Windows Server Update Management (WUfB ve WSUS Hibrit) Modeli

Windows Server Update Management, kurum içindeki sunucular ve istemciler için güvenlik yamalarını, sürücü güncellemelerini ve özellik güncellemelerini merkezi olarak yönetmeyi sağlar. Özellikle Windows Update for Business (WUfB) ve Windows Server Update Services (WSUS) hibrit modeli, hem bulut hem de on-premises ortamları aynı anda kontrol etme esnekliği sunar. Bu yazıda, hibrit modelin mimarisini, avantajlarını ve yapılandırma adımlarını detaylı biçimde ele alıyoruz.

WUfB ve WSUS Arasındaki Fark Nedir?

• WSUS: Kurum içi (on-premises) sunucu tabanlı bir çözüm olup, güncellemeleri Microsoft’tan indirir ve istemcilere dağıtır. Tam kontrol ve raporlama sağlar.
• WUfB (Windows Update for Business): Microsoft’un bulut tabanlı güncelleme yönetim sistemidir. Güncellemeler doğrudan Microsoft Update servisinden alınır, politikalar Intune veya Group Policy ile yönetilir.

Hibrit model, her iki çözümün avantajlarını bir araya getirir: WSUS’un merkezi kontrolü + WUfB’nin esnek bulut bağlantısı.

Hibrit Güncelleme Mimarisi

Hibrit modelde, cihazlar WSUS üzerinden yönetilirken bazı gruplar (örneğin dizüstü veya uzak kullanıcılar) WUfB ile doğrudan Microsoft’tan güncelleme alabilir. Böylece:

• Kurumsal LAN üzerindeki cihazlar WSUS’tan güncellemeleri çeker.
• VPN veya dış ağ kullanıcıları WUfB ile Microsoft Update’e bağlanır.
• Her iki kanal da tek bir GPO veya Intune politikasıyla yönetilebilir.

Temel Bileşenler

• WSUS Sunucusu: Güncellemeleri indirir, onaylar ve istemcilere dağıtır.
• Group Policy (GPO): Cihazların WSUS veya WUfB’ye yönlendirilmesini belirler.
• Windows Update for Business Policy: Azure AD veya Intune üzerinden WUfB yapılandırmasını sağlar.
• Delivery Optimization: Aynı ağdaki cihazlar arasında güncelleme paylaşımı sağlar (P2P).

Adım 1 — WSUS Sunucusunun Kurulumu

Install-WindowsFeature -Name UpdateServices -IncludeManagementTools

Kurulumdan sonra “Post-Installation Tasks” sihirbazı ile WSUS veritabanı ve içerik dizini tanımlanır.

WSUS Senkronizasyon Ayarları

• “Products and Classifications” bölümünden yalnızca gerekli ürünleri (örnek: Windows Server 2019, Windows 11) seçin.
• “Languages” kısmında yalnızca kullanılan dilleri seçin.
• “Sync Schedule” ile günlük otomatik senkronizasyon planlayın.

Adım 2 — WUfB Politikalarının Yapılandırılması

WUfB, Intune veya Group Policy üzerinden yönetilebilir. Intune tercih edildiğinde cihazlar doğrudan Microsoft Update’e bağlanır.

Intune Üzerinden (Azure AD Joined Cihazlar)

• Intune → Devices → Windows Update Rings → Create profile
• “Servicing channel”: Semi-Annual Channel
• “Quality updates deferral”: 7 days (örnek)
• “Feature updates deferral”: 30 days
• “Deadline for restart”: 3 days

Group Policy Üzerinden (Domain-Joined Cihazlar)

Computer Configuration → Administrative Templates → Windows Components → Windows Update → Windows Update for Business

“Select when Preview Builds and Feature Updates are received” ayarını yapılandırarak cihazların güncelleme kanalını belirleyin.

Adım 3 — Hibrit Politika Kurgusu

Hibrit modelde, WSUS ve WUfB cihazları farklı OU’larda (organizasyon birimlerinde) tanımlanır:

• OU-WSUS: LAN’daki cihazlar, WSUS’a yönlendirilir.
• OU-WUfB: Dış ağ kullanıcıları, Microsoft Update’e yönlendirilir.

Computer Configuration → Administrative Templates → Windows Components → Windows Update
Specify intranet Microsoft update service location:
http://wsus.domain.local:8530

WUfB grubundaki cihazlarda bu ayar boş bırakılır; bu cihazlar doğrudan Microsoft Update ile iletişim kurar.

Adım 4 — Delivery Optimization (DO) Etkinleştirme

Delivery Optimization, istemcilerin güncellemeleri birbirleriyle paylaşmasını sağlar. Bu özellik özellikle bant genişliği sınırlı ortamlarda avantaj sağlar.

Computer Configuration → Administrative Templates → Windows Components → Delivery Optimization
Download Mode: LAN (1)

Adım 5 — Güncellemelerin Raporlanması

• WSUS Konsolu üzerinden “Reports → Update Status Summary” raporlarını alın.
• Intune’da “Update Compliance” raporlarını Azure Log Analytics üzerinden görüntüleyin.
• Event Viewer: Microsoft-Windows-WindowsUpdateClient/Operational loglarını izleyin.

Avantajlar

• WSUS’un merkezi kontrolü + WUfB’nin esnek bulut bağlantısı
• VPN veya uzak kullanıcılar için optimize edilmiş güncelleme trafiği
• Yönetim yükünü azaltan otomatik policy senkronizasyonu
• Raporlama ve uyumluluk takibinde tam görünürlük

Güvenlik ve Uyumluluk Önerileri

• WSUS sunucusunda TLS 1.2 zorunlu hale getirin.
• WUfB cihazlarında güncelleme erteleme sürelerini 30 günün altında tutun.
• “Auto-restart” özelliğini devre dışı bırakmayın — güvenlik yamalarının zamanında uygulanması gerekir.
• Kurumsal Hosting altyapısında güncelleme test ortamı kurarak yeni yamaları üretime geçmeden önce doğrulayın.

Sonuç

Windows Server Update Management’ta hibrit model, modern BT altyapılarında güvenli ve esnek bir güncelleme yönetimi sunar. WSUS’un yerel denetim gücü ile WUfB’nin bulut tabanlı ölçeklenebilirliği birleştiğinde, hem kurumsal cihazlar hem de mobil kullanıcılar kesintisiz güncel kalır. HostLigo Premium VDS ve Sunucu Barındırma altyapıları, bu modelin en yüksek performansla çalışmasını sağlar.