Чи залишаєте автоматичні оновлення Windows включеними на виробничому сервері IIS?

Якщо ви працювали цілодобово на веб-сайті Windows Server 2003 (IIS6). Чи залишите функцію автоматичного оновлення Windows увімкненою або вимкнете її?

Якщо ввімкнено, ви завжди отримуєте останні патчі безпеки та виправлення помилок автоматично, як тільки вони з’являться, що є найбільш безпечним вибором. Однак іноді машина буде автоматично перезавантажена, щоб застосувати оновлення, що призводять до пари хвилин простою посеред ночі. Також я бачив рідкісні випадки, коли машина не перезапускається належним чином, що призводить до подальшого простою.

Якщо автоматичне оновлення вимкнено, коли ви застосовуєте патчі? Я думаю, що вам доведеться використовувати балансир завантаження з декількома веб-серверами та обертати їх із виробничого сайту, застосовувати патчі вручну та вводити їх назад. Це може бути незручно для логістики, коли хостинг-компанія управляє балансиром навантаження. У виробництві також будуть машини, які не завжди мають найновіші виправлення безпеки, і вам доведеться регулярно витрачати час на вирішення, які патчі застосовувати і коли.

Коротка відповідь, ні.

У кращому випадку, ви повинні хоча б мати іншу коробку / vm / морську свинку, щоб перевірити виправлення, щоб переконатися, що він не руйнує ваш світ.

У гіршому випадку я б дозволю завантажувати патчі, але не встановлювати, тому я можу переглянути, що встановлюється. Але я просто таким контрольним виродком.

Боюся, що мені доведеться не погодитися з консенсусом.

Той, хто каже, що «потрібне втручання людини», не думає прогресивно.

Автоматизуйте все.

Можливо, це означає ввімкнути автоматичне оновлення (я це роблю в моїх умовах з низькими наслідками).

Можливо, це означає щось більш суворе (коли ви автоматично оновлюєте середовище постановки, чи автоматично його перевіряють на правильну роботу, а потім запускають автоматичне оновлення у виробничому середовищі). Звіти або повідомлення електронною поштою слід використовувати, щоб адміністратори мали можливість бачити статус процесу.

Існує декілька способів домогтися цієї автоматизації, від скриптів powershell до служб оновлення програмного забезпечення (SUS) ... і тим більше, що ви задали це питання на stackoverflow, а не на сервері, я рекомендую вам розробити підпрограми для автоматизації більшої частини процес оновлення, наскільки це можливо.

Якщо цього не зробити, ви ризикуєте не застосовувати оновлення або застосовувати їх неправильно. Крім того, якщо ви щось схоже на мене, ви вважаєте за краще прокидатися о 3 ранку одного разу під час синього місяця, коли оновлення не вдається (і вас переглядають підпрограми оновлення), а не прокидатися о 3 ранку щомісяця для встановлення оновлень протягом годин із низьким рівнем наслідків.

Звичайно, YMMV. Створіть процес, який найкраще підходить вам, але намагайтеся не робити занадто багато зайвої роботи для себе.

Для виробничого сервера Windows я не рекомендував би налаштувати Windows Update для автоматичного завантаження та встановлення оновлень. Кращий підхід - завантажувати оновлення автоматично, але встановлювати їх вручну.

Перевагами такого підходу є:

1. Ви можете переглянути запропоновані оновлення до встановлення та, де необхідно, дослідити наслідки встановлення оновлення. Це може здатися більшою роботою - це! але принаймні ти будеш керувати. Microsoft також пропонує безкоштовний список розсилки, який дає вам раннє повідомлення про тип оновлень, які слід випустити в наступній партії оновлень Windows.
2. Ви можете вирішити час перезавантаження, який має мінімальний вплив на відвідувачів вашого веб-сайту. Здавалося б, ваш веб-сайт працює з одного сервера, тому може бути корисно відобразити на вашому веб-сайті банер, який попереджає ваших відвідувачів про майбутнє перезавантаження. Я реалізував щось подібне, яке з’являється за годину до перезавантаження, і відображається повідомлення з надписом «Веб-сайт закриється через х хвилин для обслуговування. Технічне обслуговування повинно тривати не більше 10 хвилин '
3. Оскільки ви вручну ініціювали перезавантаження сервера, ви можете перевірити, що сервер успішно відновився після перезавантаження. Якщо цього немає, ви можете поговорити зі своїм постачальником хостингу та вирішити проблему.

В основному, це все про контроль, і з автоматичним завантаженням та автоматичною установкою, ви не отримаєте багато !!

