Co se stane při aktualizaci 170PC s winxp z 0% stavu na 100%

20.3.2008 20:58 | Přečteno: 3184× | windows | poslední úprava: 22.3.2008 12:26

Jak jsem dopadl při pokusu plně zaktualizovat 170PC s winxp, které byly absolutně neaktualizovány a pěkně schovány za proxynou

Když jsem nastoupil do mého stávajícího zaměstnání, tak bylo ve firmě cca 170PC na winxp SP1/2. Tyto PC jsou pěkně schovány za proxynou, takže asi někdo z předchůdců nepovažoval za důležité ony PC aktualizovat a plátovat. Ono taky veskutečnosti ani u některých neměl možnost k plátování, jelikož neměly přístup k internetu. Čas plynul a najednou vuala, koupila se kupa licencí na server, takže volná to cesta k WSUS (windows server update services). Prostě a jednoduše řečeno, server sosá z netu aktualizace a lokální PC si je od něj stahují a tudíž nemusí mít ani přístup na internet.

První věcí, co jsem udělal, bylo googlování a pak také googlování. Dozvěděl jsem se věci jako třeba, že na server WSUS verze 3 je potřeba se připojovat vhodnou verzí update klienta, který musí být ještě vhodně zaplátován (stávalo se, že pokud klient nebyl zaplátován, tak po připojení na WSUS server vyskočil procák na 100% a byl konec :) ). Takže ve finále úkol nainstalovat na cca 170PC asi 3 aktualizace (aniž by si uživatel něčeho všiml).

# MMC Console v3 - nepodstatná aktualizace
windowsXP-KB907265-x86-CSY.exe /quiet /norestart

# Update agent verze 3, který se přihlašuje k WSUS
windowsUpdateAgent30-x86.exe /quiet /norestart /wuforce

# Oprava update agenta verze3, která řeší 100% využití procáku po připojení na WSUS 
windowsXP-KB927891-v3-x86-CSY.exe /quiet /norestart

Dále ručně updatnout všechny winxp s SP1 na SP2, aby to nedělalo neplechu.

Když už jsem měl vše vyřešeno, WinXP SP1 bylo pár a hromadnou instalaci oněh 3 záplat jsem vyřešil jednoduchým scriptem přes runscript z Novell Netware 5.1 (opravdu jsem si ho zamiloval :) ), tak jsem přistoupil k fázi č. 2, instalaci WSUS serveru. Server chtěl k životu IIS a myslím, že ještě možná něco. Napoprvé mi všechno pěkně běželo, až jsem se divil. Druhý den přišla ovšem záhadná chybka (přišel jsem do práce a wsus mrtvý), už nevím, co to bylo, ale řešení převzal zkušený kolega windowsák a pak jsem se jen trapně cítil, jaká to byla drobná chújovina :-/. Na serveru jsem pak nastavil aktualizace úplně všeho, driverů, office, atd. Prostě všeho SW, co jsme měli ve firmě a včetně i nepotřebných aktualizací jako je např novější verze WMP apod. Server si sosnul asi přes 5000 záplat, bylo toho několik GiB. Průvodcem jsem pak pročistil závislosti mezi záplatami a bylo vymalováno :).

Následovala jedna z nejtěžších fází, psychicky se připravit na spuštění scriptu, který nastaví na všech PC checkování aktualizací z WSUS serveru a naplánuje jejich aktualizaci na 10 hodinu ranní (ve firmě se PC na noc vypínají, takže spustit to před obědem se zdá býti dobrým nápadem). Tato psychická příprava, získat odvahu a spustit script mi trvala pár měsíců , ve které jsem mj. zkoušel sem tam nějaký PC zaktualizovat přes WSUS. Onen script jen zapisuje pár řádků do registrů :

# Do klíče :
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate

# Hodnoty (řetězové):
"WUServer" "http://adresawsus:80"
"WUStatusServer" "http://adresawsus:80"

# Do klíče :
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU

# hodnoty dword :
"UseWUServer" "1"   #použít pro aktualizaci wsus server
"NoAutoUpdate" "0"   #aktualizace jsou povoleny
"AUOptions" "4"   #Automaticky stahovat a instalovat aktualizace v nastavený čas
"ScheduledInstallDay" "0"   #instalovat aktualizace každý den
"ScheduledInstallTime" "10"   #v deset hodin dopoledne
"NoAutoRebootWithLoggedOnUsers" "1"   #zakázat automatický restart

Po oněh x měsísích jsem se odhodlal a řekl kolegovi, že jsme vlastně za tu dobu, co jsme spolu neudělali žádný velký průser a že se toho v poslední době moc nesere a daří se nám :). Nu, neváhal jsem tedy a zapojil jsem script na aktualizace do runscriptu Netware.

