WSUS für SSL-Verbindung konfigurieren

Gerade bei einem stark ausgelasteten WSUS-Server sollte man jedoch einkal­kulieren, dass die Ver­schlüsselung auf Kosten der Performance geht. Microsoft zufolge vermindert sich die Leistung um zirka 10 Prozent.

Zertifikat für SSL

Diese Anleitung geht davon aus, dass auf dem WSUS-Server bereits ein Zertifikat installiert ist. Meistens wird man dieses über eine interne Zertifizierungs­stelle ausstellen. Dieser Beitrag zeigt, wie man zu diesem Zweck bei einer Active Directory CA vorgeht.

Laufen die WSUS unter Server Core, dann muss das Zertifikat erst von einem anderen Rechner exportiert und auf dem WSUS-Server importiert werden (siehe dazu: SSL-Zertifikat für IIS und WSUS installieren auf Server Core).

Zertifikat an HTTPS der WSUS-Site binden

Im nächsten Schritt bindet man das Zertifikat im IIS-Manager an das HTTPS-Protokoll der WSUS-Verwaltung. Laufen die WSUS unter Server Core, dann funktioniert dies auch remote. Für diese Aufgabe öffnet man in der linken Navigation das Kontextmenü dieser Site und führt den Befehl Bindungen bearbeiten aus.

Standardmäßig nutzt WSUS die Ports 8530 für HTTP und 8531 für HTTPS. Wählt man für die verschlüsselte Verbindung den üblichen SSL-Port 443, dann kommunizieren die WSUS bei HTTP über Port 80. Bei jedem anderen Port für HTTPS wählen die WSUS für HTTP einen Port, der nummerisch direkt darunter liegt.

Kommunikation über HTTPS erzwingen

Anschließend muss man dafür sorgen, dass die Clients den WSUS-Server künftig nur mehr über eine SSL-Verbindung ansprechen können. Dazu passt man die SSL-Einstellungen für folgende virtuelle Verzeichnisse an:

• APIremoting30
• ClientWebService
• DSSAuthWebService
• ServerSyncWebService
• SimpleAuthWebService

Da sich nicht mehrere davon auf einmal konfigurieren lassen, markiert man jeweils eines der Verzeichnisse und klickt dann doppelt auf das Icon SSL-Einstellungen. Dort aktiviert man die Option SSL erforderlich und belässt Clientzertifikate auf Ignorieren.

Wie erwähnt, werden auf diese Weise nur die Metadaten verschlüsselt. Erzwingt man die SSL-Kommuni­kation auch für andere virtuelle Verzeichnisse wie etwa Content oder Inventory, dann können Clients keine Updates mehr beziehen.

Zum Abschluss der Konfiguration des Servers wechselt man dort in das Verzeichnis

%ProgramFiles%\Update Services\Tools\

und gibt einen Befehl nach folgendem Muster ein:

wsusutil.exe configuressl FQDN-des-Servers

also zum Beispiel

wsusutil.exe configuressl wsus.contoso.de

Verbindung testen

Nun sollte nach einem eventuell not­wendigen Neustart eine HTTPS-Verbindung zum WSUS-Server möglich sein. Ob diese funktioniert, kann man etwa testen, indem man einen Web-Browser öffnet und eine URL nach diesem Vorbild eingibt:

https://wsus.contoso.de:8531/selfupdate/wuident.cab

Falls man einen anderen Port konfiguriert hat, muss man diesen hier natürlich entsprechend anpassen. Bietet der Browser den Download der Datei wuident.cab an, dann war der Verbindungs­test erfolg­reich.

GPO für Clients aktualisieren

PCs, die Mitglied in einer Domäne sind und die ihre Updates über die WSUS beziehen sollen, wird man in den meisten Fällen den gewünschten Update-Server über Gruppenrichtlinien zuordnen (siehe dazu: Clients für WSUS konfigurieren, Computer zu Gruppen hinzufügen). Falls die entsprechenden GPOs bereits existieren, dann muss man dort http auf https ändern und die Portnummer anpassen.

Nach der Aktualisierung der GPOs mittels gpupdate oder dem Neustart der Client-Rechner sollten diese in der Lage sein, den zuständigen WSUS-Server über HTTPS zu kontaktieren.

Setzt man mehrere miteinander verbundene WSUS-Server ein, dann muss man den Downstream-Servern ebenfalls mitteilen, dass sie den über­geordneten Server nun über eine SSL-Verbindung ansprechen sollen.

Dies kann man in der WSUS-Konsole unter Optionen => Updatequelle und Proxyserver tun. Dort passt man die Port-Nummer an und aktiviert die Option SSL beim Synchronisieren der Update­infor­mationen verwenden.

WSUS-Konsole konfigurieren

Betreibt man bereits einen WSUS-Server ohne SSL-Konfiguration, dann wird die MMC-Konsole nach Abschluss der oben beschriebenen Arbeiten den Kontakt zum Server verlieren. Denn sie wurde ja für eine HTTP-Verbindung konfiguriert.

Hier behilft man sich dadurch, dass man aus dem Kontextmenü des Servers den Befehl Aus Konsole entfernen ausführt und ihn nachher wieder neu hinzufügt. Bei dieser Gelegenheit kann man dann gleich die HTTPS-Verbindung angeben.