フェールオーバークラスター WSUS運用に関して

質問

Win2k8R2サーバ2台によるフェールオーバークラスター環境でファイルサーバを構築しておりますが、
WSUSを追加機能として検討しております。
マイクロソフトと接続するサーバは別に1台用意し、そのサーバー経由でアップデートを実施したいと
考えております。
クラスターサーバでの運用は問題ないでしょうか？
懸念事項があればご指摘頂きたいと思います。

回答No.3

maesen · ベストアンサー

コストを掛けずに行うのはなかなか難しい話ですね。

Windows Serverをプロキシサーバとして機能させるには標準機能では出来ないので、
マイクロソフト製品ではForefront TMG 2010（旧バージョンならISA 2006）が必要、
またはサードパーティ製のプロキシサーバソフトが必要になります。

ちなみにForefront TMG 2010 Standard Editionの価格は標準価格で252,000 円になります。

また、プロキシサーバの導入自体はセキュリティの強化の方向に向かうのでいいのでが、ドメインコントローラ（以下、DC）をプロキシサーバと兼用させるこは問題が多いと思いますので私なら避けたいところです。

＞（当初30GBをアップデート用）現在はデータを消したりして、何とかやりくりしていました。そこで、新規に入れたクラスターファイルサーバの容量が結構な余裕があったので有効利用することでファイルサーバに兼用させようと一度は考えましたが外部接続は危険なので既存のWSUSサーバ経由で新規WSUS（ファイルサーバ）で行おうと考えていました。
先の回答でも言いましたが、アップストリーム・ダウンストリームの関係にするのならば既存と新規でディスク容量は同じだけ必要なので、だましだましで使っているにしても既存にその容量が確保出来るのならば新規WSUSを追加する意味は無いといっていいでしょう。

ネットワーク構成などわかりませんですが、ドメインコントローラはインターネットに接続していて、ファイルサーバは接続が危険というのはちょっと理解出来ないのですが。
通信の関するセキュリティはファイアウォールなどのゲートウェイ側で担保することだと思います。

それで取り得る選択としては、

1.WSUS用に新規サーバを導入する
2.既存WSUSにHDDを増設する（新規WSUSは導入しない）
3.DC(既存WSUSが搭載されている)にForefront TMG 2010を導入する
4.DC(既存WSUSが搭載されている)にサードパーティ製Proxyソフトを導入する
5.DC(既存WSUSが搭載されている)にフリーソフトのProxyソフトを導入する
6.既存WSUSのHDDはそのままで不要なデータの削除などで頑張る（新規WSUSは導入しない）
7.クラスタActiveに新規WSUSを導入しインターネットに接続出来るようにする（既存WSUSは削除）

コストが人件費以外にかからないのは5,6,7ですが、5のフリーソフトはちょっと気持ち悪いですね。

＞既存のサーバをプロキシとして使用することも視野に入れたいと思います。その場合、済みません、MS側のWSUSとの同期方法として、どのような手法があるのでしょうか？お手数ですが、その点をお聞かせいただけると幸いです。

設定はWSUSの同期オプションでプロキシ経由で接続するようにするだけです。

http://technet.microsoft.com/ja-jp/updatemanagement/bb245863

お礼

ご連絡遅くなり申し訳ございません。
PCの調子が悪くなり、バタバタしておりました。
ご返答に対し非常に参考になりました。
方向性も改めて検討できました。
結局、既存のサーバにディスクを追加することに
なりそうです。（一番リスクがないため）
いつも、早くご返答を頂き本当にありがとうございます。
また、何かございましたらお知恵を頂けると幸いです。

回答No.2

maesen

＞経緯を少し補足しますと、元々ドメインサーバとWSUSUを兼用していたのですが、ここの所アップデート容量が大きくなり、既存のディスクできつくなったので、

アップストリームとダウンストリームはWSUSの負荷分散やネットワークトラフィックの抑止ですので、データとしてはどのサーバも同じ容量がディスク上に必要になります。

そのため、既存WSUSサーバのディスク容量に問題があるのならば、そもそもこの構成で既存WSUSを生かすのは難しいと思います。

WSUSの通信はhttpなので、単純にMicrosoft側のWSUSとの同期をドメインコントローラを経由するのならばhttpプロキシを構成するというのが考えられますが、これはなんか違うような気がします。

