Как отключить все обновления на Windows 10?
В данной статье вы узнаете как быстро отключить все обновления на Windows 10 и Windows 7, я постараюсь описать все варианты какие доступны на 2021 год начиная от отключения обновления виндовс одной кнопкой и заканчивая сложными вариантами на уровне реестра и GPO, а также рассмотрим отключение обновление в сети сразу на всех компьютерах через групповые политики.
В свете последних событий когда Микрософт выпустил мартовские обновления KB5000802 и KB5000808 и после отправки на печать у вас компьютер перезагружается с синим экраном в больших компаниях судя по паники которая творится у меня на блоге с вопросами и комментариями очень сильно нагрузило ИТ отделы. Все бы ничего, но после удаления данных обновлений они снова скачиваются и уже на след день картинка такая же.
Главная задана на сегодняшний день это отменить или запретить установку обновлений KB5000802 и KB5000808 которые после удаления ставятся снова и компьютер так же начинает перезагружаться при отправки на печать. В моей ситуации у меня Windows 10 PRO и сервер Windows server 2012
Единственное что сейчас можно сделать это полностью отключить обновление на windows 10 и давайте освежим память как это можно сделать быстро и без больших трудозатрат.
Как отключить обновления на windows
Так как статья называется и посвящена отключение обновлений, мы будет рассматривать не только windows 10, но и windows 7, но про него мы будем говорить в самом конце и то чуть-чуть. Для того чтобы полностью отключить автоматическое обновление или отложить установку обновлений на Windows 10 мы разобьем на несколько вариантов, т.к. вариантов в отключением досточно много и которые под разные задачи.
Корректное отключение обновления Windows 10
Здесь не будет рассматриваться моральная сторона вопроса о том, нужно ли отключать автоматическое обновление, это каждый решает сам. Однако возможность выбора всё же должна быть, так как бывают ситуации, когда обновления приносят больше вреда, чем пользы. До сих пор я не видел корректных способов отключить автообновление на Windows 10 стандартными средствами, без запрета доступа к файлам службы обновления, поэтому придумал свой.
Состоит он из указания локального несуществующего сервера обновлений WSUS, к которому служба обновлений будет безуспешно подключаться. Для настройки нужно запустить редактор локальной групповой политики gpedit.msc и открыть следующий раздел:
Дальше все настройки указываются здесь, нам нужно задать три параметра:
Состояние устанавливаем в положение Включено, адрес службы обновлений и сервера статистики пишем localhost. Этой настройкой мы указываем системе искать обновления не в интернете, а на локальном компьютере, где их нет.
Состояние устанавливаем в положение Включено. Этой настройкой мы запрещаем получать информацию от общедоступной службы обновления Windows.
Состояние устанавливаем в положение Отключено. Этот пункт выполнять не обязательно, он только отключает автоматические периодические проверки обновлений.
Те же самые пункты твиками
Эти твики предназначены для применения на чистой системе, так как развелось много программ, блокирующих обновления принудительным отключением служб, запретом прав доступа, правкой hosts или другим вредительством. Разумеется, что разрешить обновления твиком при стороннем вмешательстве не выйдет, для этого вам сначала нужно привести систему в порядок и отменить изменения, проделанные сторонними программами.
Так можно без дополнительных программ включать и отключать автоматическое обновление Windows 10 по необходимости.
Дополнение
Скрипт для включения групповой политики в Win10 Home.
Корректное отключение обновления Windows 10 : 57 комментариев
В статью добавлены готовые твики для отключения и включения обновлений.
simplix, спасибо большое за готовый комплект.
Респект!
Кстати сделал тульчик по вашего скрипта — WinUpdatesSimplix
Если не понравился удалите.
Извините, сторонних ссылок не будет.
А от имени администратора запускать достаточно? Возможен ли вариант самовключения обновлении с времени?
Зачем мне сторонняя прога? Для себя я решил этот вопрос. «Одной» кнопкой. ) Решение, что появилось в шапке: в своих попытках — пробовал. Смутило то, что в настройках Групповых политик ничего не менялось.
Что касается решения для себя — так ничего сверхъестественного, просто не универсальное оно. Поскольку не знаю, как в «registry.pol» дать команду на возврат к предыдущему состоянию (а не получить просто пустое), то пришлось в промежутке скидывать настройки GPO по умолчанию.
Ну, и размещение того, что сделал — жёстко привязано. Т.е., для ознакомления могу выложить, но применять каждому «как есть» — вряд-ли допустимо. Там ведь будут только мои настройки…
Золотой ты человек!
