Alternativen für WSUS ?

[bekoda]

Hallo,
ich habe auf der 220+ u.a. einen lizensierten Windows2008 Server im VMM laufen. Den möchte ich soweit es geht updaten. Aber wie ??
Hier steht noch ein lizensierter Windows 2003 Server rum, er ist im Netz und LAN. Könnte ich den zum WSUS Server machen um die anderen Server im VMM zu versorgen? Hat das mal jemand gemacht?

 

[blurrrr]

Eigentlich ist eine Antwort abseits von "Schmeiss weg den alten Müll" völlig unverantwortlich, aber lassen wir das mal... ?

Was hat denn bitte das eine mit dem anderen zu tun? Lass die Kisten einfach alle selbst ihre Updates fahren und jut ist. WSUS ist völliger Overkill für sowas (nicht zu vergessen, der Aufwand der damit verbunden ist (bzw. sein kann)). "Die anderen Server"... von wievielen reden wir hier? 3 oder 300? Davon ab: Was für Updates? Updates gibt es für die alten Kisten nicht mehr (selbst wenn wir von 2008R2 reden)... WS2012 alt...WS2016 alt...WS2019 aktuell... Da kommt für die ollen Möhren nichts mehr (und das ist auch schon länger so). Da braucht es auch keinen WSUS - wofür auch - Updates gibt es sowieso nicht mehr, also knick Dir den Gedanken einfach... Einmal durchpatchen was noch an Updates vorhanden ist (was auch nicht mehr soviel ist) und dann ist sowieso Feierabend mit dem Update-Thema.

Windows 2003 Server rum, er ist im Netz und LAN

Ich hoffe mit "und" meinst Du, er ist im "lokalen" Netzwerk und hat LAN-Zugriff... alles andere -> s. 1. Satz des Post. Wenn Du wirklich "Internet" meinst, ist es nur eine Frage der Zeit.

EDIT: "Synology"-Forum, nicht "Windows-Server"-Forum (und mit Virtualisierung allgemein in Bezug auf VMM hat das auch herzlich wenig zu tun) ?

 

[NSFH]

G E I L: Einen 2008 oder 2003 WinServer als WSUS ins Internet zu hängen hat schon was von LAN Selbstmord.
Aber mach mal und berichte dann in einem halben Jahr was so alles passiert ist. Wird bestimmt spannend

 

[bekoda]

Halt, ihr seht das falsch Es handelt sich um eine "Oldie Anwendung" die ich retten will bevor der alte Server über den Jordan geht. Das ist rein im privaten Umfeld. Dass die Hardware zu langsam ist weiss ich schon Aber es hätte ja sein können dass es eine Lösung gibt.

 

[blurrrr]

Was hat DAS mit WSUS und Updates zu tun (ausser garnichts)? Wenn Du so olle Kamellen hast, ist ja eine Sache - aber nix mit irgendwas im "Internet" ? Glaub mir, ich kenn sowas, ich hab auch noch Kunden die auf Ihr DOS-Programm "bestehen" (glücklicherweise liess sich der Netzwerk-Drucker an LPT1 durchschleifen ?).

Sowas gehört aber definitiv nicht ins Netz (höchste der Gefühle wäre für mich eher eigenes VLAN und das einzige erreichbar dort, wäre dann maximal die Applikation). Aber selbst das dürfte nach - knapp 20-25? - Jahren, auch nicht mehr so das sicherste Unterfangen sein, aber sei's drum.

Wie kommst Du eigentlich darauf, dass es da eine Lösung geben könnte? Ich mein, klar, mit nem 2008er WSUS konnteste halt auch Updates für W10 verteilen. Kommt halt immer auf die "Haken" (M$) an. Aber was 2003 und 2008 angeht... da zieht man sich einmal alles bis zum letzten Patchstand (SPs+Rest), dann wird das irgendwo hingelegt und verschimmelt dann halt dort. Hatte ich persönlich auch mal angedacht, hab es dann aber auch wieder verworfen.... Exchange für NT 4.0 oder WS2003 werde ich wohl "nie wieder" installieren, also von daher... wat soll's... Guck lieber, ob es Du es nicht vllt irgendwie anders wieder zum laufen kriegst

in einem halben Jahr

Halbes Jahr... Dachte der Spekulationszeitraum beläuft sich eher auf Minuten bis maximal Stunden ?

