Không phải tất cả các bản sửa lỗi, patch và cập nhật cho sản phẩm Microsoft đều có sẵn để cài đặt trong bảng điều khiển Windows Server Update Services (WSUS). Ví dụ, bạn có thể đã tắt đồng bộ hóa cập nhật cho một sản phẩm cụ thể, phiên bản Windows hoặc lớp cập nhật trong cài đặt WSUS của mình. Ngoài ra, không có cập nhật nào trong bảng điều khiển WSUS được thiết kế để giải quyết một vấn đề cụ thể và không ngụ ý cài đặt hàng loạt trên tất cả thiết bị. Trong các trường hợp này, bạn có thể thêm (nhập) thủ công bất kỳ cập nhật nào có sẵn trong Microsoft Update Catalog vào WSUS hoặc SCCM (Configuration Manager) qua IE hoặc PowerShell.
Ví dụ, chúng ta muốn thêm cập nhật KB3125574 vào danh sách cập nhật WSUS (cập nhật gói tiện lợi cho phép khắc phục sự cố sử dụng RAM cao bởi wuauserv).
Nhập cập nhật thủ công vào WSUS bằng Internet Explorer
- Mở bảng điều khiển WSUS;
- Trong cây console, nhấp chuột phải vào phần Updates và chọn Import Updates;
- Sau đó Internet Explorer sẽ khởi động và tự động đi đến trang web Microsoft Update Catalog (https://catalog.update.microsoft.com/); Khi bạn truy cập trang web này trong IE lần đầu tiên, bạn sẽ phải cài đặt một extension ActiveX đặc biệt cho WSUS. Tốt hơn là thêm trang Microsoft Update Catalog vào danh sách trang web tin cậy. Bạn có thể đăng ký thành phần ActiveX này bằng lệnh:
regsvr32 c:\Windows\SysWOW64\MicrosoftUpdateCatalogWebControl.dll
- Tìm KB bạn cần bằng tìm kiếm và nhấp Add để thêm vào giỏ hàng. Tốt hơn không nên chọn quá 20-30 cập nhật cùng lúc;
- Sau đó nhấp View basket để mở giỏ hàng;
- Chọn tùy chọn Import directly into Windows Server Update Services (nếu tùy chọn này không có sẵn, hãy đảm bảo bạn có đặc quyền quản trị trên máy chủ WSUS) và nhấp Import;
- Đợi cho đến khi cập nhật được tải xuống (Nếu tải xuống bị gián đoạn, hãy thử lại);
- Sau đó tìm các patch đã tải xuống trong phần All Updates của bảng điều khiển WSUS. Phê duyệt cài đặt cập nhật trên các nhóm máy tính cần thiết (cách dễ nhất để nhắm máy tính đến nhóm WSUS là thông qua GPO).
V như vậy, bất kỳ cập nhật nào từ catalog Microsoft cũng có thể được nhập vào máy chủ WSUS, bao gồm driver, service pack, feature pack, v.v.
Lỗi khi nhập cập nhật và Driver vào WSUS
Bạn có thể nhận được lỗi khi nhập cập nhật vào WSUS chạy trên Windows Server 2019/2016:
This update cannot be imported into Windows Server Update Services. Cause: it is not compatible with your version of WSUS.
Nếu lỗi như vậy xuất hiện, bạn cần thay đổi thủ công URL được tạo sau khi nhấp nút Import Updates. Thay thế trong URL https://catalog.update.microsoft.com/…Protocol=1.20 thành Protocol=1.80.
Bạn nên nhận được link như sau:
https://catalog.update.microsoft.com/v7/site/Home.aspx?SKU=WSUS&Version=10.0.14393.2248&ServerName=yourwsushost&PortNumber=8530&Ssl=False&Protocol=1.80
Nếu bạn nhận được trạng thái Failed (Error Number: 80131509) khi nhập cập nhật vào WSUS, hãy bật hỗ trợ mã hóa mạnh TLS 1.2 cho .Net Framework phiên bản 4.0 trên máy chủ WSUS. Để làm điều này, đặt tham số SchUseStrongCrypto thành 1 trong registry. Chạy lệnh sau trong cmd với quyền cao:
reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft.NETFramework\v4.0.30319 /V SchUseStrongCrypto /T REG_DWORD /D 1
Vấn đề này được mô tả trong bài viết Triển khai bản cập nhật gỡ bỏ Adobe Flash Player trên Windows.
Thêm cập nhật thủ công vào WSUS qua PowerShell
Bạn có thể thêm cập nhật mới vào máy chủ WSUS bằng PowerShell. Để làm điều này, bạn cần tải file cập nhật từ trang web Microsoft Update Catalog và lấy GUID của nó.
Tìm KB bạn cần trong bảng điều khiển WSUS và nhấp vào tên của nó. Một trang web với mô tả cập nhật sẽ mở ra. Sao chép giá trị updateid từ thanh địa chỉ, tải file cập nhật MSU xuống ổ đĩa cục bộ.
Kết nối với máy chủ WSUS từ bảng điều khiển PowerShell:
$WsusSrv = Get-WsusServer (nếu bạn chạy console PowerShell trực tiếp trên máy chủ WSUS)
$WsusSrv = Get-WsusServer -Name mun-wsus1 -PortNumber 8531 –UseSsl (nếu bạn kết nối với máy chủ WSUS từ xa)
Bây giờ bạn có thể thêm cập nhật đã tải xuống vào bảng điều khiển WSUS. Lệnh nhập sau được sử dụng:
$WsusSrv.ImportUpdateFromCatalogSite('UpdateGUID', 'Update.msu')
Ví dụ:
$WsusSrv.ImportUpdateFromCatalogSite('a5e40bf9-f1dc-4e6d-93e7-b62c6bf1ce3e', 'C:\Downloads\Updates\kb5005260.msu')
Bạn có thể kiểm tra xem cập nhật đã được nhập thành công và hiển thị thông tin về nó:
$WsusSrv.SearchUpdates('kb5005260') | fl *
Khi nhập cập nhật WSUS qua PowerShell, lỗi có thể xuất hiện:
Exception calling “ImportUpdateFromCatalogSite” with “2” argument(s): “The underlying connection was closed: An unexpected error occurred on a send.” + CategoryInfo : NotSpecified: (:) [], MethodInvocationException + FullyQualifiedErrorId : WebException
Điều này cũng là do PowerShell cố gắng thiết lập kết nối qua giao thức TLS 1.0, đang bị chặn bởi máy chủ WSUS. Để giải quyết vấn đề, thêm tham số SchUseStrongCrypto trên máy chủ WSUS (và khởi động lại nó):
reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft.NETFramework\v4.0.30319 /V SchUseStrongCrypto /T REG_DWORD /D 1
Sau đó, nhập cập nhật vào máy chủ WSUS từ PowerShell sẽ hoạt động chính xác.