В описании «Указать размещение службы обновлений Майкрософт в интрасети» есть текст: «Примечание. Если политика «Настройка автоматического обновления» отключена, то эта политика не действует.» Значит, «Настройка автоматического обновления» следует оставить в положении «Не задано». И в твике отключения удалить строку *»NoAutoUpdate»=dword:00000001*.
Добавлю твики, основанные на официальных инструкциях Microsoft, с учётом вышеописанного и протестированные на Windows 10 21H1
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
«DoNotConnectToWindowsUpdateInternetLocations»=dword:00000001
«DisableWindowsUpdateAccess»=dword:00000001
«WUServer»=»localhost»
«WUStatusServer»=»localhost»
«UpdateServiceUrlAlternate»=»localhost»
Windows Registry Editor Version 5.00
Верхние кавычки при отправке превратились в боковые и неправильные. Будьте внимательны!
Приветствую. А как это же сделать, только для W10 Home?
simplix, спасибо за твик! Версия 1903. твик применял во время установки с помощью оем папок. До этого приходилось отключать службы + в планировщике, а тут оказалось все проще)
По поводу антивирусника: одним параметром политики тут не обойдешься- типа
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender]
«DisableAntiSpyware»=dword:00000001
При запуске винды — защитник удаляет параметр «DisableAntiSpyware» в реестре, а за одно еще и батник съел) была заготовочка не большая))) Сам я недавно на 10-ку перешел. С помощью одной проги уточнил, что за службы она выключает по отключению антивирусника. Вот они:
WinDefend — Антивирусная программа «Защитника Windows»
WdFilter — Драйвер мини-фильтра Windows Defender Antivirus
WdNisDrv — Системный драйвер проверки сети Windows Defender Antivirus
WdNisSvc — Служба проверки сети Windows Defender Antivirus
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender]
«DisableAntiSpyware»=dword:00000001
«DisableAntiVirus»=dword:00000001
***
Планировщик заданий — без изменений. по этому отключим задачи защитника…
Установка и настройка сервера обновлений WSUS
Windows Server Update Services или WSUS предназначен для распространения обновлений внутри сети. Он позволит скачивать все пакеты для их установки на один сервер и распространять данные пакеты по локальной сети. Это ускорит процесс получения самих обновлений, а также даст администратору контроль над процессом их установки.
В данной инструкции мы рассмотрим пример установки и настройки WSUS на Windows Server 2012 R2.
Перед установкой
Рекомендуется выполнить следующие действия, прежде чем начать установку WSUS:
-
.
- Настраиваем статический IP-адрес.
- При необходимости, добавляем компьютер в домен.
- Устанавливаем все обновления Windows.
Также нужно убедиться, что на сервере достаточно дискового пространства. Под WSUS нужно много места — в среднем, за 2 года использования, может быть израсходовано около 1 Тб. Хотя, это все условно и, во многом, зависит от количества программных продуктов, которые нужно обновлять и как часто выполнять чистку сервера от устаревших данных.
Установка роли
Установка WSUS устанавливается как роль Windows Server. Для начала запускаем Диспетчер серверов:
В правой части открытого окна нажимаем Управление — Добавить роли и компоненты:
На странице приветствия просто нажимаем Далее (также можно установить галочку Пропускать эту страницу по умолчанию):
На следующей странице оставляем переключатель в положении Установка ролей или компонентов:
Далее выбираем сервер из списка, на который будем ставить WSUS:
В окне «Выбор ролей сервера» ставим галочку Службы Windows Server Update Services — в открывшемся окне (если оно появится) нажимаем Добавить компоненты:
Среди компонентов оставляем все по умолчанию и нажимаем Далее:
Мастер запустит предварительную настройку служб обновления — нажимаем Далее:
Среди ролей службы можно оставить галочки, выставленные по умолчанию:
Прописываем путь, где WSUS будет хранить файлы обновлений:
* в нашем примере был прописан путь C:\WSUS Updates. Обновления нужно хранить на разделе с достаточным объемом памяти.
Запустится настройка роли IIS — просто нажимаем Далее:
Среди служб ролей оставляем все галочки по умолчанию и нажимаем Далее:
В последнем окне проверяем сводную информацию о всех компонентах, которые будут установлены на сервер и нажимаем Установить:
Процесс установки занимаем несколько минут. После завершения можно закрыть окно:
Установка роли WSUS завершена.
Первый запуск и настройка WSUS
После установки наш сервер еще не готов к работе и требуется его первичная настройка. Она выполняется с помощью мастера.