 

[NSFH]

na ich will schon alles auskosten:

• LAN gehackt
• Server als Datenspeicher für illegale Software missbraucht
• Server als steuernder Bot für Mal Software
• und am Schluss alles mit Emotet verschlüsselt

 

[blurrrr]

Den möchte ich soweit es geht updaten. Aber wie ??

Wenn bei den M$-Update-Servern im Internet nix mehr geht, hilft vllt noch er hier... https://download.wsusoffline.net/ - trotzdem ist davon abzuraten ?

 

[synfor]

Die Pakete muss man sich aber mit dem WSUS Offline Update aber holen bevor bei den MS-Servern nichts mehr geht.

 

[blurrrr]

Ohne dem geht es vermutlich sowieso nicht (grade was die kleineren Updates angeht), ein SP findet man ja nochmal irgendwo...
(und die Cloudflare-Geschichte ist ja mal echt mega nervig bzgl. der Links...)

 

[Benares]

Ich kenne WSUS eigentlich nur als zwischengeschalteten Update-Server für eigene Clients/Server, damit man ein Updates notfalls zurückhalten kann, wenn mal was nicht verträglich ist, und auch zentral sehen kann, welches System auf welchen Stand ist. Hatten wir selbst in der Firma, aber meistens stand der auf "Durchzug". Für einen einzelnen Server/Client lohnt sich der Aufwand sicherlich nicht.

 

[blurrrr]

aber meistens stand der auf "Durchzug"

Das ist genau wie man es eigentlich nicht machen sollte. ? Man kann den WSUS zwar "nur" als Cache nutzen (und alle Updates automatisch genehmigen lassen), aber prinzipiell - grade was die "Freigabe" der Updates angeht - geht es primär darum, die "Kontrolle" über die Updates zu haben (z.B. ein Zurückhalten von bestimmten Updates, wenn man weiss, dass damit die genutzte Branchensoftware nicht mehr läuft, etc.)

 

[Benares]

Genau darum ging es. Aber jedes Update für jeden Typ von System bei mehreren hundert Servern einzeln zu testen und freizugeben ist schier unmöglich, zumal nur recht selten ein Update unverträglich war. Deshalb der "Durchzug". Notfalls hätte man ein Update darüber auch leicht wieder zurückziehen können. Das hat aber nichts mit der Frage hier zu tun.

 

[blurrrr]

bei mehreren hundert Servern

Dafür gibt es dann eben "Teams" die sich um sowas kümmern (hatten wir im Konzern damals auch) und bei "hunderten" Servern wird wohl auch öfter mal etwas "gleichartiges" dabei sein

@bekoda Updates hin oder her, wenn es sowieso nur privater Spielkram ist, so what, hauptsache das Ding kommt nicht ins (Inter)Netz

 

[Benares]

Kann man machen, wenn man den notwendigen IT-Wasserkopf dazu hat . Bei uns waren Unverträglichkeiten eigentlich recht selten (ca. 1 mal pro Jahr).

 

[NSFH]

IT-Wasserkopf ist gut. Der falsche Patch zur richtigen Zeit und der Laden steht.
Wir haben den WSUS immer zwischengeschaltet und aus dem geht kein update an die angemeldeten Geräte, welches nicht vorher in einer Testumgebung zumindest angetestet wurde. Ein ausgefallener Client ist dabei nicht das wirklich grosse Problem, sondern der Server. Da winkt man Sicherheitsupdates schnell durch, aber alles andere will wohl überlegt sein.
Ist halt immer die Frage wie verantwortungsbewusst die IT arbeitet. Klicki-di-klack, ist dem Admin sowieso nicht nachzuweisen, dass er Mist gemacht hat.
Regards
Bastard operator from hell

Weil die jungen Burschen hier das wahrscheinlich gar nicht kennen:
https://rrzs42.uni-regensburg.de/edmund/operator/bofh_g01.html