Bonjour tout le monde,
 
On a régulièrement des saturations des liens sur plusieurs de nos sites, visiblement ça viendrait des mises à jour Windows.
On est en train de mettre en place l'Optimisation de la distribution de Windows update. Au début ça nous saturait tous les liens puisque le "réseau local" selon Microsoft, c'est ce qui se trouve derrière un NAT, donc un même IP publique. Quand on est en MPLS, il peut aller chercher les mises à jour à l'autre bout du département au lieux de se contenter du bureau d'à coté. On a trouvé le paramétrage dans gpedit.msc pour qu'il ne télécharge qu'en réseau local, en se fiant au masque de sous réseau plutôt qu'à l'IP publique, et non plus sur tout le MPLS. On en a profité pour configurer le délai pour que les postes cherchent à télécharger en local plutôt que par internet pendant 1h.  
Malgré ces paramétrages, on a toujours des saturations de liens. Sur certains poste, j'ai modifié la durée du cache pour qu'il soit conservé 7j au lieu de 3 par défaut.
Sur un outil mis à disposition par notre FAI, on voit du trafic depuis *.deploy.static.akamaitechnologies.com, ce qui semble bien correspondre aux mises à jour de Windows donc ça continu de télécharger sur internet. Quand je vais dans le moniteur d'activité de l'optimisation de la distribution, je vois bien qu'une partie des mises à jour est pourtant téléchargée en local. La valeur varie en fonction des postes de quelques Mo à plusieurs Go.
 
Là où j'ai un doute c'est sur la version de la mise à jour qui est mise en cache. Dans le nom de la mise à jour il y a la version de windows (Windows 10 version 2004, Windows 10 version 21H1...).
 
Est ce que les postes en version 2004 ne partagent qu'avec les postes en 2004, ceux en 21H1 qu'avec ceux en 21H1 etc?
Qu'est ce que vous avez comme paramétrage sur vos postes pour que les mises à jours Windows arrêtent de saturer vos connections? Chez nous ça dure une partie de la matinée sur plusieurs de nos sites.
 
Question subsidiaire: Est ce qu'il se pourrait que les postes compatibles commencent à télécharger Windows 11 avant qu'on autorise l'installation? ça doit représenter plusieurs Go, autant dire qu'on est pas prêt d'en voir le bout...    
 
Ah, et j'oubliai un détail, on n'a pas de domaine pour les postes de travail.    
On a paramétré les postes par gpedit.msc parce qu'on n'a pas de domaine, donc pas de GPO, et pas de possibilité d'avoir de WSUS non plus
 
PS: c'est un repost d'ici où on m'a conseillé de poster plutôt dans cette catégorie: https://forum.hardware.fr/hfr/Windo [...] 4401_1.htm

Tu es en MPLS, est-ce que tu as une sortie internet centralisée ? Il y a peut-être la possibilité, via ton pare-feu de limiter le débit vers certains sites ?

Tu peux aussi essayer ceci : https://www.itechtics.com/limit-win [...] bandwidth/

Oui la sortie internet est centralisée, mais ce n'est pas elle qui sature mais la connexion de certains sites. On a un peu de tout niveau connexion en fonction de ce qui est dispo, du nombre d'utilisateurs et bien sur du tarif (ADSL, VDSL, SDSL 4M, fibre 4M, 10M, 30M, 100M). Je ne connais pas le débit max de la sortie internet centralisée mais on peut saturer la connexion du site à 100M en s'amusant à multiplier les téléchargements d'ISO sans que ça ne dérange les autres sites.
 
On limite déjà le téléchargement des mises à jour Windows à 5% via les paramètres dispos dans les "Options avancées" de l'optimisation de distribution, aussi bien en arrière plan qu'au premier plan.
Avec le paramètre que tu me proposes, ça permet de descendre en dessous des 5% et de jouer sur les plages horaires, sauf qu'en dehors des heures de travailles les PC fixes sont éteins et les portables dans les sacoches.  
En général ça sature quand les gens arrivent. Au démarrage, les postes cherchent les maj Windows, antivirus, Edge, Office, les mails, etc. Je peu peut-être brider à 1% entre 8h et 15h et à 10% après 15h comme ça au démarrage des postes il pourra faire ses recherches de maj, télécharger ce qui n'est pas bridé et dans l'après midi, il télécharge un peu plus librement les maj Windows.
 
Quelqu'un a déjà essayé de jouer sur ces paramètres dans ses GPO?

Donc tu connais la cause du problème : vous ne gérez pas vos postes de travail.
Et la solution : gérer vos postes de travail, avec des outils pros et des gens compétents (et donc, des sous).
 
Donc mettre en place un annuaire, vérifier les prérequis, mettre en place une solution des mises à jour etc...
 
Tu peux jouer avec certains paramètres GPO sur le comportement des mises à jour, mais ça ne consistera pas en une solution en elle-même, il est possible que vous ayez besoin d'une vraie solution de gestion des mises à jour derrière.

ça fait plusieurs fois que je réclame à mon chef qu'on mette en place un domaine, mon chef est d'accord avec moi, mais ça ne bouge pas.

Montre-lui ce que ça vous coûte en maintenance de votre côté + temps perdu par les utilisateurs. Et ça va continuer, car vos machines vont migrer vers Windows 11 en plus.
Plus les problèmes de sécu, licences etc...
Il faut vraiment avoir moins de 5 PC pour se passer d'un annuaire, et encore...