在隔离服务器中运行 WSUS

WSUS 文档中的配置断开连接的网络以接收更新一章描述了官方支持的在断开连接的环境中使用 WSUS 的方法。您需要安装第二个 WSUS，它可以从 Microsoft 服务器下载更新。

首先需要在连接的WSUS服务器上同步元数据；那么你必须让它以某种方式下载更新文件（例如，通过批准某个虚拟组的更新）。执行此操作后，您需要从连接的 WSUS 服务器导出元数据：

 wsusutil.exe export packagename.cab logfile.log

然后将文件夹中的packagename.cab所有内容传输WsusContent到断开连接的 WSUS 服务器，并在那里导入元数据：

 wsusutil.exe import packagename.cab logfile.log

等待 WSUS 验证更新文件，然后照常使用它（批准更新等）。

此工作流的主要问题是似乎无法在断开连接的 WSUS 服务器（您可以在其中查看客户端需要哪些更新）和连接的 WSUS 服务器（您需要下载更新）之间传输批准。

另请参阅这篇文章，其中描述了 WSUS 服务器的最新更新；此更新消除了导出文件大小的 2 GB 限制，如果您同步大量产品的更新，则可能会超过该限制。此更新将导出文件格式从 CAB 更改为 gzip XML，它没有 2 GB 的限制。

到目前为止你的选择：

• 按照 Hagen 的建议偶尔在线 WSUS 服务器
• 设置另一个 WSUS 服务器，将其设置为下载所有内容并按需将更新内容和数据库复制到您的隔离 WSUS 服务器
• 完全使用不同的更新工具 - 有 OSS “WSUS 离线更新”项目（除了名称之外与 WSUS 本身没有任何关系）和许多商业补丁管理产品（包括微软的 SCCM）能够提供一个“离线”更新商店。

请注意，即使在线时，WSUS 服务器也可以配置为对您的域带来的安全风险基本上可以忽略不计。可以放在DMZ中，客户端不需要和WSUS服务器在同一个域，更新签名由客户端根据微软的公钥进行校验，所以只要有相应的私钥，应该是不可能伪造更新的密钥未被破坏（无论您是否使用 WSUS 安装更新，这都会造成问题）。因此，您可以设置一个联机 WSUS 服务器并设置您的测试网络的过滤器，以在不影响安全性的情况下只允许与该服务器的 HTTP/HTTPS 连接。

由于未指定的安全问题，您无法将其连接到“互联网”，但您肯定可以创建一个防火墙规则，仅允许WSUS 服务器连接到Microsoft 更新服务器，然后是明确拒绝任何/任何规则。如果您的同事/上级认为有合理的理由反对这一点，我们愿意听听。

原则上以下可能有效：创建一个 WSUS 服务器并定期

1. 将其插入具有 Internet（或内部上游 WSUS）访问权限的 LAN 并同步它。
2. 放下并拔掉它并把它带到安全局域网
3. 在那里连接它，让客户更新和报告

您的升级可能会有相当长的延迟，因为它可能需要来回移动几次，直到此移动 WSUS 了解实际需要并应下载哪些更新。

我有一个孤立的网络，遇到了同样的问题。现在我们的 WSUS (Server2008R2 STD) 不会导出 \ 导入 .cab 文件，因为它大于 2GB。没有清理我的...我需要为一个分类的、孤立的网络提供 9,000 多个更新...我使用 VMwarePlayer 并创建一个虚拟 Server2008R2 WSUS 给它足够的虚拟驱动器空间 150+GB 然后在几天之后收集更新的虚拟 WSUS 服务器我通过牺牲的 500GB USB 便携式硬盘驱动器将 VMwarePlayer 和机器放在网络上。我将虚拟服务器加入域并使其成为上游 WSUS。然后我将实际的 WSUS 更改为下游服务器。在他们同步\更新\下载（一天左右）后，我关闭并删除虚拟 WSUS，然后将真实 WSUS 改回上游服务器。在 WSUS 池中的所有工作站上运行 gpupdate /force，它们开始更新。这是一个季度过程，因此我们最初对这些孤立的系统进行了非常大的更新，然后可以以相同的方式（如果需要）进行季度更新，或者清理 WSUS 文件，然后返回执行 wsusutil.exe使用小于 2GB 的 .cab 文件导出 \ 导入。

O 完全理解你来自哪里，我也有类似的情况。我们有一个独立的补丁测试装置来测试更新并在部署到生产环境之前批准它们。

所以这是情况：

1. 现场环境无法上网
2. 测试装置（ESXi 环境在具有 1 个 sccm 服务器的 vms 上托管域环境）无法访问互联网。
3. WSUS 服务器直接连接到互联网。

我们的计划：

1. 在 WSUS 上下载并批准更新。
2. 导出下载的批准更新/元数据（可能使用WSUSutil）
3. 将导出的元数据和 WSUSContent 复制到可移动硬盘。
4. 将数据导入测试平台环境 SCCM 服务器。
5. 部署到环境进行测试。
6. 测试后批准在生产中实施。