В диспетчере сервера кликаем по Средства — Службы Windows Server Update Services:
При первом запуске запустится мастер завершения установки. В нем нужно подтвердить путь, по которому мы хотим хранить файлы обновлений. Кликаем по Выполнить:
. и ждем завершения настройки:
Откроется стартовое окно мастера настройки WSUS — идем далее:
На следующей странице нажимаем Далее (при желании, можно принять участие в улучшении качества продуктов Microsoft):
Далее настраиваем источник обновлений для нашего сервера. Это может быть центр обновлений Microsoft или другой наш WSUS, установленный ранее:
* в нашем примере установка будет выполняться из центра Microsoft. На данном этапе можно сделать сервер подчиненным, синхронизируя обновления с другим WSUS.
Если в нашей сети используется прокси-сервер, задаем настройки:
* в нашем примере прокси-сервер не используется.
Для первичной настройки WSUS должен проверить подключение к серверу обновлений. Также будет загружен список актуальных обновлений. Нажимаем Начать подключение:
. и дожидаемся окончания процесса:
Выбираем языки программных продуктов, для которых будут скачиваться обновления:
Внимательно проходим по списку программных продуктов Microsoft и выбираем те, которые есть в нашей сети, и для который мы хотим устанавливать обновления:
* не стоит выбирать все программные продукты, так как на сервере может не хватить дискового пространства.
Выбираем классы обновлений, которые мы будем устанавливать на компьютеры:
* стоит воздержаться от установки обновлений, которые могут нанести вред, например, драйверы устройств в корпоративной среде не должны постоянно обновляться — желательно, чтобы данный процесс контролировался администратором.
Настраиваем синхронизацию обновлений. Желательно, чтобы она выполнялась в автоматическом режиме:
Мы завершили первичную настройку WSUS. При желании, можно установить галочку Запустить первоначальную синхронизацию:
После откроется консоль управления WSUS.
Завершение настройки сервера обновлений
Наш сервис установлен, настроен и запущен. Осталось несколько штрихов.
Установка Microsoft Report Viewer
Для просмотра отчетов, необходим компонент, который не ставится с WSUS. Для его установки нужно сначала зайти в установку ролей и компонентов:
. и среди компонентов на соответствующей странице выбираем .NET Framework 3.5:
Продолжаем установку и завершаем ее.
Для загрузки Microsoft Report Viewer переходим на страницу https://www.microsoft.com/ru-ru/download/details.aspx?id=45496 и скачиваем установочный пакет:
После выполняем установку приложения и перезапускаем консоль WSUS — отчеты будут доступны для просмотра.
Донастройка WSUS
Мастер установки предлагает выполнить большую часть настроек, но для полноценной работы необходимо несколько штрихов.
1. Группы компьютеров
При подключении новых компьютеров к серверу, они должны распределиться по группам. Группы позволят применять разные обновления к разным клиентам.
В консоли управления WSUS переходим в Компьютеры — кликаем правой кнопкой мыши по Все компьютеры и выбираем Добавить группу компьютеров. :
Вводим название для группы и повторяем действия для создания новой группы. В итоге получаем несколько групп, например:
2. Автоматические утверждения
После получения сервером обновлений, они не будут устанавливаться, пока системный администратор их не утвердит для установки. Чтобы не заниматься данной работой в ручном режиме, создадим правила утверждения обновлений.
В консоли управления WSUS переходим в раздел Параметры — Автоматические утверждения:
Кликаем по Создать правило:
У нас есть возможность комбинировать условия, при которых будут работать наши правила. Например, для созданных ранее групп компьютеров можно создать такие правила:
- Для тестовой группы применять все обновления сразу после их выхода.
- Для рабочих станций и серверов сразу устанавливать критические обновления.
- Для рабочих станций и серверов применять обновления спустя 7 дней.
- Для серверов устанавливать обновления безопасности по прошествии 3-х дней.
3. Добавление компьютеров в группы
Ранее, нами были созданы группы компьютеров. После данные группы использовались для настройки автоматического утверждения обновлений. Для автоматизации работы сервера осталось определить, как клиентские компьютеры будут добавляться в группы.
В консоли WSUS переходим в Параметры — Компьютеры:
Если мы хотим автоматизировать добавление компьютеров в группы, необходимо установить переключатель в положение Использовать на компьютерах групповую политику или параметры реестра:
Настройка клиентов
И так, наш сервер готов к работе. Клиентские компьютеры могут быть настроены в автоматическом режиме с помощью групповой политики Active Directory или вручную в реестре. Рассмотрим оба варианта. Также стоит отметить, что, как правило, проблем совместимости нет — WSUS сервер на Windows Server 2012 без проблем принимает запросы как от Windows 7, так и Windows 10. Приведенные ниже примеры настроек являются универсальными.
Групповая политика (GPO)
Открываем инструмент настройки групповой политики, создаем новые политики для разных групп компьютеров — в нашем примере:
- Для тестовой группы.
