Bonsoir,

J'ai eu la désagréable surprise aujourd’hui de découvrir que Microsoft avait coupé le "endpoint" de synchronisation pour WSUS 3.0 SP2 début 2022. Et à priori, cette version n'est pas compatible TLS 1.2, maintenant obligatoire pour se connecter aux serveurs... 

J'ai à tout hasard ajouté le support du TLS 1.2, et si ça fonctionne parfaitement sur IE ou windows update, WSUS s’obstine à se connecter en TLSv1... J'imagine qu'il utilise ses propres binaires et pas ceux du système.

Je me demande donc s'il existe un moyen pour le réactiver. J'ai essayé de mettre en place un proxy et si ça à l'air de marcher (je vois bien la connexion se faire) malheureusement ça coupe à l'échange des ciphers alors qu'avec IE, en laissant juste le TLSv1 activé, je peux naviguer sans problème sur le forum par ex. Dans la console j'ai le message Impossible d'établir une relation de confiance pour le canal sécurisé [...] Le certificat distant n'est pas valide selon la procédure de validation

J'ai pensé que ça pouvait venir du HSTS (aucune idée s'il est activé sur le serveur) sauf que d'après ce que j'ai lu, du moment qu'on importe le certificat du proxy dans Autorité de certification racine, normalement il ne devrait pas y avoir de problème, ce que semble confirmer le surf sans erreur (pas de message certificat invalide) ici même ainsi que google qui implémente aussi le HSTS je crois.

Du coup, je me demande si MS a mis une autre sécurité en place, car on peut de base renseigner un proxy, donc on pourrait s'attendre à ce que ça fonctionne, mais non. Ou alors c'est plus vicieux et ils ont explicitement bloqué cette version, bien que je trouve que la coupure de connexion intervient très tôt... ce qui me fait dire que c'est bien une histoire avec le certificat.

Si vous avez une idée, je sèche là...

Merci

Je veux le garder car c'est la dernière version qui peut mettre à jour les vieux systèmes, notamment 2000/XP sans au préalable installer manuellement quelques MAJ dessus (genre l'agent windows update). Je n'ai qu'à renseigner le serveur et toutes les MAJ arrivent sans rien faire.

Mais si je ne trouve pas de solution, il va de toute façon falloir que j'installe une version plus récente pour que je puisse le garder synchronisé ou pouvoir le réinstaller si nécessaire. Heureusement qu'on a encore la possibilité de les synchroniser entre eux. C'est d'ailleurs ce que recommande MS apparemment.

Oui, il est reconnu, c'est pas ça le problème.

Je parle d'un système vierge de toute MAJ (même SP3 je crois), il va falloir en installer quelques unes manuellement pour que ça puisse fonctionner. J'avais justement testé avec 2016 et ça ne marchait pas, il fallait update l'agent avant, sinon il ne trouvait pas les bons fichiers (ou un truc du genre, me rappelle plus).

C'est de la bidouille en VM à titre perso, mon passe temps favori 

Mais il m'arrive aussi de réinstaller de vieilles machines.

Je connais 

Mais je préfère toujours partir d'une iso officielle. Histoire d'éviter un éventuel virus.