Microsoft, Windows Güncelleme Hatalarını Ağ Ayarlarıyla Çözmek İçin Basit Yöntemi Açıkladı

Microsoft, Windows Update indirme ve kurulum hatalarının bir bölümünün bilgisayar veya güncelleme paketlerinden değil, kurumların kullandığı ağ güvenliği yapılandırmalarından kaynaklanabildiğini açıkladı. Şirket, özellikle güvenlik duvarı, proxy ve VPN ayarlarının Windows Update bağlantılarına müdahale etmesi durumunda TLS doğrulama ile bağlantı hatalarının ortaya çıkabildiğini belirtiyor. Microsoft’un önerdiği temel çözüm ise ilgili Windows Update adreslerine TLS denetimi uygulanmadan doğrudan bağlantı kurulmasını sağlayacak ağ istisnalarının tanımlanması oluyor.

Windows Update Bağlantıları TLS Sertifikasıyla Doğrulandı

Microsoft’un açıklamasına göre Windows Update servisi, bağlantı kurduğu sunucunun gerçekten yetkili bir Microsoft hizmetine ait olduğunu doğrulamak için TLS güvenliğini kullanıyor. Windows cihazı sunucudan gelen sertifikayı kontrol ederken sertifikanın Windows Update için güvenilen belirli bir kök güven ilişkisine bağlı olup olmadığını inceliyor. Doğrulama başarısız olduğunda işletim sistemi bağlantıyı keserek şüpheli sunucuyla iletişimi sürdürmüyor.

TLS mekanizması, Windows cihazı ile güncelleme sunucusu arasındaki verilerin şifrelenmesini sağlarken ağ üzerinde yapılan değişikliklerin tespit edilmesine de yardımcı oluyor. Sertifika doğrulaması ayrıca cihazın iletişim kurduğu sunucunun kimliğini kontrol ederek araya giren farklı bir sistemin güvenilir bir Windows Update sunucusu gibi davranmasını engelliyor. Kurumsal ağlarda kullanılan bazı güvenlik çözümleri ise tam bu noktada güncelleme bağlantılarının başarısız olmasına neden olabiliyor.

Şirketlerin TLS inspection adı verilen güvenlik yöntemini kullanan proxy veya güvenlik duvarları, şifreli bağlantıyı kendi sistemleri üzerinden geçirerek sunucu sertifikasını yeniden oluşturabiliyor. Windows Update istemcisi bu durumda gerçek Microsoft sunucusunun sertifikası yerine ağ cihazının oluşturduğu farklı bir sertifikayla karşılaşırken doğrulama mekanizması bağlantıyı güvenilir kabul etmeyebiliyor. Güvenlik amacıyla tasarlanan bu kontrol, yanlış yapılandırılmış kurumsal ağlarda Windows güncellemelerinin indirilmesini veya kurulmasını engelleyebiliyor.

Microsoft, Windows Update sorununun kaynağını belirlemek isteyen yöneticilere öncelikle Windows Update günlüklerini incelemelerini öneriyor. PowerShell üzerinden Get-WindowsUpdateLogs komutu kullanılarak oluşturulabilen günlük dosyası, bağlantının hangi aşamada başarısız olduğunu anlamaya yardımcı olurken belirli hata kodları ağ yapılandırmasına ilişkin daha doğrudan ipuçları veriyor.

Örneğin 0x8024402c kodu, Windows Update sunucusunun DNS adının çözümlenemediğini gösteriyor. Kurum ağı gerekli FQDN bilgisini IP adresine dönüştüremediğinde ortaya çıkabilen hata, DNS trafiğinin veya ilgili alan adlarının ağ politikaları tarafından engellenip engellenmediğinin kontrol edilmesini gerektiriyor. 0x80240438 kodunda ise FQDN çözümlemesi gerçekleşmesine rağmen ilgili uç noktaya erişilemiyor ve sorun daha çok güvenlik duvarı veya proxy yapılandırmasına işaret ediyor.

