核心思路是“内外分离、离线摆渡”：上游wsus联网同步微软更新，下游wsus物理隔离仅导入.cab补丁包；通过u盘摆渡、组策略强制指向及禁用公网回连，实现高安全环境下的可控补丁分发。
在隔离网段部署独立 wsus 服务，核心思路是“内外分离、离线摆渡”：一台能连互联网的 wsus（外网侧）负责同步微软更新，另一台完全断网的 wsus（内网侧）只接收导出的补丁包，不接触任何外部网络。这种方式符合政企、涉密、工控等高安全场景要求，且无需开放防火墙或配置代理。
明确角色分工：上游与下游服务器
隔离环境必须至少有两台 WSUS 服务器协同工作：
- 上游 WSUS（联网端）：部署在 DMZ 或可访问互联网的管理网段，配置为从 Microsoft Update 同步；需开放出站 80/443 端口访问 windowsupdate.microsoft.com 等域名；负责下载、筛选、审批补丁。
- 下游 WSUS（隔离端）：部署在物理隔离的内网域中，不配任何网络代理、不设上游服务器、不启用自动同步；仅通过“导入更新”功能加载 U 盘/硬盘拷贝来的 .cab 补丁包；所有客户端指向它获取更新。
关键操作：导出与导入补丁包
这是整个流程最不可替代的环节，必须严格按顺序执行：
windows-shell-syntax
下载
在 Windows 上执行终端命令，或对比 Windows 与 Linux 的 Shell 语法时使用。建议先检测当前 Shell 是 PowerShell 还是 cmd.exe，再给出相应命令……
- 在上游 WSUS 上完成一次完整同步后，进入 “选项 → 导出更新”，勾选已批准的补丁（建议按产品+分类筛选，如 Windows Server 2019 + 安全更新），生成 .cab 文件（含元数据和二进制文件）。
- 将 .cab 文件复制到经安全审计的移动介质（如一次性写入 U 盘），通过物理摆渡方式送入隔离网段。
- 在下游 WSUS 服务器上，打开 “选项 → 导入更新”，选择该 .cab 文件；导入过程会校验签名、重建数据库索引，耗时取决于补丁数量（通常 1–3 小时）。
- 导入完成后，在下游 WSUS 控制台中手动将补丁分配给对应计算机组（如“内网服务器组”），无需再做审批——导入即视为已批准。
客户端配置要点
内网所有 Windows 设备必须绕过默认 Windows Update，强制指向隔离 WSUS：
- 通过域组策略统一配置：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 指定 intranet Microsoft 更新服务位置，填入下游 WSUS 的 HTTP 地址（如 http://wsus-intranet:8530）。
- 确保客户端能解析该服务器主机名（DNS 或 hosts 文件），且能访问其 8530（HTTP）或 8531（HTTPS）端口。
- 禁用“允许来自 Microsoft 更新的更新”策略，防止客户端意外回连公网。
- 客户端检测更新周期建议设为 22 小时以上（避免高频轮询失败日志刷屏），实际生效以服务器导入时间为准。
维护注意事项
离线 WSUS 不是“一劳永逸”，需建立可持续的补丁流转机制：
- 上游服务器应定期同步（如每周一凌晨），导出前务必先审批新补丁，并剔除不适用产品（如不导出 Office 补丁，若内网无 Office）。
- 下游服务器导入后，建议立即运行 wuauclt /detectnow 强制客户端检测，验证连通性与补丁可见性。
- 保留最近 3 次导出的 .cab 文件备份，便于回滚或重导；.cab 文件本身不加密，传输前可用工具加密封装（如 7z AES-256）。
- 首次部署时，下游 WSUS 可跳过初始同步步骤，直接导入历史累积补丁包，快速补齐基线。
