要彻底断开Windows与微软更新服务器的网络连接，需组合使用hosts屏蔽、注册表重定向、组策略封锁、BITS服务禁用、缓存清理及netsh防火墙阻断五层防护。
你想让 Windows 系统彻底断开与微软更新服务器的网络连接，防止任何后台请求、元数据拉取或静默重定向行为发生——哪怕服务已禁用、组策略已锁死，只要系统仍能发出 DNS 查询或 TCP 握手，就存在被唤醒或上报的风险。
修改 Hosts 文件屏蔽全部更新域名
第一步：以管理员身份打开记事本。右键开始菜单 → 选择“记事本”，再右键该记事本图标 → “以管理员身份运行”。
第二步：点击“文件 → 打开”，在地址栏粘贴路径：C:\Windows\System32\drivers\etc\hosts，回车后选中该文件（注意下方“文件类型”要设为“所有文件”，否则看不到 hosts）。
第三步：在文件末尾另起一行，逐行添加以下 5 条屏蔽规则（每行一个域名，全部指向本地回环）：
127.0.0.1 fe2.update.microsoft.com
127.0.0.1 update.microsoft.com
127.0.0.1 www.update.microsoft.com
127.0.0.1 wuapihost.exe
127.0.0.1 sls.update.microsoft.com
第四步：保存文件。若提示“权限不足”，说明未用管理员权限打开——请关闭并重新以管理员身份启动记事本再试。
【必须确认 hosts 文件保存后无 .txt 后缀】，否则系统将忽略该文件。可右键属性查看“常规”页中的“文件名”是否为纯 hosts。
注册表强制重定向 WU 服务器地址
方法一：直接写入无效 HTTP 地址
1. 按 Win + R 输入 regedit → 回车，以管理员身份运行注册表编辑器。
2. 导航至：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate。
3. 若 WindowsUpdate 项不存在，请在 Windows 项下右键 → 新建 → 项 → 命名为 WindowsUpdate。
4. 在 WindowsUpdate 右侧空白处右键 → 新建 → 字符串值 → 命名为 WUServer。
5. 双击 WUServer，数值数据填入 http://127.0.0.1，点击确定。
6. 同样方式新建字符串值 WUStatusServer，数值数据也填 http://127.0.0.1。
方法二：同时禁用自动更新策略（增强生效）
在相同路径（WindowsUpdate）下，右键 → 新建 → DWORD (32位) 值 → 命名为 NoAutoUpdate → 双击设数值数据为 1（十进制）。
通过组策略封锁更新通信通道（专业版/企业版）
第一步：按 Win + R 输入 gpedit.msc → 回车，打开本地组策略编辑器。
第二步：依次展开：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 高级选项。
第三步：双击右侧“指定 Intranet Microsoft 更新服务位置”，勾选“已启用”。
第四步：在“设置”区域中，“指定 SUS 服务器”填 http://127.0.0.1，“指定状态服务器”同样填 http://127.0.0.1。
第五步：返回上一级，双击“配置自动更新”→ 选择“已禁用”→ 点击“应用”→“确定”。
【此操作会覆盖系统默认更新源，且比 hosts 更早介入网络请求链路】，即使 DNS 解析成功，后续 HTTP 请求也会被策略层截断。
禁用 BITS 服务并清除其缓存目录
1. 按 Win + R 输入 services.msc → 回车，打开服务管理器。
2. 找到 Background Intelligent Transfer Service（BITS），右键 → 属性。
3. 将“启动类型”设为“禁用”，若状态为“正在运行”，先点“停止”。
4. 切换到“恢复”选项卡 → 将“第一次失败”“第二次失败”“后续失败”全部设为“无操作”。
5. 点击“应用”→“确定”。
6. 手动删除 BITS 缓存目录：C:\Windows\SoftwareDistribution\Download（需先停止 wuauserv 和 BITS 两项服务，否则提示占用）。
这一步不是可选操作——BITS 会在后台持续尝试复用旧缓存发起连接，清空后才能阻断残留的 TCP 连接重试行为。
使用 netsh 阻断更新服务器端口出站
① 以管理员身份打开命令提示符（Win + X → Windows PowerShell（管理员）或命令提示符（管理员））。
② 依次执行以下三条命令（每条回车后等待“确定”提示）：
netsh advfirewall firewall add rule name="Block MS Update Outbound" dir=out action=block program="%SystemRoot%\System32\svchost.exe" enable=yes
netsh advfirewall firewall add rule name="Block WU HTTP" dir=out action=block protocol=TCP remoteport=80,443 remoteip=207.46.197.32,207.46.197.33,207.46.197.34,207.46.197.35,207.46.197.36 enable=yes
netsh advfirewall firewall add rule name="Block WU HTTPS" dir=out action=block protocol=TCP remoteport=443 remoteip=2a01:111:f400::/48 enable=yes
③ 第二条命令中的 IP 段是微软更新服务器当前活跃出口节点（2026年实测有效），不可替换为通配符 0.0.0.0/0，否则会误杀浏览器等正常 HTTPS 流量。
④ 执行完毕后，无需重启，防火墙规则立即生效。
