Tendo um problema com a parte do WSUS do SCCM 2012 não funcionando em agentes em nossa DMZ. Esses agentes têm certificados PKI da PKI interna e estão aparecendo no console como inventário ativo.
Porque muitas partes das funções do SCCM devem ser configuradas para HTTP ou HTTPS e não para ambas ao mesmo tempo:
1 - esses agentes estão em um limite que os atribui a um MP configurado para SSL. Painel de controle do agente mostra MP correto.
2 - esses agentes também estão em uma coleção com diferentes configurações de cliente para atribuir a eles um 8531 appcat.
SDCSCMP23 é o HTTP WSUS / Appcat / MP para agentes internos.
SDCSCMP25 é o SSL WSUS / Appcat / MP com certificados PKI para agentes DMZ
O problema é que o SCCM está configurando esses agentes para usar as partes HTTP da infraestrutura para o WSUS, e não as partes HTTPS. Por MS Doc, configurações de cliente devem atribuir automaticamente um appcat HTTPS antes de um HTTP, mas isso não estava acontecendo, então eu fiz minhas próprias configurações de cliente para atribuir o appcat HTTPS.
Basta modificar a configuração do firewall para permitir 443, 8531 para este outro servidor não é uma opção, porque esses servidores estão escutando em 80, 8530 (para agentes HTTP internos) não 443, 8531. Temos um requisito para usar apenas 443, 8531 para os agentes DMZ. Verifique se 443, 8531 estão abertos através do firewall para SDCSCMP25 dos agentes. Este é o SCCM 2012 SP1. Nós NÃO estamos designando servidores WSUS por meio do GPO.
Como obtenho o SCCM para atribuir os servidores WSUS corretos a esses agentes?
WUAHandler.log
Enabling WUA Managed server policy to use server: HTTP://SDCSCMP23.ACME.COM:8530
m_spSearchJobUpdateSearcher->EndSearch(m_spSearchJob, &spSearchResult), HRESULT=80072ee2 (e:\nts_sccm_release\sms\client\updatesmgmt\wuahandler\cwuahandler.cpp,3064) WUAHandler 4/11/2013 6:09:59 PM 1480 (0x05C8)
OnSearchComplete - Failed to end search job. Error = 0x80072ee2. WUAHandler 4/11/2013 6:09:59 PM 1480 (0x05C8)
Scan failed with error = 0x80072ee2. WUAHandler 4/11/2013 6:09:59 PM 1480 (0x05C8)
WindowsUpdate.log
2013-04-11 18:09:05:376 828 15fc Agent *********** Agent: Refreshing global settings cache ***********
2013-04-11 18:09:05:376 828 15fc Agent * WSUS server: HTTP://SDCSCMP23.ACME.COM:8530 (Changed)
2013-04-11 18:09:05:376 828 15fc Agent * WSUS status server: HTTP://SDCSCMP23.ACME.COM:8530 (Changed)
2013-04-11 18:09:35:641 828 1668 PT +++++++++++ PT: Synchronizing server updates +++++++++++
2013-04-11 18:09:35:641 828 1668 PT + ServiceId = {3DA21691-E39D-4DA6-8A4B-B43877BCB1B7}, Server URL = HTTP://SDCSCMP23.ACME.COM:8530/ClientWebService/client.asmx
2013-04-11 18:09:59:235 828 1668 Misc WARNING: Send failed with hr = 80072ee2.
2013-04-11 18:09:59:235 828 1668 Misc WARNING: SendRequest failed with hr = 80072ee2. Proxy List used: <(null)> Bypass List used : <(null)> Auth Schemes used : <>
2013-04-11 18:09:59:235 828 1668 PT + Last proxy send request failed with hr = 0x80072EE2, HTTP status code = 0
2013-04-11 18:09:59:235 828 1668 PT + Caller provided credentials = No
2013-04-11 18:09:59:235 828 1668 PT + Impersonate flags = 0
2013-04-11 18:09:59:235 828 1668 PT + Possible authorization schemes used =
2013-04-11 18:09:59:235 828 1668 PT WARNING: GetConfig failure, error = 0x80072EE2, soap client error = 5, soap error code = 0, HTTP status code = 200
2013-04-11 18:09:59:235 828 1668 PT WARNING: PTError: 0x80072ee2
2013-04-11 18:09:59:235 828 1668 PT WARNING: GetConfig_WithRecovery failed: 0x80072ee2
2013-04-11 18:09:59:235 828 1668 PT WARNING: RefreshConfig failed: 0x80072ee2
2013-04-11 18:09:59:235 828 1668 PT WARNING: RefreshPTState failed: 0x80072ee2
2013-04-11 18:09:59:235 828 1668 PT WARNING: Sync of Updates: 0x80072ee2
2013-04-11 18:09:59:235 828 1668 PT WARNING: SyncServerUpdatesInternal failed: 0x80072ee2
2013-04-11 18:09:59:235 828 1668 Agent * WARNING: Failed to synchronize, error = 0x80072EE2
2013-04-11 18:09:59:235 828 1668 Agent * WARNING: Exit code = 0x80072EE2
Parece-me que a questão principal aqui é a tentativa de configurar vários SUPs (um SSL, um não) dentro do site. Você só pode ter um Ponto de Atualização de Software (SUP) por site, e o SUP está habilitado para SSL ou não.
Eu vejo apenas duas opções possíveis: