পূর্বের একটি নিবন্ধে আমরা Windows Server 2012 R2 / 2016-এ WSUS সার্ভার ইনস্টলেশন বিস্তারিতভাবে বর্ণনা করেছিলাম। আপডেট সার্ভার কনফিগার করার পর Windows ক্লায়েন্ট (সার্ভার ও ওয়ার্কস্টেশন) কনফিগার করতে হয় যাতে WSUS সার্ভার ব্যবহার করে আপডেট গ্রহণ করে। এভাবে আপনার নেটওয়ার্কের সব Windows ক্লায়েন্ট ইন্টারনেটের মাধ্যমে Microsoft Update সার্ভার থেকে না, ইন্টারনাল আপডেট সার্ভার থেকে আপডেট পাবে। এই নিবন্ধে আমরা দেখব Active Directory ডোমেন গ্রুপ পলিসি (GPO) ব্যবহার করে ক্লায়েন্টকে WSUS সার্ভার ব্যবহার করার জন্য কীভাবে কনফিগার করতে হয়।
AD Group Policies অ্যাডমিনিস্ট্রেটরকে কম্পিউটারগুলোকে ভিন্ন WSUS গ্রুপে অটোমেটিক্যালি অ্যাসাইন করতে দেয়, ফলে WSUS অ্যাডমিনিস্ট্রেটরকে WSUS কনসোলে ম্যানুয়ালি কম্পিউটার গ্রুপের মধ্যে মুভ করতে হয় না এবং গ্রুপগুলো আপ-টু-ডেট রাখতে হয় না। ক্লায়েন্টকে টার্গেট WSUS গ্রুপে অ্যাসাইন করা ক্লায়েন্টে রেজিস্ট্রিতে একটি লেবেলের ভিত্তিতে হয় (লেবেল GPO বা সরাসরি রেজিস্ট্রি মডিফিকেশন দিয়ে সেট করা হয়)। এই টাইপের ক্লায়েন্ট অ্যাসাইনমেন্টকে client side targeting বলা হয়।
আমাদের নেটওয়ার্কে দুটি ভিন্ন আপডেট পলিসি ব্যবহার করা হবে: Servers-এর জন্য আলাদা এবং Workstations-এর জন্য আলাদা। WSUS কনসোলে All Computers সেকশনে এই দুটি গ্রুপ তৈরি করতে হবে।
টিপ: ক্লায়েন্টের WSUS সার্ভার ব্যবহার পলিসি বড় části Active Directory অর্গানাইজেশনাল ইউনিট (OU) স্ট্রাকচার এবং কোম্পানিতে আপডেট ইনস্টলেশন নিয়মের ওপর নির্ভর করে। এই নিবন্ধে আমরা গ্রুপ পলিসি ব্যবহার করে Windows আপডেট ইনস্টল করার মৌলিক নীতিগুলো বুঝতে চেষ্টা করব।
প্রথমে WSUS কনসোলে কম্পিউটার গ্রুপিং নিয়ম (targeting) স্পেসিফাই করুন। ডিফল্টভাবে WSUS কনসোলে কম্পিউটারগুলো সার্ভার অ্যাডমিনিস্ট্রেটর দিয়ে ম্যানুয়ালি গ্রুপে বিতরণ করা হয় (server-side targeting)। এটি আমাদের জন্য উপযোগী নয়, তাই স্পেসিফাই করব যে কম্পিউটারগুলো ক্লায়েন্ট সাইড টার্গেটিং ব্যবহার করে গ্রুপে বিতরণ হবে (গ্রুপ পলিসি বা রেজিস্ট্রি প্যারামিটার দিয়ে)। WSUS কনসোলে Options ক্লিক করে Computers খুলুন। মান পরিবর্তন করুন “Use Group Policy or registry settings on computers”।
এখন WSUS ক্লায়েন্ট কনফিগার করতে একটি GPO তৈরি করুন। Group Policy Management (GPMC.msc) খুলুন এবং দুটি নতুন গ্রুপ পলিসি তৈরি করুন: ServerWSUSPolicy এবং WorkstationWSUSPolicy।
Windows সার্ভারদের জন্য WSUS গ্রুপ পলিসি
ServerWSUSPolicy সার্ভার পলিসি থেকে শুরু করি।
Windows Update সার্ভিসের অপারেশনের জন্য দায়বদ্ধ গ্রুপ পলিসি সেটিংস এই GPO সেকশনে থাকে: Computer Configuration → Policies → Administrative templates → Windows Component → Windows Update.
