核心是启用“指定Intranet Microsoft更新服务位置”策略并配置WUServer为内网WSUS地址（如http://wsus.corp.local:8530），同时链接GPO至目标计算机OU、启用“配置自动更新”策略、执行gpupdate /force刷新后验证注册表及端口连通性。

直接通过组策略对象（gpo）下发内网wsus服务器配置，核心是让客户端停止直连微软更新源，转而从你部署的内网wsus服务器拉取补丁。整个过程不依赖手动改注册表，也不需要逐台操作，只要gpo配置准确、链接到位、刷新生效，就能批量统一管控。

启用并配置“指定Intranet Microsoft更新服务位置”

这是最关键的一步，它会自动写入客户端注册表中的 WUServer 和 WUStatusServer 两项。

• 路径为：计算机配置 → 管理模板 → Windows组件 → Windows更新 → 指定Intranet Microsoft更新服务位置
• 必须选择已启用（不是“已配置”），否则策略不生效
• “设置目标服务器的URL”填入WSUS服务器地址，例如：http://wsus.corp.local:8530（注意：多数场景用HTTP；若WSUS启用了HTTPS且证书可信，才填https://）
• “设置目标统计服务器的URL”可留空，或填与上一项相同的地址

配套启用“配置自动更新”策略

只指定了WSUS地址还不够，客户端还得知道怎么下载和安装更新。这个策略决定自动更新的行为模式。

• 路径为：计算机配置 → 管理模板 → Windows组件 → Windows更新 → 配置自动更新
• 启用后，在下拉菜单中选一个合适选项，常见的是：
  ● 4 — 自动下载并计划安装（推荐，兼顾可控与及时性）
  ● 3 — 自动下载并通知安装（适合需人工确认重启的环境）
• 若希望更精细控制重启行为，可一并启用：
  ● “为更新安装指定自动重启之前的截止时间”
  ● “在活动时段关闭更新的自动重启”

确保GPO正确链接并作用于目标计算机

GPO本身配得再好，没链到正确的OU或被更高优先级策略覆盖，也等于没做。

• 右键目标计算机所在的组织单位（OU），选择“链接现有GPO”，选中你配置好的WSUS-GPO
• 检查该OU是否启用了“阻止继承”（Block Inheritance）；如有，需手动添加链接或调整顺序
• 如使用WMI筛选器（比如仅对Windows 10/11生效），请验证筛选器返回结果为True
• 非域环境无法用域GPO，只能在每台机上运行gpedit.msc，按相同路径本地配置

强制刷新并验证是否生效

策略不会秒生效，需主动触发刷新，并确认注册表和网络层面都已就位。

• 在客户端以管理员身份运行：
  gpupdate /force
  随后重启Windows Update服务：
  net stop wuauserv && net start wuauserv
• 验证注册表项：
  reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v WUServer
  应返回你填入的WSUS地址
• 进一步确认网络连通性：
  用telnet wsus.corp.local 8530测试端口是否可达（如未装Telnet，可用PowerShell：Test-NetConnection wsus.corp.local -Port 8530）