto proporciona una ventaja significativa sobre la consola Windows Update, la cual sólo informa de los clientes configurados para utilizar el servidor WSUS. ( Protección de acceso a redes (NAP): NAP, cuando se combina con el Validador de mantenimiento del sistema de Windows, puede verificar los ordenadores que tienen instaladas las últimas actualizaciones cada vez que se conectan a la red. En modo monitorizar solamente, NAP agrega un evento al registro de eventos que podemos monitorizar, permitiéndonos identificar ordenadores desactualizados. Si activamos la aplicación NAP, los ordenadores clientes que no cumplen con los requisitos de mantenimiento se podrán conectar a una red de solución, donde deben aplicar las actualizaciones necesarias antes de tener acceso a la red privada. Pág. 118