WSUS部署需先规划再分步落地，核心是内网可控分发更新。小型环境用单台服务器，中大型可选多站点独立、上游-下游层次或离线导入模式；安装后须配置专用存储、运行wsusutil初始化、合理安排首次同步；客户端通过GPO显式配置，按组审批更新，定期运维监控。
wsus 部署不是装完就用，关键在规划和分步落地。它本质是把 microsoft 更新拉进内网，再按需分发——不直接让每台电脑连外网，而是由你控制谁、什么时候、装什么更新。
明确部署模式再动手
选错拓扑，后期调整成本很高。小型单域环境用单台 WSUS 就够：一台服务器连公网（开放 8530/8531 端口），所有客户端指向它。中大型组织常见三种变体：
- 多站点独立部署：每个物理位置各配一台 WSUS，各自连公网下载。适合各地有独立 IT 团队、网络隔离严格的场景，但审批和同步要重复操作多次。
- 上游-下游层次结构：总部一台“上游”WSUS 连 Microsoft Update 同步全量更新，分支机构的“下游”WSUS 从它拉取。所有审批集中做，适合统一策略的大企业。
- 离线导入模式：高安全或无外网环境（如涉密网）下，用可移动介质把已同步好的更新包从联网环境导出，再导入到隔离网内的 WSUS 服务器。
安装与初始配置要点
WSUS 角色需在 Windows Server（2016 及以上版本）上启用。安装后必须执行关键后续动作：
- 为更新存储单独准备一个大容量、具备容错能力的磁盘卷，多语言补丁会快速占满空间；
- 运行 wsusutil.exe 完成服务初始化，仅靠图形界面或 PowerShell 无法替代这一步；
- 首次同步耗时较长（几小时起），建议安排在非业务时段，并在脚本中加入适当等待逻辑避免日志刷屏。
客户端接入与分组管理
客户端不自动找 WSUS，必须显式配置。主流方式是通过域环境的组策略（GPO）下发：
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新，设置“指定 intranet Microsoft 更新服务位置”；
- 务必启用“配置自动更新”，并选择合适模式（如“4 - 自动下载并通知安装”）；
- 提前建好计算机组（如 Pilot、Finance、Servers），后续可对测试组先批准更新，验证无误再推给生产组。
更新审批与日常运维
WSUS 不自动安装任何更新，所有补丁都需人工或规则审批：
- 可设自动审批规则（例如：对“Critical Updates”+“Security Updates”+“Windows 10”产品，批准后 7 天内自动部署）；
- 拒绝已被取代的更新，避免客户端反复扫描无效条目，提升性能；
- 定期查看“更新状态摘要”和“未安装更新”报表，定位长期未更新的机器——常见原因是客户端服务异常、防火墙阻断 8530 端口、或 GPO 未生效。
不复杂但容易忽略