新規WSUSがMicrosoft側と同期する単一のWSUSで良いような気がするのですが、
新規WSUSが直接インターネットに出ることが出来ないなどの制限などがあるのでしょうか？

＞やはりクラスターはサポートしていない様なので、まずはアクティブ側にインストールし、万が一フェールオーバした際は再度設定しよと考えていますが・・・。その手法が取れれば運用でカバーできるかと。

アクティブ側のみにインストールという構成はたぶん問題ないと思われます。
また障害時の対応ですが、先の回答でも触れましたが、Microsoft Updateは基本月例のアップデートなので最悪一か月以内に復旧出来ればいいという考え方もあると思います。

補足

ご返答頂き誠にありがとうございます。
まず、新規WSUSサーバとは既存のクラスターファイルサーバを指しておりました。
一部の用途でのお話で話がよくわからないと思われます。
私も、まだまだ勉強中の身なので上手く説明できず済みません。
全体のお話としては、発端のお話としては、既存のWSUSサーバの容量が小さくなった来たので、別なWSUSサーバを立てる計画がありました。
（当初30GBをアップデート用）現在はデータを消したりして、何とかやりくりしていました。そこで、新規に入れたクラスターファイルサーバの容量が結構な余裕があったので有効利用することでファイルサーバに兼用させようと一度は考えましたが外部接続は危険なので
既存のWSUSサーバ経由で新規WSUS（ファイルサーバ）で行おうと考えていました。
あまり、効率的には良いとは思いませんが、既存のWSUSUのディスクをやりくりした場合、既存のサーバをプロキシとして使用することも視野に入れたいと思います。その場合、済みません、MS側のWSUSとの同期方法として、どのような手法があるのでしょうか？お手数ですが、その点をお聞かせいただけると幸いです。

よって、外部接続をせず経由でアップデータを保存し配布させようと思っておりました。

回答No.1

maesen

実際に出来るかどうかは申し訳ないですがわからないのですが、（ちゃんとWSUSのサービスがフェールオーバするのか）
展開シナリオにはWSUS自身をフェールオーバークラスタにのせる構成はないですね。

http://technet.microsoft.com/ja-jp/library/dd939896(WS.10).aspx

あるのは、WSUS本体をNLBにして、データベース部分をフェールオーバークラスタにする構成のようです。

いずれにしてもWSUSの内蔵データベースはクラスタ化に出来ないので別途SQL Serverのライセンスが必要になりますがこれは問題にならないでしょうか？

要件がわかってないので勝手なことを言いますが、WSUSはそれほどSLAを高くする必要がないサービスだと思うのでコストを掛けてクラスタ化するまでもないような気がします。

＞マイクロソフトと接続するサーバは別に1台用意し、そのサーバー経由でアップデートを実施したいと考えております

別に用意するWSUSサーバと、クライアントに配布する用のWSUSサーバが通信出来るのであれば、アップストリームサーバとダウンストリームサーバの関係にすれば問題ないです。
通信できなければ、
http://technet.microsoft.com/ja-jp/library/dd939873(WS.10).aspx
エクスポート・インポートでパッチデータを取得する必要があります。

補足

ご回答ありがとございます。
経緯を少し補足しますと、元々ドメインサーバとWSUSUを兼用していたのですが、ここの所アップデート容量が大きくなり、既存のディスクできつくなったので、クラスター構成のファイルサーバに機能を追加しようと考えたのです。（既設WSUSサーバ＝経由とはこの意味です）。やはりクラスターはサポートしていない様なので、まずはアクティブ側にインストールし、万が一フェールオーバした際は再度設定しよと考えていますが・・・。その手法が取れれば運用でカバーできるかと。まずは、それは置いておいて、ご指摘のアップストリーム（既設WSUSU）とダウンストリーム（新規WSUS)の関係で宜しいでしょうか？まずは、それを検討したいと思います。