Seznam osudových chyb :

• Pokusit se zaktualizovat 170PC s winxp
  • ale, potřeboval jsem už krapet adrenalinu :)
• Zacheckovat ve WSUSu aktualizaci všeho
  • kdyby člověk průběhem několika měsíců postupně přidával typy aktualizací, tak by na něj prů**** nepadly najednou, ale stejně by si ho našly a uživatelé by potom měli pocit, že se nám to pořát se** :)
• Myslet si, že si uživatelé skoro ničeho nevšimnou a tak je netřeba informovat
• to si člověk myslí jen do doby, než zjistí, že některé PC vyžadují přes 160aktualizací

Největší potkané průtěry :

1) 10 hodina ranní se ukázala jako velmi nevhodná, takže časem byla posunuta na 12hod, kdy už opravdu většina lidí papká

2) lidi jsem měl informovat, někteří zaznamenali značné zpomalení PC, takže po hodině už toho měli plný kapky a pokusili se o restart v domění, že se zbaví záhadného zpomalení. Ovšem instalace aktualizací je nenechala restartovat a skončili na modré obrazovace s nápisem typu : "počkej, než se nainstalují aktualizace a pak se systém sám restartuje" a když tam 30minut čuměli, jak 31/120 poposkočí na 32/120, tak začli volat. Jediným způsobem, aby mohli pracovat bylo, tvrdý reset a dvě minuty strachu, zda mi to projde :). Vždy to naštěstí klaplo a win v poho naběhly :).

3) přechod na IE7 nám zaručil to, že cca 3PC ze všech byly nenávratně poškozeny a museli jsme je reinstalovat.

Dále se objevil problém se spuštěním IE7, kdy jen problikl a nespustil se. Nejrychlejším řešením bylo odinstalace IE7 a znovu jeho instalace (zřejmě v hafu záplat se IE7 trochu po). To se odehrálo asi na 6PC.
IE7 obsahuje základního průvodce, kterým je nutné projít, aby se už příště nezobrazoval. Tento průvodce je situován jako HTML stránka. Takže jsme přijímali hovory typu : nejde mi internet (jen málo lidí napadlo, napsat seznam.cz do adresního řádku a nečekat, až se načte sám, jak byli zvyklí)

4) myslím, že aktualizace zahrnující podporu XPS (což je MS náhrada za pdf) mohla za přenastavení defaultního nastavení tiskáren HP, takže se všechny najednou pokoušely tisknout na ruční podavač, což uživatelé pociťovali potvrzováním každé stránky na tiskárně (ono potvrzování bylo potvrzení změny tisku na jiný podavač). Toto se projevilo na řekl bych většině PC :-/.

5) Nová dokonalá možnost tisku od MS, která automaticky přizpůsobuje text velikosti papíru. Tato možnost je tak úžasná, že texty, které se dříve tiskly celé na A4 se najednou začly tisknout velmi drobně do rohu stránky. Řešením je vždy v tiskovém dialogu nastavit 100% velikost, která samozřejmě nejde klikáním uložit a tak příště musíme znovu nastavovat 100% atd. Toto řeší opět drobný zápis do registrů :

# do klíče :
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\featureControl\FEATURE_STF_Scale_Min

# hodnotu DWORD:
"iexplore.exe" "100"

Pokud to chcete nastavit i u outlooku, tak přidáte ještě hodnotu :

"outlook.exe" "100"

Závěr

Jak vidno, za dost věcí jsem si mohl sám. Nicméně abych pravdu řekl, tak jsem čekal větší potíže :). Krom zmíněných problémů mne dost štvalo, myslím si, že samotné uživatele mnohem více, aktualizace aktualizací. Po úspěšném nainstalování 160 aktualizací se vyrojí dalších 30, které opravují předchozí aktualizace a po oněh 30 se objevují další atd. Mezi nimi jsou potřebné restarty apod. Takže ve finále se jeden PC aktualizoval 14 a i více dní(připomínám, že se aktualizace nainstalovaly v 10h a až šel uživatel domu, tak vypl PC, čímž vlastně udělal potřebný restart k instalaci dalších aktualizací, které se provedly druhý den zase v 10h dopoledne atd.). Nyní jsme ve fázi, kdy je asi cca 140PC ze 170 plně aktuální a uživatelé jsou už v klidu :).

