Windows 11自动更新无法彻底关闭时，需从Hosts屏蔽、防火墙出站拦截、计划任务禁用、组策略配置及代理重置五方面综合阻断。具体包括：一、修改Hosts文件屏蔽更新域名；二、Windows防火墙阻止svchost.exe相关更新服务出站连接；三、禁用WindowsUpdate任务并取消唤醒触发；四、组策略指定无效更新服务器地址；五、重置WinHTTP代理并禁用HTTPS隧道机制。
如果您发现Windows 11系统自动更新无法通过常规设置关闭，且更新进程仍能连接微软更新服务器并下载内容，则问题可能源于系统底层服务、策略或网络层未被完全阻断。以下是彻底拦截更新服务器连接的多种技术路径：
一、修改Hosts文件屏蔽更新域名
该方法在系统网络解析层直接拦截Windows Update核心域名请求，使wuauserv等服务发起的DNS查询返回无效地址，从而阻断与update.microsoft.com、fe2.update.microsoft.com等服务器的全部HTTP/HTTPS连接，不依赖服务状态或策略配置。
1、以管理员身份运行记事本，点击“文件”→“打开”，定位到路径：C:\Windows\System32\drivers\etc\hosts。
2、在文件末尾另起一行，逐行添加以下屏蔽条目：127.0.0.1 fe2.update.microsoft.com。
3、继续添加：127.0.0.1 update.microsoft.com。
4、再添加：127.0.0.1 download.windowsupdate.com。
5、保存文件；若提示权限不足，请点击“另存为”，选择原路径覆盖，并确保编码为UTF-8无BOM格式。
6、以管理员身份打开命令提示符，执行：ipconfig /flushdns，清空本地DNS缓存。
二、通过Windows防火墙阻止更新服务出站连接
该方法利用系统内置防火墙创建出站规则，精准限制wuauserv、UsoSvc、BITS等更新相关服务的网络访问权限，即使服务处于运行状态，其所有对外TCP/UDP连接均被拒绝，实现连接级拦截。
1、按下Win + R，输入wf.msc并回车，打开高级安全Windows Defender防火墙。
2、在左侧面板点击“出站规则”，右键选择“新建规则…”。
3、选择“程序”，点击“下一步”；在程序路径中输入：%systemroot%\system32\svchost.exe，点击“下一步”。
4、选择“阻止连接”，点击“下一步”；在“配置文件”页勾选全部三项（域、专用、公用），点击“下一步”。
5、命名为“Block Windows Update Services”，点击“完成”。
6、右键该新规则 → 属性 → “程序和服务”选项卡 → 点击“浏览程序”右侧的“添加程序”按钮 → 分别添加以下服务宿主路径：C:\Windows\System32\svchost.exe -k netsvcs（含wuauserv）、C:\Windows\System32\svchost.exe -k usosvc（UsoSvc）。
三、禁用Windows Update计划任务并清除唤醒触发器
该方法针对Windows 11中通过Task Scheduler主动唤醒系统、强制连接更新服务器的行为，删除或禁用所有预设的更新相关任务及其唤醒逻辑，防止系统在休眠后被远程唤醒并建立更新连接。
1、按下Win + R，输入taskschd.msc并回车，打开任务计划程序。
2、在左侧面板依次展开：任务计划程序库 → Microsoft → Windows → WindowsUpdate。
3、在右侧列表中找到并右键禁用以下全部任务：Scheduled Start、Refresh Settings、sihclient、usoclient。
4、对每一项已禁用任务，双击打开属性 → 切换至“条件”选项卡 → 取消勾选“唤醒计算机运行此任务”。
5、切换至“设置”选项卡 → 取消勾选“如果任务失败，重新运行”及“如果过了计划时间，立即启动任务”。
四、配置组策略禁止更新服务器通信（专业版/企业版）
该方法通过组策略强制系统忽略所有Windows Update服务器地址，改用空值或本地不可达地址替代，使服务在初始化阶段即放弃网络连接尝试，属于策略层深度拦截。
1、按下Win + R，输入gpedit.msc并回车，以管理员权限打开本地组策略编辑器。
2、导航至：计算机配置 → 管理模板 → Windows组件 → Windows更新 → 管理最终用户体验。
3、双击“指定Intranet Microsoft更新服务位置”，启用该策略。
4、在“设置”中，将“设置状态”设为已启用，然后在“内部部署服务器名称和端口”栏填入：http://127.0.0.1:80（非真实服务，仅用于占位）。
5、继续在同一路径下，双击“不要在“Windows 更新”中显示“重启”通知”，启用该策略。
6、点击“应用”并“确定”，关闭组策略编辑器。
五、重置Windows Update代理并禁用HTTPS隧道
该方法清除系统可能被注入的更新代理配置，同时禁用Windows Update服务使用的现代HTTPS连接机制，迫使其退化为不可用状态，从协议栈层面削弱连接能力。
1、以管理员身份运行PowerShell，执行：netsh winhttp reset proxy。
2、继续执行：netsh int ip set global taskoffload=disabled（禁用TCP卸载，干扰TLS握手稳定性）。
3、导航至注册表路径：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU。
4、在AU项内新建DWORD (32位) 值，命名为UseWUServer，数值数据设为0。
5、再次新建DWORD (32位) 值，命名为NoAutoRebootWithLoggedOnUsers，数值数据设为1。
