|
WSUS服务器允许客户端计算机或下游WSUS服务器通过SSL进行身份验证，或者通过SSL加密它们之间更新元数据的通 讯。注意只是加密更新元数据，WSUS服务器并不会加密更新文件。同步期间，客户端计算机或者下游WSUS服务器将元数据和更新文件通过不 同的服务端口从上游WSUS服务器进行同步，这也是Microsoft Update补丁分发的方式。 我们在部署与规划一文中已经提到过，每一个完成的更新程序包含两部分：元数据和更新文件。 元数据只是提供有关更新的信息，体积往往远小于更新文件，微软只是对元数据的通讯进行加密；但是，微软通过对于每一个更新文件进行散列值计算，并将此散列 值跟随元数据通讯一起进行加密传输，从而确保所下载的更新文件的完整性。 在部署WSUS使用SSL时，你需要考虑以下两点：
部署WSUS服务器使用SSL的过程非常简单，你只需要在WSUS服务器上安装证 书并配置IIS要求进行加密通信，然后将客户端计算机和下游WSUS服务器配置为信任此WSUS服务器的服务器证书并访问WSUS服务器的SSL服务即 可。但是部署WSUS服务器使用SSL时，WSUS服务器需要两个端口来提供服务：一个端口用于提供加密元数据的HTTPS服务；一个端口用于提供未加密 的更新文件下载的HTTP服务。当你在IIS中配置使用证书时，请一定要记住以下四点： 1、不能将整个WSUS Web站点都设置为需要SSL。这意味着 和WSUS Web站点的所有通讯都会进行加密，但是WSUS只会加密元数据通讯，这样当客户端计算机或者下游WSUS服务器试图向WSUS服务器下载更新文件时，由 于没有用于提供HTTP下载服务的端口，下载将失败； 2、为了确保WSUS Web站点的安全，你需要对以下虚拟目录配置为要求SSL连接：
但是为了让WSUS正常工作，你不能对以下虚拟目录要求SSL连接：
3、你可以配置IIS在任意端口上使用SSL，但是，HTTP通讯的端口是根据你的 SSL端口来进行设置的：
4、在配置WSUS服务器采用SSL连接之后，你需要告知客户端计算机或者下游WSUS服务器使用SSL连接和此WSUS 服务器进行通讯。对于客户端计算机的告知是通过修改应用到客户端计算机的组策略中的Intranet更新服务位置来实现；而对于下游WSUS服务器的告 知，则是通过修改其同步选项来实现。另外，你需要考虑以下重要事项：
配置WSUS Web站点使用SSL 首先需要为WSUS Web站点安装服务器证书。在Internet信息服务管理控制台中，展开本地计算机 下的网站，然后右击WSUS Web站点（在此是默认网站），选择属 性，然后点击目录安全性标签，你可以看到，此Web站点尚 未安装证书，所以查看证书按钮不可用的。点击服务器证书按钮；
在弹出的欢迎使用Web服务器证书向导页，点击下一步； 在服务器证书页，选择新建证书，点击下一步；
在延迟或立即请求页，选择立即将证书请求发送到联机证书颁发机构，点击下一步；
在名称和安全性设置页，输入新证书的名称。在此我输入名称为WSUS Web Site，接 受默认的密钥位长1024，点击下一步；
在单位信息页，输入你的单位和部门信息，点击下一步；
在站点公用名称页，输入用于访问WSUS Web站点的域名。在此我的域名是wsus.winsvr.org， 输入后点击下一步；
在地理信息页，输入你的地理位置信息，点击下一步；
在SSL 端口页，指定使用的SSL端口，在此我接受默认的标准端口443，点击下一步；
在选择证书颁发机构页，选择处理此证书请求的证书颁发机构，点击下一步；
在证书请求提交页，回顾你输入的信息，点击下一步；
在完成 Web 服务器证书向导页，提醒你证书已经成功安装，点击完成。
现在，目录安全性标签上的查看 证书按钮变得可用了，点击查看证书按钮可以查看绑定到此Web站点的服务器验证证书的详细信息，如下图所示：
点击确定按钮关 闭Web站点属性对话框。
现在，我们需要配置IIS对以下五个虚拟目录设置使用SSL连接：
首先，在 IIS管理控制台中右击WSUS Web站点下的虚拟目录SimpleAuthWebService，选择属 性，然后点击目录安全性标签，最后点击安全通信框架中的编辑按钮；
在弹出的安全通信对话框上，勾选要求安全通信（SSL）和要求 128 位加密， 然后两次点击确定返回Internet信息服务管理控制台；
重复以上操作设置其他四个虚拟目录要求SSL，在WSUS服务器端的配置就完成了。 (责任编辑：admin) |