আমাদের এনভায়রনমেন্টে সার্ভারে WSUS থেকে আপডেট ইনস্টল করতে এই পলিসি ব্যবহার করা হবে। এই পলিসির অধীনে যেসব কম্পিউটার পড়বে সেগুলো WSUS কনসোলে Servers গ্রুপে অ্যাসাইন হবে। এরপর আমরা চাই সার্ভারে আপডেট রিসিভ করার সাথে সাথে অটোমেটিক্যালি ইনস্টল না হয়। আপডেট ক্লায়েন্ট শুধু উপলব্ধ আপডেটগুলো লোকাল ড্রাইভে ডাউনলোড করবে, সিস্টেম ট্রে-এ নোটিফিকেশন দেখাবে এবং অ্যাডমিনিস্ট্রেটর ম্যানুয়ালি ইনস্টলেশন শুরু করার অপেক্ষা করবে (লোকালি বা রিমোটলি PSWindowsUpdate মডিউল দিয়ে)। অর্থাৎ প্রোডাকশন সার্ভার অ্যাডমিনিস্ট্রেটর কনফার্মেশন ছাড়া অটোমেটিক্যালি আপডেট ইনস্টল করে রিস্টার্ট হবে না (সাধারণত এই টাস্কগুলো সিস্টেম অ্যাডমিনিস্ট্রেটর মাসিক শিডিউল্ড মেইনটেন্যান্সের অংশ হিসেবে করে)। এই স্কিম বাস্তবায়ন করতে নিচের পলিসিগুলো সেট করুন:
- Configure Automatic Updates: Enable. 3 – Auto download and notify for install – ক্লায়েন্ট অটোমেটিক্যালি নতুন আপডেট ডাউনলোড করে এবং আপনাকে নোটিফাই করে;
- Specify Intranet Microsoft update service location: Enable. Set the intranet update service for detecting updates: https://hq-wsus.woshub.com:8530, Set the intranet statistics server: https://hq-wsus.woshub.com:8530 – লোকাল WSUS সার্ভার এবং স্ট্যাটিস্টিক্স সার্ভারের ঠিকানা সেট করুন (সাধারণত দুটোই একই);
- No auto-restart with logged on users for scheduled automatic updates installations: Enable – ইউজার সেশন খুলা থাকলে অটোমেটিক রিস্টার্ট ডিজেবল করুন;
- Enable client-side targeting: Enable. Target group name for this computer: Servers – WSUS কনসোলে ক্লায়েন্টকে Servers গ্রুপে অ্যাসাইন করুন।
নোট: আপডেট পলিসি কনফিগার করার সময় আমরা রিকমেন্ড করি Windows Update GPO সেকশনের প্রতিটি অপশনে উপলব্ধ সকল সেটিংস জানুন এবং আপনার ইনফ্রাস্ট্রাকচার ও সংগঠনের জন্য উপযুক্ত প্যারামিটার সেট করুন।
Windows ওয়ার্কস্টেশনের জন্য WSUS গ্রুপ পলিসি
সার্ভার পলিসির বিপরীতে, আমরা অনুমান করি ক্লায়েন্ট ওয়ার্কস্টেশনে আপডেট রিসিভ করার সাথে সাথে রাতে অটোমেটিক্যালি ইনস্টল হবে। কম্পিউটার আপডেট ইনস্টলেশনের পর অটোমেটিক্যালি রিস্টার্ট হবে (৫ মিনিট আগে ইউজারকে নোটিফাই করে)।
এই GPO-তে (WorkstationWSUSPolicy) স্পেসিফাই করুন:
- Allow Automatic Updates immediate installation: Disabled – আপডেট রিসিভ করার সাথে সাথে তৎক্ষণাৎ ইনস্টলেশন ডিজেবল;
- Allow non-administrators to receive update notifications: Enabled – নন-অ্যাডমিনিস্ট্রেটরদের নতুন আপডেটের নোটিফিকেশন দেখানো এবং ম্যানুয়ালি ইনস্টল করার অনুমতি;
