WSUS内网部署需离线同步补丁，安装前须处理IIS端口冲突、NTFS分区及6GB以上空间；导出须包含WsusContent、元数据（wsusutil export）和SUSDB数据库；客户端组策略必须同时配置WUServer地址和UseWUServer启用项。
内网无法直连微软更新源，必须通过「离线导出+本地导入」方式同步补丁，没有真正的“自动同步”——wsus本身不支持纯内网服务器直接拉取微软补丁，所有补丁二进制文件和元数据都得从能上网的机器搬运进来。
WSUS服务器安装时必须关闭IIS默认站点或改端口
如果目标服务器已运行网站（如OA、监控平台），IIS 默认占用 TCP 80 端口，而 WSUS 安装向导强制绑定到该端口，会导致安装失败或后续客户端无法完成 Selfupdate（即自动下载并安装 WSUS 客户端组件）。
- 安装前先停用默认网站，或在“网站选择”步骤中勾选「创建新网站」并指定非80端口（如
8530） - 若必须共存，需手动在 IIS 中为默认网站添加
Selfupdate虚拟目录，路径指向%ProgramFiles%\Update Services\Selfupdate，否则 Windows XP/Server 2003 等老系统客户端首次连接会卡住 - 存储路径务必使用
NTFS格式分区，且预留至少6GB空间（实际建议100GB+，补丁体积逐年增长）
导出补丁必须同时处理三类数据：WsusContent、元数据、SUSDB
只拷贝 WsusContent 文件夹或只运行 wsusutil export 都不完整，导入后会出现「更新可见但无法安装」「审批状态丢失」「客户端检测不到可用更新」等问题。
-
WsusContent：存放所有补丁的二进制文件（.cab/.msu），需完整复制整个目录，不能只复制子文件夹 -
wsusutil export <cab><log></log></cab>：导出的是元数据（分类、KB编号、依赖关系、审批标记等），日志文件.log必须与.cab同时存在，导入时缺一不可 -
SUSDB数据库：包含计算机分组、审批历史、同步状态等运行时信息，必须用SQL Server Management Studio执行「分离→拷贝.mdf/.ldf→附加」，不能仅靠备份还原，否则服务启动报错Database is in use
客户端组策略配置里 WUServer 和 UseWUServer 缺一不可
只填 WUServer 地址，不启用 UseWUServer 开关，客户端仍会回退到微软官网；而只开开关不填地址，会因空值导致 wuauclt /detectnow 失败。
- 注册表路径：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate - 必须设置两项：
"WUServer"="http://192.168.0.190:8530"（含端口）、"UseWUServer"=dword:00000001 - 域环境优先用 GPO 推送，非域环境可用
.reg文件双击导入，但需确保导入后执行gpupdate /force并重启wuauserv服务 - 验证是否生效：运行
netsh winhttp show proxy应无输出；reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v WUServer应返回正确地址
每月同步周期外遇到紧急补丁，不能只导出单个KB
微软补丁常有依赖链（如 KB123456 依赖 KB789012），单独导出高危补丁却漏掉前置依赖，会导致客户端安装失败并报错 0x8024200D 或 0x80070643。
- 导出前务必在源 WSUS 控制台打开「更新 → 所有更新」，筛选状态为「已批准」，再按产品（如 Windows Server 2019）、分类（安全更新）、语言（中文+英文）批量选中
- 勾选「包括已弃用的更新」选项，避免漏掉被替代但尚未过期的补丁
- 导入后不要立刻审批，先在内网 WSUS 控制台运行「同步状态 → 检查更新依赖」，确认无橙色警告图标再批量审批
最易被忽略的是 Selfupdate 虚拟目录权限和 UseWUServer 注册表项的联动——很多故障现象（如客户端显示“找不到更新服务器”或反复弹出“需要重启以完成安装”）其实都源于这两处配置不匹配。动手前先确认服务器端 IIS 是否真能响应 http://<server>:8530/Selfupdate</server> 的 GET 请求，再检查客户端注册表里那两个键值是否同时存在且有效。
