WSUS防火墙配置需分出站与入站：出站需放行80/443至Microsoft更新域名，入站需放行8530/8531至内网客户端；物理隔离环境则无需出站规则，但须部署双WSUS并离线导入更新。

wsus 部署中，防火墙规则配置是确保服务正常通信的关键环节。它分两部分：一是让 wsus 服务器能连通外部（如 microsoft 更新），二是让内网客户端能访问 wsus 服务器。端口放行错误会导致同步失败、客户端无法检测更新或报告超时。

WSUS 服务器 outbound（出站）防火墙规则

当 WSUS 服务器需直接从 Microsoft 更新下载内容时，必须允许其访问以下目标和端口：

• 目标域名：http://windowsupdate.microsoft.com（以及相关 Microsoft 更新子域，如 update.microsoft.com、download.windowsupdate.com）
• 协议与端口：HTTP（端口 80）和 HTTPS（端口 443） 出站连接
• 注意：不是所有环境都走 80/443——若使用自定义上游 WSUS 服务器，则只需放行到该上游服务器的 8530（HTTP）或 8531（HTTPS） 端口

WSUS 服务器 inbound（入站）防火墙规则

客户端通过 HTTP 或 HTTPS 连接 WSUS 服务器，需在 WSUS 主机本地防火墙或网络边缘防火墙上开放对应端口：

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 默认端口：8530（HTTP）和 8531（HTTPS） —— 这是 WSUS 安装后 IIS 绑定的专用端口，不是 80/443
• 若修改过端口（如在安装向导或 IIS 中自定义为 9000/9001），则必须按实际配置放行
• 建议仅对内网 IP 段（如 192.168.1.0/24）开放，避免暴露给公网

常见误配与验证要点

很多问题源于混淆“谁连谁”和“走什么端口”。以下操作可快速定位：

• 在 WSUS 服务器上运行 Test-NetConnection -ComputerName update.microsoft.com -Port 443，确认出站连通性
• 在客户端执行 telnet wsus-server-name 8530，验证入站端口是否可达（需先启用 Telnet 客户端）
• 检查 Windows 防火墙高级安全中，“入站规则”里是否有名为 “WSUS HTTP Port 8530” 的启用规则；若无，手动新建规则并指定端口和作用域
• 企业级防火墙（如 FortiGate、Cisco ASA）还需确认 NAT、ACL 或应用控制策略未拦截 HTTP User-Agent 包含 “WindowsUpdateAgent” 的流量

物理隔离网络的特殊处理

若 WSUS 服务器完全断网（如涉密内网），无需配置出站规则，但需注意：

• 此时必须部署两台 WSUS：一台联网机负责导出更新（用 wsusutil export），另一台离线机导入（用 wsusutil import）
• 离线 WSUS 仍需放行 8530/8531 入站端口 给内网客户端
• 导出/导入过程不依赖网络通信，但需确保 USB 或光盘介质在导入前已通过杀毒扫描且时间同步准确（误差 ≤5 分钟）