Nebýt Netware a možnosti takto pěkně spouštět scripty, tak nevím, jak bychom celou situaci zvládli. Vím, ještě AD umí spouštět scripty, ale to také ještě nemáme rozjeté. Další možností by byl nějaký hromadný wmic script, který by se připojoval přes wmi na vzdálené PC, ale na to jsou potřeba dvě věci : všude stejné accounty a hesla admina a všude zprovozněné wmi.

Dalším adrinalinovým bojem plánuji přechod uživatelů z admin práv na obyčejné usery :) (Ano, je to ostudné, ale za to já nemohu, tak už to prostě bylo v oné firmě před mým příchodem zavedeno :-/). Otázkou také je, zda nezavést rovnou Active Directory :-/. to by ovšem poté ztížilo v buducnu možnosti využití linuxu ve firmě a netware by na tom poté také nebylo moc dobře :-/.

Příště se asi rozpovídám o wmic, co to je, k čemu to je dobré a jaký je boj to vůbec smysluplně rozjet (zlaté ssh).
Také přemýšlím, že zveřejním svůj script, kterým zapisuji desítky věcí do registrů a tak udržuji a hromadně přenastavuji všechny PC ve firmě (spouštěné služby, nastavení prostředí, obrázků atd.). Pokud bude mít někdo zájem, nechť se ozve v diskusi.

Zdar Max
PS: Samozřejmě bych chtěl tímto také poděkovat svému kolegovi, který se mnou trpí mé výmysli :D        

Anketa

Komentáře

[pc2005]

Dobrý blogpost .

Než kopírovat x desítek záplat, to už by asi bylo rychlejší mít jeden aktuální image a postupně ho rozkopírovat na všechny PC , což ale asi ve Windows koliduje s licencí.

[Max]

Image čeho? Windowsů? To asi těžko, sice používáme HP sestavy, ale jsou různorodé, takže by dost win nenajelo. Navíc nastavení tiskáren by taky neklaplo, hodně uživatelů má rozdílné programové vybavení atd., účty atd. Prostě totální blbost
Zdar Max

[Honza Jaroš]

Jde udělat univerzální image, která na většině počítačů s IDE řadičem (nebo SATA v compatible režimu) najede - modrá obrazovka při výměně HW totiž obvykle znamená jen to, že Windows nenajdou řadič disků. Postup jak to obejít vyšel kdysi na CDR serveru.

V současné době máme udělanou univerzální image (připravenou pod VMWare), která se nacpe na počítač a pak se už jen doinstalují drivery, plus několik imagí udělaných na míru nejpoužívanějším sestavám. U starších počítačů jsem míval problém s nekompatibilitou PIC/APIC, Windows odmítaly startovat dokud se jim nepodstrčila jiná verze hal.dll (nechá se to provést parametrem v boot.ini), ale to už je nějaký ten rok a pokud nemáte ve firmě jó staré šunky, už na to sotva narazíte.

Před klonováním doporučuju použít utilitu sysprep, která vyresetuje unikátní identifikátor Windows (SID - při zavádění AD by se vám počítače se stejným SID mohly mlátit), pro samotné klonování používáme placený Norton Ghost.

Jinak doporučuji přejít na Active Directory, mnoho věcí při správě to usnadní (například to vzpomínané přepisování hodnot v registrech, v GPO je na nastavení WSUS přímo šablona). Jak je na tom spolupráce s NetWarem nevím, ale co se Linuxových počítačů týče, je možné nastavit ověřování uživatelů proti AD jak u Samby, tak třeba i u SSH...

[Honza Jaroš]

Jo, ale jak tak koukám, najíždíte na Visty. Přiznám se, že jak by fungovalo klonování u nich nemám páru, já to v praxi používám jen na XP a doufám, že nás poslední výkřik microsoftích kodérů bude ještě nějaký čas míjet...

