為局域網客戶端配置 SUS/WSUS 內部更新服務器組策略教程

企業部署 SUS（Software Update Services）或 WSUS (Windows Server Update Services) 後，客戶端默認仍連接微軟公網 Windows Update。需通過組策略將客戶端指向內部更新服務器，實現統一補丁分發、節省帶寬、合規審計。本文以 Windows XP/Server 2003 環境為例，詳細說明添加 wuau.adm 模板並配置自動更新策略的完整流程。

前置檢查

• Windows 2000 SP3+、Windows XP SP1+、Windows Server 2003 已內置 SUS/WSUS 客戶端，無需額外安裝。
• 僅 Windows 2000 RTM/SP1/SP2、Windows XP RTM 需安裝 Wuau22chs.msi 客戶端。
• 確認 SUS/WSUS 服務器已正常同步補丁，URL 可訪問（如 https://wsus.corp.local:8530）。

配置步驟

第 1 步：打開組策略編輯器並添加 wuau.adm 模板

1. 運行 gpedit.msc（或在 GPMC 中編輯域 GPO）。
2. 展開「計算機配置」→ 右鍵「管理模板」→「添加/刪除模板」。
3. 點擊「添加」→ 選擇 wuau.adm →「打開」。

圖1：打開添加/刪除模板對話框

圖2：選擇 wuau.adm 模板文件

提示：若列表中無 wuau.adm，請從微軟官網下載或從已配置機器的 C:\Windows\Inf 複製到本機 %SystemRoot%\Inf 目錄。

圖3：模板添加成功

第 2 步：定位 Windows Update 策略節點

展開：計算機配置 → 管理模板 → Windows 組件 → Windows Update。

圖4：Windows Update 策略節點

第 3 步：配置自動更新行為

1. 雙擊右側 「配置自動更新」。
2. 選擇 「已啟用」。
3. 在「配置自動更新」下拉框選擇模式：

4. 若選「4」，需設置「計劃安裝日期」（每天/每週）和「計劃安裝時間」（如 03:00）。
5. 點擊「確定」。

圖5：配置自動下載並計劃安裝

第 4 步：指定內部更新服務器地址

1. 雙擊 「指定企業內部 Microsoft 更新服務位置」。
2. 選擇 「已啟用」。
3. 在以下兩個框中均輸入 SUS/WSUS 服務器 URL：

• 「為檢測更新設置企業內部更新服務」：https://wsus.corp.local:8530
• 「設置企業內部統計服務器」：https://wsus.corp.local:8530

注意：SUS 時代需在 URL 後加 /SUSAdmin（如 https://sus.corp.local/SUSAdmin）；WSUS 3.0+ 不需要 加後綴，直接用服務器 URL 即可（端口默認 8530，SSL 為 8531）。

4. 點擊「確定」保存。

圖6：指定內部 WSUS 服務器地址

驗證生效

1. 客戶端運行 gpupdate /force 強制刷新策略。
2. 打開「自動更新」控制面板項，確認「從以下位置接收更新」顯示內部服務器地址。
3. 查看 C:\Windows\WindowsUpdate.log 日誌，確認連接目標為內部服務器。
4. 在 WSUS 控制台「電腦」節點確認客戶端已上報。

進階建議

• 目標組管理： 在 WSUS 建立電腦組（如「測試組」「生產組」），通過組策略「啟用客戶端目標組」指定客戶端所屬組，實現分階段推送。
• 截止日期部署： 關鍵補丁設置截止日期，到期強制安裝重啟。
• 狀態報告： 定期導出 WSUS 合規報告，納入安全審計。