WSUS Downstream Server in der DMZ – Interne Windows Update Services auch für externe Endgeräte nutzen – eine Schritt für Schritt Anleitung

Unternehmensintern genutzte Windows Endgeräte hatten nie das Problem mit dem internen Windows Update Server zu kommunizieren, ihre Updates zu erhalten und Ihre Berichte über den Update Status an den Server weiterzugeben. Was intern gut funktioniert, kann auch gesichert über das Internet ohne VPN sichergestellt werden.

In diesem Artikel beschreibe ich die notwenigen Schritte, damit Sie einen eigenen Windows Update Server in der DMZ betreiben können. Damit können Sie den Update Status Ihrer Endgeräte jederzeit einsehen, als auch neue oder zusätzliche Software-Updates des Unternehmens ohne VPN Verbindung an Ihre Endgeräte ausbringen.

Zertifikats, VPN Software oder vollständige Softwarewechsel stellen so für sie kein Problem mehr dar.

Vorbereitende Schritte und Maßnahmen

Tools die mehr oder weniger benötigt werden:

• SQL Management Studio (SSMS-Setup-DEU.exe)
• Microsoft System CLR Types for SQL Server 2012 (x64) (SQLSysClrTypes.msi)
• ReportViewer.msi
• Microsoft Command Line Utilities 15 for SQL Server (MsSqlCmdLnUtils.msi)

Vorabentscheidungen treffen

Externer und interner WSUS TCP Port

Welche Ports sollen für WSUS intern/extern verwendet werden?

Die Standardports des WSUS vs. Standardports im Internet (8530/8531 oder 80/443)

Internes/Public Zertifikat für neuen DNS Namen bereitstellen

Es können unterschiedliche Zertifikatsherausgeber für den Internen & Externen DNS Namen verwendet werden. Wichtig ist nur, dass beide Zertifikatsherausgeber am Endgerät als vertrauenswürdig eingestuft sind.

Dokumentationstabelle für Vorabentscheidungen:

Kommunikationsdiagramm

Aufbau & Einrichtung der externen Kommunikation

Installation WSUS Server in der DMZ

Die Rolle Windows Update Server muss auf einen in der DMZ positionierten Windows Server aktiviert werden.

Ein Setup-Assistent führt Schritt für Schritt wie in einer Anleitung durch die Bereitstellung des Windows Features und stellt für jeden Administrator keine Herausforderung dar.

Dokumentationstabelle und Checkliste für DMZ WSUS Aufbau:

SSL Aktivierung des DMZ WSUS Servers

• IIS Zertifikat installieren
• WSUS-Verwaltung mit SSL aktivieren (Bindings)

• HTTPS Kommunikation erzwingen (SSL Erforderlich) für Verzeichnisse
  • APIremoting30
  • ClientWebService
  • DSSAuthWebService
  • ServerSyncWebService
  • SimpleAuthWebService
  • NICHT
    • Content
    • Inventory
    • SelfUpdate
    • ReportingWebService

WSUS auf SSL Nutzung konfigurieren

Hierzu muss über die lokale Kommandozeile auf dem DMZ WSUS Server nachfolgender Befehl eingegeben werden:

%ProgramFiles%\Update Services\Tools\
wsusutil.exe configuressl %COMPUTERNAME%

WSUS Testaufrufe

https://<WSUS-IP-DMZ>/ClientWebService/client.asmx

• Ausgabe:

https://<WSUS-IP-DMZ>/selfupdate/wuident.cab

• Ausgabe ist ein Download

Dokumentationstabelle und Checkliste für DMZ WSUS Aufbau:

Externe URL mit Zertifikat und URL Filter einrichten

In vielen Firmen werden extern erreichbare Webseiten durch ein SSL Gateway wie Citrix NetScaler oder NGINX gesichert. Die Vorteile liegen klar auf der Hand. Es können dabei die Sicherungsschicht des SSL-Gateways als auch ein zentrales Zertifikat z.B. als Wildcard verwendet werden.

Am Beispiel von Citrix Netscaler müssen folgende Schritte konfiguriert werden:

1. WSUS muss auf zuvor definierten TCP Port konfigurieren
2. Virtual Server in Netscaler einrichten
3. Monitor für Virtuellen Server einrichten
4. Context Switch einrichten
5. Externes Binding für DNS Namen einrichten
6. Weiterleitung der WSUS URLs auf Context Switch/Virtual Server

Dokumentationstabelle für DMZ Aufbau:

Systemtest mit einem Windows Endgerät

Client Einstellungen für Update Test & Kommunikation

Damit ein gesonderter Test durchgeführt werden kann sollte ein Client manuell mittels Gruppenrichtlinien oder manueller Registrierungseinstellung auf den externen WSUS konfiguriert werden.

GPO für externe URL oder Regedit bereitstellen und importieren.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://WSUS-Server-Name oder IP-Adresse:8530"
"WUStatusServer"="http://WSUS-Server-Name oder IP-Adresse:8530"
"TargetGroupEnabled"=dword:00000001
"TargetGroup"="Testgruppe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU] 
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000004
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"RescheduleWaitTime"=dword:00000001
"UseWUServer"=dword:00000001
"DetectionFrequencyEnabled"=dword:00000001
"DetectionFrequency"=dword:00000004
"AutoInstallMinorUpdates"=dword:00000001

Lokalen Client erneut an WSUS melden

wuauclt /resetauthorization /detectnow

Dokumentationstabelle und Checkliste für Client Test Extern:

Dokumentationstabelle und Checkliste für Client Test Intern:

Nachbereitung

Zusätzliche Absicherung des WSUS Servers in der DMZ

Hierfür existiert ein Advisory bei Microsoft. Diesem Folgend kann z. B. die IIS Authorisierung entsprechend angepasst werden, sodass nur noch interne in der Active Directory bekannte Endgeräte mit diesem WSUS Server kommunizieren können.

https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc708550(v=ws.10)?redirectedfrom=MSDN

Zusammenfassung

Nach einem erfolgreichen Test sollte der Client die internen Windows Updates nach Zuteilung entsprechend erhalten und seinen Status nach der Installation wieder erneut an den WSUS Server zurückmelden. Dadurch können nicht nur Windows Updates, sondern auch interne Anwendungen, Zertifikate und zusätzlichen Einstellungen an jeden „Road-Warrior“ und angehängten externen Server übertragen werden.

Änderungshistorie