- Для серверов.
- Для рабочих станций.
Создаем GPO для соответствующих организационных юнитов. Открываем данные политики на редактирование и переходим по пути Конфигурация компьютера — Политики — Административные шаблоны — Компоненты Windows — Центр обновления Windows. Стоит настроить следующие политики:
| Название политики | Значение | Описание |
|---|---|---|
| Разрешить управлению электропитанием центра обновления Windows выводить систему из спящего режима для установки запланированных обновлений | Включить | Позволяет центру обновления выводить компьютер из спящего режима для установки обновлений. |
| Настройка автоматического обновления | Включить. Необходимо выбрать вариант установки, например, автоматическую. Также задаем день недели и время установки. Для серверов рекомендуется не устанавливать обновления автоматически, чтобы избежать перезагрузок. |
Позволяет определить, что нужно делать с обновлениями, как именно их ставить и когда. Обратите внимание, что Microsoft большую часть обновлений выпускает во вторник — используйте эту информацию, чтобы задать наиболее оптимальное время установки. |
| Указать размещение службы обновлений Microsoft в интрасети | Включить. Указать адрес сервера в формате веб ссылки, например, http://WSUS-SRV:8530 * |
Настройка говорит клиентам, на каком сервере искать обновления. |
| Разрешать пользователям, не являющимся администраторами получать уведомления об обновлениях | Включить | Позволяет предоставить информацию об устанавливаемых обновлениях всем пользователям. |
| Не выполнять автоматическую перезагрузку, если в системе работают пользователи | Включить | Позволит избежать ненужных перезагрузок компьютера во время работы пользователя. |
| Повторный запрос для перезагрузки при запланированных установках | Включить и выставить значение в минутах, например, 1440 | Если перезагрузка была отложена, необходимо повторить запрос. |
| Задержка перезагрузки при запланированных установках | Включить и выставить значение в минутах, например, 30 | Дает время перед перезагрузкой компьютера после установки обновлений. |
| Разрешить клиенту присоединяться к целевой группе | Включить и задать значение созданной в WSUS группе компьютеров: — Рабочие станции — Серверы — Тестовая группа |
Позволяет добавить наши компьютеры в соответствующую группу WSUS. |
* 8530 — сетевой порт, на котором по умолчанию слушает сервер WSUS. Уточнить его можно на стартовой странице консоли управления WSUS.
Ждем применения политик. Для ускорения процесса некоторые компьютеры можно перезагрузить вручную.
Настройка клиентов через реестр Windows
Как говорилось выше, мы можем вручную настроить компьютер на подключение к серверу обновлений WSUS.
Для этого запускаем редактор реестра и переходим по пути: HKEY_LOCAL_MACHINE\SOFTWARE\Polices\Microsoft\Windows\WindowsUpdate. Нам необходимо создать следующие ключи:
- WUServer, REG_SZ — указывает имя сервера, например, http://WSUS-SRV:8530
- WUStatusServer, REG_SZ — указывает имя сервера, например, http://WSUS-SRV:8530
- TargetGroupEnabled, REG_DWORD — значение 1
- TargetGroup, REG_DWORD — значение целевой группы, например, «Серверы».
Теперь переходим в раздел реестра HKEY_LOCAL_MACHINE\SOFTWARE\Polices\Microsoft\Windows\WindowsUpdate\AU. Если он отсутствует, создаем вручную. После нужно создать ключи:
- AUOptions, REG_DWORD — значение 2
- AutoInstallMinorUpdates, REG_DWORD — значение 0
- NoAutoUpdate, REG_DWORD — значение 0
- ScheduledInstallDay, REG_DWORD — значение 0
- ScheduledInstallTime, REG_DWORD — значение 3
- UseWUServer, REG_DWORD — значение 1
После перезагружаем компьютер. Чтобы форсировать запрос к серверу обновлений, на клиенте выполняем команду:
Автоматическая чистка WSUS
Как говорилось ранее, сервер WSUS очень требователен к дисковому пространству. Поэтому удаление устаревшей информации является критически важным этапом его администрирования.
Саму чистку можно сделать в панели управления сервером обновления в разделе Параметры — Мастер очистки сервера.
Также можно воспользоваться командлетом в Powershell Invoke-WsusServerCleanup — целиком команда будет такой:
Get-WSUSServer | Invoke-WsusServerCleanup -CleanupObsoleteComputers -CleanupObsoleteUpdates -CleanupUnneededContentFiles -CompressUpdates -DeclineExpiredUpdates -DeclineSupersededUpdates
Для автоматизации чистки создаем скрипт с расширением .ps1 и создаем задачу в планировщике. Чистку стоит делать раз в неделю.