Я дозволяю автоматичне оновлення, але робити це через WSUS. Це дозволяє вам вибирати клас оновлень, які ви хочете застосовувати автоматично, щоб у вас не було перерв на дрібниці, про які ви не хвилюєтесь, але ви отримуєте виправлення на подвиги Дня 0 якнайшвидше.

Я не думаю, що це питання "дозволити оновлення" та "не дозволяти їм" бути правильним чи неправильним, до речі, це просто питання вибору ризиків та незручностей, які ви готові взяти на себе. Існують ризики, що дозволяють автоматично оновлювати оновлення, і якщо ви цього не зробите. Збалансуйте їх і зробіть усвідомлений вибір.

Ви можете розглянути поетапну розробку - виправлені у вівторок патчі встановлюються одразу на тестовому середовищі, а планується встановити в четвер на виробничих серверах, скажімо, даючи вам два дні для появи проблем у тестовому середовищі, які вказують на блокування або затримка певного виправлення.

Якщо велика доступність - це велика проблема, то в будь-якому випадку вам слід використовувати кластеризацію чи балансування навантаження, що в будь-якому разі повинно покривати час простою через виправлення. Зрештою, чому час простою через патчі якось частіше гірше, ніж апаратні збої, які можуть статися на будь-якій одній коробці в будь-який час?

Ми ніколи не вмикаємо автоматичні оновлення на нашому сервері. Він розміщується в центрі обробки даних, тому ми працювали, щоб спостерігати за статистикою в Google Analytics, щоб побачити, у який час трафік був найнижчим, а потім запланували техніку встановити оновлення на той час на місці. Таким чином, якщо потрібно було перезавантажити або щось пішло жахливо, це не вплине на стільки людей, як якщо б Windows завантажила оновлення посеред дня.

Як і всі інші тут уже відповіли: НІ! Ми використовуємо System Centers Essentials для підключення оновлень до виробничих веб-серверів, лише ПІСЛЯ їх встановлено на тестових серверах.

Ми також отримуємо щомісячні електронні листи від MS, щоб ми точно знали, що таке оновлення та для чого це. Це значно полегшує усунення несправностей, якщо ви точно знаєте, що було оновлено та коли.

Точно ні. Занадто багато разів навчали важко, щоб не допустити цієї дурниці. На жаль, це зовсім не означає, що можна застосовувати виправлення та оновлення трохи лабільніше. Але до сих пір я ще мати сервер розбитий , бо я не застосовував який конкретну ділянку відразу, але я вже був дуже багато головного болю , викликаної сервера перезавантаженням в незручний час, або перезавантаження і не в змозі запустити якусь істотну послугу після встановлення патча.

Щойно, ми щойно отримали новий кластер із п'яти машин через нашого постачальника послуг - дуже великого і відомого провайдера з цієї частини світу. Коли ми отримали облікові записи адміністратора і змогли увійти та почати налаштовувати наше програмне забезпечення, я з великим задоволенням побачила, що це звичайне перше завдання вже перейняло мене мережеві sysadmins. :)

Застосування оновлень == випадкові перезавантаження системи, не під вашим контролем. Це дає вулики SA. Крім того, в минулому траплялися випадки зламування латок, тому ви рідко хочете, щоб вони застосовувалися, якщо ви раніше не пробували їх.

Один із підходів, який я розглядав, - це перехід до віртуалізованого середовища хостингу. Це дозволяє випробувати оновлення на невиробничому екземплярі або навіть застосувати оновлення до офлайн-екземпляра та поміняти його на виробництво, коли ви впевнені, що це добре.

Абсолютно не. Оновлення слід застосовувати до серверів у неробочий час та за наявності планів на випадок надзвичайних ситуацій - це означає достатньо часу для того, щоб повернути оновлення, якщо воно не вдалося.

Як системний адміністратор, ви хочете мати під своїм контролем якомога більше змінних. Це досить важко, не приїжджаючи вранці на мертвий сервер! ;-)

Зауважте, що можна встановити конкретний час оновлення, і більшість оновлень надходить у вівторок. Таким чином, ви можете запланувати час для перегляду оновлень, які завантажуються та завантажуються, і знати, коли виникнуть можливі проблеми.

Хороший питання, щоб задати собі питання, чи щось накручує, що мені скаже мій VP / CIO / тощо? Автоматизація цього може полегшити ваше життя, але якщо є проблеми, ви збираєтеся переграти вугілля, і це може зробити набагато складніше.

Я автоматизую хек з ПК, з кількома сотнями вам доведеться. Сервери, хоча я планую це, і отримую його авторизовано, тому якщо щось піде не так, моє @ $$ покривається. Пам'ятайте, що ми працюємо з даними інших людей та з ресурсами компаній, вони завжди повинні бути обізнані про ризики.