- Configure Automatic Updates: Enabled. Configure automatic updating: 4 – Auto download and schedule the install. Scheduled install day: 0 – Every day. Scheduled install time: 05:00 – ক্লায়েন্ট নতুন আপডেট ডাউনলোড করে এবং সকাল ৫টায় অটোমেটিক্যালি ইনস্টল করার শিডিউল করে;
- Target group name for this computer: Workstations – WSUS কনসোলে ক্লায়েন্টকে Workstations গ্রুপে অ্যাসাইন করুন;
- No auto-restart with logged on users for scheduled automatic updates installations: Disabled;
- Specify Intranet Microsoft update service location: Enable. Set the intranet update service for detecting updates: https://hq-wsus.woshub.com:8530, Set the intranet statistics server: https://hq-wsus.woshub.com:8530 – কর্পোরেট WSUS সার্ভারের ঠিকানা।
Windows 10 1607 এবং উচ্চতর ভার্সনে, ইন্টারনাল WSUS থেকে আপডেট গ্রহণ করার পলিসি সেট করলেও Windows 10 ইন্টারনেটের Windows Update সার্ভার অ্যাক্সেস করার চেষ্টা করতে পারে। এই "ফিচার"-কে Dual Scan বলা হয়। ইন্টারনেট থেকে আপডেট গ্রহণ বন্ধ করতে অতিরিক্তভাবে পলিসি Do not allow update deferral policies to cause scans against Windows Update সক্ষম করতে হবে।
টিপ: কোম্পানির কম্পিউটারগুলো সব উপলব্ধ প্যাচ ইনস্টল করা থাকতে দিয়ে, দুটো পলিসি কনফিগার করা যাতে আপডেট সার্ভিস (wuauserv) ক্লায়েন্টে ফোর্সডলি স্টার্ট হয়। Computer Configuration → Policies → Windows Settings → Security Settings → System Services-এ Windows Update খুঁজে Automatic সেট করুন।
WSUS গ্রুপ পলিসি AD OU-তে অ্যাসাইন করুন
পরবর্তী ধাপ: তৈরি করা পলিসিগুলো সংশ্লিষ্ট Active Directory কন্টেইনারে (OU) অ্যাসাইন করুন। আমাদের উদাহরণে OU স্ট্রাকচার খুব সিম্পল: দুটি কন্টেইনার – Servers (কোম্পানির সব সার্ভার, ডোমেন কন্ট্রোলার বাদে) এবং WKS (Workstations – ইউজারদের কম্পিউটার)।
টিপ: আমরা শুধু WSUS পলিসি ক্লায়েন্টের সাথে বাইন্ড করার একটি সহজ পদ্ধতি বিবেচনা করছি। রিয়েল ওয়ার্ল্ডে, একক WSUS পলিসি সব ডোমেন কম্পিউটারের সাথে লিংক করা সম্ভব (GPO ডোমেন রুটে অ্যাসাইন), ভিন্ন টাইপের ক্লায়েন্ট ভিন্ন OU-এ বিতরণ করা (আমাদের উদাহরণের মত সার্ভার ও ওয়ার্কস্টেশনের জন্য আলাদা WSUS পলিসি)। বড় ডিস্ট্রিবিউটেড ডোমেনে AD সাইটের সাথে ভিন্ন WSUS সার্ভার লিংক করা, বা WMI ফিল্টার দিয়ে GPO অ্যাসাইন করা, অথবা এই পদ্ধতিগুলো কম্বাইন করা উচিত।