[Max]

Ale ano, také jsem pro nás dělal univerzální image, také využívám komerční norton ghost, vím, co to obnáší, modifikoval jsem si instalačky vždycky. Ale já narážel hlavně na to, že používat klonování jako způsob aktualizace je blbost.
Vím, jak vypadá AD a jeho GPO a když jsem to viděl, tak jsem byl velmi zklamán, čekal jsem od toho mnohem více. Všechno věsměs dokážu udělat přes registry(mám je prolezlý celkem pěkně) + netware logon script.
Zdar Max

[Honza Jaroš]

V tom, že klonování jako způsob aktualizace je blbost, se shodnem. Já to pochopil tak, že nevíte, že klonovat vůbec jde.

Takže už mlčím...

[pc2005]

No já jsem myslel udělat image samotného systému, protože softwary třetích stran se stejně asi přes Microsoftí servery neaktualizujou. Jednu kopii bych aktualizoval (hlavně kvůli těm restartům) a vyladil a pak nakopíroval na všechny PC, takže by odpadla většina nepovedených aktualizací. Nastavení tiskáren by se holt muselo udělat "ručně", ale to se podle zápisku muselo udělat stejně (v případě uživatelských dat centrálně spravovaného na nějakém serveru by se snad nemuselo ani to). Ale to by asi nesměli uživatelé pracovat jako admin.

[Max]

No, stejně to je pěkná blbost. Docela by mne zajímalo, zda jsi to někdy zkoušel, nebo jen teoretíš. Tvé řešení je podle mne x krát komplikovanější, vyžaduje mnohem více úsilí adminů a spolehlivost je tam také mizivá.
Zdar Max

[pc2005]

Teoretizuju, s tolika počítači jsem nikdy nepracoval, jen jsem přemýšlel, jak bych to udělal já. Zajímavý, že mé řešení jsem stavěl na předpokladě, že by se mě pak nechtělo řešit počítače samostatně, kvůli různé kombinaci nastavení. Avšak jak moc lze centrálně spravovat Windows XP nevím, doma jsem měl naposled W98, takže jsem asi ovlivněný linuxem, který nabootuje víceméně všude. Každopádně si ale pamatuju, že na průmce kam jsem před lety chodil bylo nastavení uživatele centrálně na serveru a pátky večer byly vyhrazeny obnově systému (otázka je zda tu obnovu pak fakt dělali ).

[Max]

No právě, tam měli určitě rozjeté AD a účty měli na serveru, takže každý PC byl nainstalovaný stejně. U nás nic takového nehrozí. Navíc všichni nedělají stejnou práci. Máme velmi velký okruh používaných programů, což se projevuje v těžší správě a delšímu řešení případných problémů, protože když tato aplikace přistupuje k tomuto nově nasazenému síťovému disku dobře, tak to neznamená, že musí i ta druhá atd. Ještě teď, po roce a půl, co tam pracuji, se mi stává, že přijdu k PC a řeknu si : "sakra, co je toto za program, na co ho prosím Vás používáte, můžete mi to ukázat?" a uživatel na mne nechápavě zírá ...
Zdar Max

[David Heidelberg]

Taky máte rádi kombinaci "aptitude update && aptitude safe-upgrade"?

P.S. nebo dist-upgrade

[Honza Balák]

Jj, teď jsem si toho začal opravdu vážit

[Power]

Nechceš se zastavit u nás v podniku, máme tam cca přes 300 PC s SP1 a minimem záplat. Máme tak líné administrátory, že tomu bude asi pořád

[Ondrej]

Peknej zazitek. Jenom par malejch dotazu:

1. Byl by problem rict uzivatelum, aby tento tyden pocitace na noc nevypinali?
2. Kdyz uz mate v siti nejakej novell netware server (jak jsem z toho pochopil), proc resis nejakou moznou AD, kdyz ma novell takovou super vec jako NDS/eDirectory? Nehlede na to ze AD pro M$ delal prave novell a je to jista verze NDS, tehdy jeste pod nazvem bindery
3. Jaka byla zatez serveru a site, kdyz si 170 pocitacu tahalo zaplaty z WSUSu?
4. Proc se bojis pripadnyho problemu s nasazenim linuxu, kdyz neni AD nic jinyho nez LDAP adresar, a samba ji v kombinaci s LDAP umi hodne slusne simulovat?

