Supervision : Comment checker l’état de la synchronisation WSUS ?

I. Présentation

Au sein d’un tutoriel précédent, on avait vu comment exécuter des scripts PowerShell avec NRPE, je vous propose d’exploiter cette possibilité offerte par NSClient++ pour vérifier l’état de la synchronisation de votre serveur WSUS afin de l’intégrer à votre supervision.

Il est indispensable de s’assurer que son serveur WSUS synchronise correctement car sans cela, il ne va pas récupérer les dernières mises à jour auprès des serveurs Windows Update de Microsoft. Par conséquent, les mises à jour ne seront pas déployées auprès de vos clients.

Pour parvenir à cela, j’ai développé un script PowerShell qui récupère l’état de la synchronisation et qui retourne un état à la solution de supervision. En fonction de cet état, on peut générer une alerte si besoin. Cette solution s’appuie sur NSClient++ et NRPE.

II. Récupérer l’état de la synchronisation

Directement depuis le serveur WSUS, grâce à la commande « Get-WsusServer » on va pouvoir récupérer des informations sur l’état de la dernière synchronisation. En fait, il faut vérifier deux choses :

• L’état de la dernière synchronisation, elle doit être réussie
• La date de la dernière synchronisation, car la dernière peut être réussie mais elle peut dater de 10 jours, ce qui n’est pas normal

Grâce à la commande ci-dessous on va accéder à un ensemble de propriétés qui vont répondre à notre besoin :

(Get-WsusServer).GetSubscription().GetLastSynchronizationInfo()

En cas d’échec de synchronisation :

En cas de synchronisation réussie : 

Ce sont les propriétés « Result » et « EndTime » que nous allons utiliser dans notre script.

III. Le script pour la vérification

Maintenant, il est temps de voir le script complet et que je vous fournisse quelques explications :

La variable $NumberOfDaysWithoutSync indique le nombre de jours sans synchronisation que l’on tolère. Par exemple, si la dernière synchronisation réussie remonte à plus de 7 jours, il y aura une alerte. Modifiez la valeur en fonction de vos besoins.

La variable $ExitCode retourne un code à NRPE qui sera ensuite renvoyé à votre solution de supervision. Si l’état est sur « 0 » alors c’est OK, si l’on retourne « 2 » c’est qu’il y a un problème de synchronisation.

Voici le code complet du script :

# Synopsys : Check status of WSUS Synchronization

# Initial state
$ExitCode = 0

# Variables
$NumberOfDaysWithoutSync = 7

# Get the status of the last synchronization
$WsusLastSyncOutput = (Get-WsusServer).GetSubscription().GetLastSynchronizationInfo()

## CHECK SYNC STATE
# Normal state : Result = Succeeded
if(!($WsusLastSyncOutput.Result -eq "Succeeded"))

  $ExitCode = 2
  Write-Output "CRITICAL: The last sync $($WsusLastSyncOutput.EndTime) state is $($WsusLastSyncOutput.Result)"


## CHECK THE DATE OF THE LAST SYNC
# Get the datetime of the last synchronization
$WsusLastTimeOutput = (Get-WsusServer).GetSubscription().LastSynchronizationTime

# Calculate the reference date
$DateReference = (Get-Date).AddDays(-$NumberOfDaysWithoutSync)

# If the last sync time is older than the calculate date (= date of the day - $NumberOfDaysWithoutSync) it's critical
if($DateReference -gt $WsusLastTimeOutput)

  $ExitCode = 2 
  Write-Output "CRITICAL: Last sync is older than $NumberOfDaysWithoutSync days and his state is $($WsusLastSyncOutput.Result)" 


# Evaluate final exit code result for all passed checks.
if ($ExitCode -eq 0)  Write-Output "OK: The last sync $($WsusLastSyncOutput.EndTime) state is $($WsusLastSyncOutput.Result)" 

exit $ExitCode

Enregistrez ce bout de code dans un fichier et enregistrez-le dans le dossier « scripts » de NSClient++, par exemple avec le nom « Check-WsusSyncState.ps1« . Vous pouvez personnaliser les messages de retour si vous le souhaitez, ce sont les messages qui s’afficheront sur l’interface de votre solution de monitoring.

IV. Configuration de NSClient++ pour ajouter le script

Maintenant, on va intégrer ce script à NSClient++ pour que l’on puisse l’appeler depuis notre solution de supervision, Centreon par exemple. Editez le fichier de configuration NSClient.ini et ajoutez cette ligne sous le bloc « (/settings/external scripts/scripts)« . Pensez à vous référer à l’article mentionné au début de celui-ci pour la configuration de NRPE si nécessaire.

Sur la ligne ci-dessous, adaptez le nom de votre script PowerShell si nécessaire. Le premier terme, c’est à dire « Check-WsusSyncState » correspond au nom de la commande qu’il faudra appeler depuis Centréon, ensuite NSClient fait le lien entre ce nom de commande et le script à exécuter.

Check-WsusSyncState=cmd /c echo scripts\Check-WsusSyncState.ps1; exit($lastexitcode) | powershell.exe -command -

Pour finir, redémarrez le service NSClient++ pour prendre en compte cette nouvelle configuration.

V. Intégration à la supervision

En fonction de votre système de supervision, vous devrez ensuite effectuer la configuration pour appeler notre script via NRPE, votre commande de check ressemblera à ceci :

.\check_nrpe -H 192.168.1.150 -c Check-WsusSyncState

Lorsque tout sera prêt, vous allez obtenir un bel état de votre synchronisation WSUS dans votre Centréon (ou autre) :

Voilà, ce tutoriel est terminé ! Que pensez-vous de cette vérification ? Allez-vous l’implémenter ?