0x80245006 ile 0x80240437 kodları ise Windows Update sunucusunun TLS sertifikasının doğrulanmasıyla ilgili sorunlara işaret edebiliyor. Kurumsal güvenlik cihazının TLS inspection sırasında sertifikayı değiştirmesi, Windows istemcisinin beklediği güven zincirini bozabildiği için bu hatalar ortaya çıkabiliyor. Microsoft’un önerdiği yaklaşım, yöneticilerin yalnızca hata kodunu dikkate almak yerine günlük kayıtlarını ağdaki DNS, proxy ve güvenlik duvarı davranışıyla birlikte değerlendirmesi oluyor.

VPN bağlantıları da bazı kurumsal cihazlarda benzer erişim sorunlarına yol açabiliyor. Microsoft, belirli VPN sağlayıcılarının DNS sorgularını veya Windows Update servislerine yönelik erişimi engelleyebildiğini belirtiyor. Güncellemeler yalnızca VPN bağlantısı sırasında başarısız oluyorsa yöneticilerin VPN sağlayıcısının ağ politikalarını da incelemesi gerekiyor.

Microsoft’un önerdiği çözüm, güvenlik duvarı ve proxy sistemlerinde Windows Update bağlantılarının TLS interception işleminden geçirilmemesini sağlayacak istisnalar tanımlanmasına dayanıyor. Yöneticiler, gerekli Windows Update alan adlarını güvenilir olarak yapılandırarak cihazların Microsoft servislerine ulaşırken beklenen TLS sertifikasıyla iletişim kurmasını sağlayabiliyor.

Bu yapılandırmada FQDN yani Fully Qualified Domain Name kullanımı önem taşıyor. Microsoft, örnek olarak *.update.microsoft.com alan adını gösterirken bu ifadenin update.microsoft.com, sls.update.microsoft.com ve tas02.sls.update.microsoft.com gibi farklı alt alan adlarını kapsayabildiğini belirtiyor. Wildcard tanımının alt alan adları açısından geniş kapsamlı olması nedeniyle yöneticilerin yalnızca tek bir adresi izin listesine ekleyerek tüm Windows Update trafiğinin sorunsuz çalışacağını varsaymaması gerekiyor.

Microsoft ayrıca Windows Update tarafından kullanılan ana bilgisayar ve DNS alt alan adlarının zaman içinde değişebileceği konusunda yöneticileri uyarıyor. Bu nedenle kurumların birkaç sabit IP adresini kalıcı olarak izin verilen adresler arasına eklemek yerine Microsoft’un önerdiği uç nokta yapılandırmasını takip etmesi gerekiyor. Böyle bir yaklaşım, hizmet altyapısındaki değişiklikler sonrasında güncelleme bağlantılarının yeniden engellenmesi riskini azaltıyor.

WSUS kullanan kurumlar için ise farklı bir durum bulunuyor. Windows Server Update Services altyapısında istemci bilgisayarlar güncellemeleri doğrudan Microsoft’un Windows Update sunucularından almak yerine kurum tarafından yönetilen WSUS sunucusuna bağlanıyor. Bu nedenle doğrudan Windows Update bağlantıları için tanımlanması gereken FQDN istisnaları, WSUS üzerinden gerçekleştirilen ilgili istemci bağlantıları açısından aynı şekilde gerekmiyor.

Microsoft’un açıklaması, Windows Update hatalarının her zaman işletim sistemi veya güncelleme paketindeki bir problemden kaynaklanmadığını ortaya koyuyor. Özellikle şirket ağlarında güvenlik amacıyla kullanılan TLS inspection, proxy, DNS filtreleme ve VPN politikaları güncelleme altyapısıyla çakışabiliyor. Kurum yöneticilerinin hata kodunu belirledikten sonra ağ yapılandırmasını kontrol etmesi, Windows Update bağlantılarında TLS müdahalesini kaldırması ve Microsoft’un güncel uç nokta tanımlarını takip etmesi, bu tür sorunların giderilmesinde ilk teknik adımlar arasında yer alıyor.