পলিসি OU-তে অ্যাসাইন করতে Group Policy Management Console-এ সঠিক OU-তে ক্লিক করুন, Link an Existing GPO সিলেক্ট করুন, এবং উপযুক্ত পলিসি চেক করুন।
টিপ: আলাদা OU – Domain Controllers কে ভুলবেন না। অধিকাংশ কেসে WSUS Server পলিসি এই কন্টেইনারে লিংক করা উচিত। একইভাবে WorkstationWSUSPolicy-কে WKS নামক AD কন্টেইনারে (যেখানে Windows ওয়ার্কস্টেশন আছে) অ্যাসাইন করুন।
ক্লায়েন্টে গ্রুপ পলিসি আপডেট করুন WSUS সার্ভারের সাথে বাইন্ড করার জন্য: gpupdate /force
আমরা গ্রুপ পলিসি দিয়ে যে সকল Windows আপডেট সেটিংস সেট করেছি সেগুলো ক্লায়েন্টের রেজিস্ট্রি কী HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate-এ দৃষ্টিগোচর হবে।
নিচের reg ফাইলটি ব্যবহার করে WSUS সেটিংস অন্য কম্পিউটারগুলোর কাছে ট্রান্সফার করা যায় যেগুলোতে GPO দিয়ে আপডেট সেটিংস কনফিগার করা সম্ভব নয় (ওয়ার্কগ্রুপে থাকা কম্পিউটার, আইসোলেটেড সেগমেন্ট, DMZ, ইত্যাদি)।
rsop.msc স্ন্যাপ-ইন ব্যবহার করে ক্লায়েন্টে প্রয়োগ করা WSUS সেটিংস কন্ট্রোল করা সুবিধাজনক। কিছু সময় পর (আপডেট সংখ্যা এবং WSUS সার্ভারে ব্যান্ডউইডথের ওপর নির্ভর করে) ট্রে-এ নতুন আপডেটের পপ-আপ নোটিফিকেশন আছে কিনা চেক করুন। ক্লায়েন্ট (ক্লায়েন্টের নাম, IP, OS, প্যাচ পারসেন্টেজ এবং লাস্ট স্ট্যাটাস আপডেটের তারিখ) WSUS কনসোলে সংশ্লিষ্ট গ্রুপে দেখাবে। যেহেতু আমরা কম্পিউটার ও সার্ভারকে ভিন্ন WSUS গ্রুপে GPO দিয়ে অ্যাসাইন করেছি, সেগুলো শুধু সংশ্লিষ্ট WSUS গ্রুপের জন্য অনুমোদিত আপডেটগুলো পাবে।
নোট: যদি আপডেট ক্লায়েন্টে না আসে, তবে Windows update সার্ভিস লগ (C:\Windows\WindowsUpdate.log) সতর্কতার সাথে পরীক্ষা করার পরামর্শ দেয়া হয়। মনে রাখবেন Windows 10 (Windows Server 2016) WindowsUpdate.log ফাইলের ভিন্ন ফরম্যাট ব্যবহার করে। ক্লায়েন্ট আপডেট লোকাল ফোল্ডার C:\Windows\SoftwareDistribution\Download-এ ডাউনলোড করে। WSUS সার্ভারে নতুন আপডেট সার্চ немеদিয়েটলি শুরু করতে: wuauclt /detectnow। কখনো কখনো ক্লায়েন্টকে WSUS সার্ভারে রি-রেজিস্টার করতে হয়: wuauclt /detectnow /resetAuthorization। বিশেষ কেসে wuauserv সার্ভিস ফিক্স করার চেষ্টা করুন। ক্লায়েন্টে আপডেট রিসিভ করার সময় 0x80244010 এরর আসলে Automatic Update detection frequency পলিসি ব্যবহার করে WSUS সার্ভারে আপডেট চেক করার ফ্রিকোয়েন্সি ৩-৪ ঘন্টায় সেট করুন।
পরবর্তী নিবন্ধগুলোতে WSUS সার্ভারে আপডেট অনুমোদনের đặc-loop এবং PowerShell দিয়ে WSUS সার্ভারে গ্রুপের মধ্যে অনুমোদিত আপডেট ট্রান্সফার করার পদ্ধতি বর্ণনা করব।
