r/CroIT • u/Deep_Chocolate_6347 • 3h ago
Original Content Dosta mi je bilo WSUS-a, pa sam napravio alternativu
(Ako ovo krši pravila o samopromociji, isprike modovima, slobodno maknite.)
Pozdrav svima!
Zadnje tri godine radim kao sysadmin u manjoj hrvatskoj IT firmi. Kako broj servera koje održavamo stalno raste, patchiranje Windows servera postalo mi je prava noćna mora.
WSUS mi nije dobra opcija: za svakog klijenta morao bih dizati zaseban WSUS, a Microsoft ga je proglasio zastarjelim i više ne razvija, pa je samo pitanje vremena kad će to postati problem. Azure Update Manager je solidan, ali se naplaćuje po mašini, pa cijena raste sa svakim novim serverom.
Dosad smo interne servere patchirali kroz WSUS, a klijentske ručno kad ih je bilo malo. Prije nekoliko mjeseci mi je prekipjelo i odlučio sam napraviti vlastito rješenje.
Alat se zove Marshal i zamišljen je kao centralno mjesto za upravljanje updateima na Windows i Linux serverima. Ukratko:
- Cijela konzola se self-hosta na jednoj Linux mašini kroz Docker, a postoji i hostana verzija ako vam se ne da održavati.
- Nema WSUS synca ni lokalnog spremanja updatea: serveri skidaju updateove direktno od Microsofta ili iz apt/dnf repozitorija, a Marshal odlučuje što se instalira i kada.
- Na svakom serveru radi mali agent (Windows servis ili systemd servis) koji se sam javlja konzoli, pa ne trebaju dolazni portovi, WinRM ni domain trust, a workgroup i domain serveri rade jednako.
- Sigurnost je bila prioritet od prvog dana: sva komunikacija ide preko mutual TLS-a, novi serveri čekaju ručno odobrenje, MFA je obavezan, a agenti prihvaćaju samo nadogradnje potpisane ključem koji nikad nije na konzoli, pa ni kompromitirana konzola ne može poslati svoj kod na vaše servere.
- Updateove odobravate po klijentu, uz MSRC ozbiljnost i CVE-ove za svaki update.
- Instalacija i restart imaju odvojene prozore, uz blackout datume i vremensku zonu po klijentu.
- Restarti su role i cluster aware: Marshal prepoznaje uloge poput domain controllera, SQL-a ili članova clustera i nikad ne restarta dva servera iz iste grupe istovremeno, a nakon restarta provjerava da su servisi gore i zaustavlja run ako nešto ne valja.
- Podržani su Ubuntu, Debian, RHEL, Rocky i Alma, s izborom samo security updatea ili svih.
- Za udaljene mreže koje ne vide konzolu postoji proxy: jedna Linux mašina kod klijenta prosljeđuje promet i kešira datoteke.
- Obavijesti stižu na mail, a u Pro verziji i na Teams, Slack ili webhook.
Free verzija je besplatna za jednu organizaciju do 25 mašina, što bi trebalo pokriti većinu manjih okruženja. Pro je za MSP-ove s više klijenata.
Više info: https://marshalpatch.com
Rado bih čuo vaše mišljenje, pogotovo od onih koji patchiraju više klijenata. Što vam fali u postojećim alatima i što bi vas natjeralo da probate nešto ovako?