wsus客户端下载更新长期为0%说明卡在下载环节，需检查bits服务状态及配置、windows defender firewall依赖、客户端访问wsus iis content路径能力、服务器端更新文件是否真正下载完成、以及客户端缓存和组策略配置是否正确。
wsus客户端下载更新进度长期为零，说明更新已成功识别并批准，但卡在下载环节。问题通常不出在客户端扫描阶段，而是下载服务（bits）或服务器端分发机制受阻。
检查BITS服务状态与配置
BITS是Windows默认的后台下载引擎，WSUS客户端依赖它拉取更新文件。若BITS异常，进度会一直停在“0%”。
- 在客户端运行 services.msc，确认 Background Intelligent Transfer Service 正在运行，且启动类型为“自动”
- 执行命令 bitsadmin /list /allusers /verbose，查看是否有挂起、错误或超时任务；若存在失败任务，用 bitsadmin /reset 清除队列
- BITS依赖Windows Defender Firewall服务（mpssvc），若该服务被禁用，BITS可能无法建立HTTP连接——检查注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\mpssvc 的 Start 值是否为 2（自动）
验证客户端能否访问WSUS服务器的更新内容路径
客户端不是连WSUS管理端口（8530/8531），而是通过IIS直接下载更新文件，路径形如 http://WSUS_Server/Content/xxx...。若该路径不可达，下载即停滞。
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 在客户端浏览器中手动访问 http://
/Content （不加端口，默认80；若WSUS使用非标端口，需确认IIS绑定和防火墙放行） - 若返回403或404，说明IIS未正确发布Content虚拟目录，或NTFS权限未赋予 IIS_IUSRS 和 NETWORK SERVICE 读取权限
- 检查WSUS服务器上 %ProgramFiles%\Update Services\Content 文件夹是否存在、是否为空；空则说明同步虽完成，但文件未实际下载（常见于磁盘空间不足或同步设置中未勾选“下载更新文件”）
排查服务器端更新文件分发状态
即使控制台显示“已批准”，也不代表文件已就绪。需确认更新包是否真正下载完成、路径是否有效。
- 在WSUS控制台 → “更新”页，右键目标更新 → “属性” → 切换到“更新文件”选项卡：确认状态为“已下载”，且“文件大小”大于0 KB
- 若状态为“等待下载”或“下载失败”，需重新同步或手动触发下载（右键更新 → “下载更新文件”）
- 若大量更新处于“下载中”且长时间不动，可能是磁盘IO瓶颈或SUSDB数据库阻塞；可运行服务器清理向导，并检查 tbFile 表是否异常膨胀
排除客户端策略与缓存干扰
旧缓存或冲突策略会导致客户端反复尝试无效路径，表现为“下载中”但无流量。
- 停止 wuauserv 和 bits 服务，删除 %Windir%\SoftwareDistribution 整个文件夹（注意：此操作会清除所有待安装更新缓存）
- 检查组策略中是否启用了“指定Intranet Microsoft更新服务位置”，且地址末尾不要带斜杠（如写成 http://wsus:8530/ 可能导致URL拼接错误）
- 确认未启用“备选文件下载服务器”策略项——若填写了无效地址，客户端会优先尝试该路径并静默失败
