必须完成服务器角色安装、同步策略设定、内容存储配置、防火墙放行、客户端指向这五个关键环节：安装WSUS角色并指定NTFS格式独立卷存储路径；配置同步源（Microsoft更新或上游WSUS）及必要产品与分类；开放80/443出站端口并确保IIS运行；通过组策略启用WUServer和UseWUServer指向内网地址；最后强制刷新策略并验证日志连接成功。
要在局域网中用一台WSUS服务器统一给所有Windows Server和客户端分发补丁，必须完成服务器角色安装、同步策略设定、内容存储配置、防火墙放行、客户端指向这五个关键环节，缺一不可。
安装WSUS服务器角色并指定存储路径
在目标服务器上打开「服务器管理器」→「添加角色和功能」→勾选「Windows Server Update Services」→一路下一步直到安装完成。安装过程中会提示选择更新文件存储位置，【必须使用NTFS格式的独立卷，且预留至少6GB可用空间】。不要选系统盘C:\，否则后续同步大量补丁时容易触发磁盘告警甚至服务中断。
安装完成后，系统自动启动WSUS管理控制台，首次打开会弹出“初始配置向导”，直接点击“下一步”进入网络连接设置环节。
配置同步源与产品分类
方法一：从Microsoft更新直接同步（适用于有外网访问权限的环境）
在“指定上游服务器”页，选择「从Microsoft更新同步」→勾选「使用SSL加密连接」→点击“下一步”。
在“产品和分类”页，切换到「产品」选项卡，只勾选实际需要的系统版本，例如：【Windows Server 2019、Windows Server 2022、Windows 11、Windows 10】；切勿全选，否则首次同步将耗时数小时且占用超百GB磁盘空间。
切换到「分类」选项卡，至少勾选「安全更新、关键更新、定义更新、服务堆栈更新」——漏掉服务堆栈更新会导致后续某些补丁安装失败或回滚。
方法二：从上游WSUS服务器同步（适用于多级部署或断网环境）
选择「从另一台WSUS服务器同步」→输入上游服务器地址（如http://wsus-upstream:8530）→确认端口匹配→手动验证上游服务器是否已启用SSL或非SSL模式，否则同步会静默失败。
开放防火墙端口并启用IIS服务
WSUS默认使用端口8530（HTTP）和8531（HTTPS），但首次同步时仍需临时放行标准端口80/443用于连接Microsoft更新源。
执行命令：netsh advfirewall firewall add rule name="WSUS-Outbound-HTTP" dir=out action=allow protocol=TCP localport=80
同理添加端口443规则。
确认IIS服务已运行：services.msc中检查「World Wide Web Publishing Service」状态，若为停止则右键启动，并设为“自动（延迟启动）”。
注意：如果服务器已安装其他Web应用且占用了80/443端口，WSUS可正常运行但首次同步会失败，此时必须先停用冲突服务或改用代理方式。
强制客户端指向内网WSUS服务器
第一步：打开组策略管理控制台（gpmc.msc）→新建GPO（例如命名为“WSUS-Client-Config”）→右键编辑。
第二步：导航至「计算机配置 → 管理模板 → Windows组件 → Windows更新」→启用「指定Intranet Microsoft更新服务位置」→在“设置”中填入：
WUServer = http://192.168.1.100:8530
WUStatusServer = http://192.168.1.100:8530
第三步：在同一策略路径下，启用「配置自动更新」→选择“4 - 自动下载并计划安装”→设置“安装时间”为凌晨2:00。
第四步：将该GPO链接到域中目标OU（如Servers或Workstations），并执行gpupdate /force强制刷新策略。
验证是否生效：客户端运行wuauclt /detectnow后，查看C:\Windows\WindowsUpdate.log末尾是否有“Connected to server http://192.168.1.100:8530”字样。
