Архитектура WSUS и симптомы 'Невидимых' клиентов

Вы развернули WSUS-сервер (Windows Server Update Services) и настроили групповые политики (GPO). Компьютеры успешно получают политики, пингуют сервер по порту 8530, но не появляются в консоли управления WSUS (раздел All Computers). В другом сценарии компьютеры "замещают" друг друга (в консоли появляется PC-01, но через минуту его заменяет PC-02, и общее число ПК не растет).

Почему возникает дублирование (SusClientId)?

Проблема возникает при развертывании рабочих станций из единого клонированного образа (VM Templates, Norton Ghost, Acronis, Clonezilla) без выполнения процедуры Sysprep с ключом /Generalize. Windows Update присваивает каждому ПК уникальный идентификатор (SusClientId). При клонировании этот ID копируется. В итоге сервер WSUS считает 100 разных компьютеров одним устройством, обновляя его статус по кругу.

Пошаговое дерево решений (Перерегистрация клиентов)

Сценарий 1: Скрипт полного сброса клиента (BAT / PowerShell)

Чтобы сервер WSUS увидел все ПК, необходимо удалить старые идентификаторы из реестра, очистить кэш скачанных апдейтов и заставить службу сгенерировать новый уникальный SusClientId.

net stop wuauserv
net stop BITS

REM Удаление старых идентификаторов в реестре
REG DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v PingID /f
REG DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientId /f
REG DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientIdValidation /f

REM Очистка кэша битых обновлений
rd /s /q "C:\Windows\SoftwareDistribution"

net start BITS
net start wuauserv

REM Форсирование новой регистрации на WSUS-сервере
wuauclt /resetauthorization /detectnow
usoclient startscan

Через 5-15 минут ПК сгенерирует новый ID, обратится к серверу и появится в консоли WSUS. Состояние 'Not Yet Reported' сменится на актуальный отчет об уязвимостях.

Сценарий 2: Диагностика сетевой доступности GPO

Если скрипт не помог, проверьте, применилась ли вообще политика с адресом WSUS.

1. Откройте реестр на клиенте: HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate.
2. Там должны быть ключи WUServer и WUStatusServer с правильным адресом вашего сервера (например, http://wsus.domain.local:8530).
3. Если ключей нет — проблема в >неработающих GPO (Событие 1058).

Типовые ошибки администраторов

• Использование только wuauclt: В Windows 10/11 и Server 2019+ старая утилита wuauclt.exe считается устаревшей и может игнорировать команды. Операционная система для инициации немедленного сканирования использует встроенный процесс usoclient.exe startscan. Обязательно добавляйте его в скрипты.