[Max]

ad 1: Byl i nebyl, přemýšlel jsem o tom, ale to by nám zas tak moc nepomohlo, ráno by přišli, museli by stejně udělat restart a možná by to na nás padlo ještě rychleji, jelikož při stavu, co jsem popsal dost uživatelů PC restartovalo během dne, protože jim to win říkaly, tím nám zmírnili onen nával. A těch uživatelů, co se pokoušeli o restart kvůli pomalosti bylo pár.

ad 2: No, důvody jsou hned dva. První je ten, že teď máme hafo licencí na MS Server 2003, takže proč by šéf třeba měl preferovat do podniku nějakou sambu. Druhý důvod je Vista, Novell totiž doposud neuvolnil plně kvalitního klienta pro Vistu, takže dost aplikací blbě komunikuje s NDS Netware :(. Netware a jeho NDS je geniální a bezkonkurenčně rychlá věc(myšleno oproti MS). Vista nás donutila přesunout celý poštovní úřad z Netware na Server 2003, takže nákrok už tam je :(.

ad 3: Měl jsem v plánu to monitorovat, ale bohužel, nějak jsem nestíhal, navíc si myslím, že to netahaly najednou, ale náhodně, jak se kdo připojoval a tak (a navíc určitě né plnou rychlostí lajny). Jedině instalace probíhala najednou a to nemá na síť vliv.

ad 4: Když by se rozjel AD, tak pro sambu už nebude místo, není důvod jí nasazovat, když vše jede a na vše je licence. Navíc to k tomu AD směřuje velkým tempem, kvůli BlackBerry jsme nuceni použít jako nový mailový server exchange, takže kompletní MS řešení se rychle blíží :-/. Jinak samba 4, která už slušně zvládá simulaci AD je stále jako vývojová verze, což bych si asi moc nelajznul, nasadit to do firmy :-/.
Zdar Max

[Ladislav Jancik]

Pořád by ještě k BlackBerry šlo nasadit Lotus Domino na Linuxu od IBM - cena bude podobná a robustnost daleko větší než MS Exchange. Nechej si udělat nabídku a uvidíš :)).

[Max]

Vím, a ještě GroupWise od Novellu. Ani nevím, tak nějak se předpokládalo, že bude Lotus Domino dražší a této otázky se hlavně ujal kolega a už je to, řekl bych, v nevratné fázy ... :-/
Zdar Max
PS: ale nabídku si schválně nechám udělat a uvidíme ...

[Max]

Tak jsem se poptal a levněji to rozhodně nevyjde. Pokud se půjde do express licencí, čímž máš server zadara a můžeš jich mít kolich chceš (jen nejdou do clusteru a ještě nějaké drobnosti + omezení na 1000 klientů), tak zaplatíš 134EU za klienta, popř. 109EU když přecházíš z jiného messagingu. Když bychom počítali druhou variantu, tak při 250klientech jsme nějkde na 720 000,-Kč. S Exchangem jsi na 400 000,-Kč. Samozřejmě u exchange nepočítám licence na Outlook, jelikož office má celá firma a v tom bude asi ten brouk. Kdyby se měla brát i cena za Outlook, tak by to asi vyšlo cenově stejně. Takže Exchange jde k nám :-/
Zdar Max
PS: je Lotus opravdu takový moloch, jak se říká? Koukal jsem na trial verzi klienta (Lotus Notes) a ten má přes 400MiB, to snad ani nejni možný :-/

[washeck]

Když už jsi udělal anketu jako checkboxy, tak jsem ti zaškrtl jak "Jsi trubka, takto to dělají jen amatéři", tak "A jo, celkem se ti to povedlo". Ono je tam toho od každého trochu :) Jinak pěkný blogpost. IE7 bych se vyvaroval, způsobuje záhadné problémy, které by člověk nečekal, a to i u MS produktů (třeba v MOM 2003 přestanou fungovat některá okna využívající engine IE).

Teď už dlouho admina nedělám, ale dřív se mi po pár špatných zkušenostech osvědčilo dát uživatelům vědět i při zásazích, které jsou 100% bezpečné. Když to projde dobře, mají pocit, že svou práci zvládáš, když ne, nevyděsí se, co se stalo a rovnou ti zavolají.

[washeck]

Jo, a ještě zkus zapracovat na češtině - zejména doporučuju zaměřit se na shodu podmětu s přísudkem :)

[Max]

Hmm, tak upsat se může kdokoli, ne? :D Nahlaš brouka a já to opravím :D
Zdar Max

[washeck]

Nic ve zlým, taky dělám chyby, ale některé věci mě trkly: fázy, psychycká příprava, uživatelé by potom měly pocit

[Max]

Pravda, když na to koukám, tak se stydím. Měl jsem si to po sobě pořádně přečíst.
Zdar Max