企業級方案：使用 SUS 在區域網路批次部署 Windows 2000/XP 更新

背景痛點：大量電腦更新的挑戰

隨著 Windows 漏洞頻出，透過 Windows Update 逐台線上更新在機房、企業環境極不實際——頻寬消耗大、耗時久、管理負擔重。Microsoft 提供的解決方案是 Software Update Services (SUS)：在區域網路架設內部更新伺服器，所有用戶端向內部伺服器取得更新，大幅節省外部頻寬並實現集中管理。

SUS 功能與限制

• ✅ 提供 Windows 作業系統、IE 瀏覽器的關鍵更新與 Service Pack
• ✅ 完全自動化，無需人工干預
• ❌ 不支援 Office 或其他 Microsoft 產品更新
• ❌ 僅支援 Windows 2000 SP2 以上版本作為用戶端

伺服器端部署需求

伺服器端安裝與設定步驟

1. 安裝 IIS → 安裝 SUS 伺服器元件 (全程採預設值即可)
2. 開啟管理介面：
   • 本機：控制台 → 管理工具 → Microsoft Software Update Services
   • 遠端：瀏覽器輸入 https://SUS伺服器IP/susadmin，以管理員帳號登入
3. 設定同步來源 (Set Options)：
   • 單一 SUS 伺服器：選「直接同步 Microsoft Windows Update 伺服器」
   • 多台 SUS：指定同步自上層 SUS 伺服器，減少外部頻寬
4. 新更新核准方式：
   • 自動核准：同步後立即提供給用戶端
   • 手動核准 (建議)：管理員測試無誤後再發布，避免更新衝突現有應用程式
5. 語言篩選：務必只勾選環境中使用的語系 (如繁體中文、簡體中文)，避免下載多國語言更新浪費空間與頻寬
6. 排程同步：建議設定在離峰時段 (如深夜) 自動同步，並可設定重試次數
7. 核准更新發布：在「Approve updates」介面勾選測試通過的更新點擊「Approve」發布

用戶端部署：工作群組 vs. 網域環境

共同前置需求

• Windows 2000 SP2 / XP / Server 2003
• Windows 2000 SP2、XP RTM 需額外安裝 SUS 用戶端元件；Windows 2000 SP3、XP SP1、Server 2003 內建支援

工作群組環境：本機群組原則設定

1. 執行 gpedit.msc 開啟群組原則編輯器
2. 電腦設定 → 系統管理範本 → 右鍵「新增/移除範本」 → 加入 %windir%\inf\wuau.adm
3. 展開「Windows 元件」→「Windows Update」，設定兩項關鍵原則：
   • 設定自動更新：指定檢查/安裝時間、下載/安裝行為
   • 指定內部 Microsoft 更新服務位置：輸入 https://SUS伺服器名稱 或 https://SUS伺服器IP

網域環境：群組原則集中部署 (強烈建議)

1. 在網域控制站執行 dsa.msc 開啟「Active Directory 使用者與電腦」
2. 於目標 OU 或網域右鍵 → 內容 → 群組原則 → 新建原則 (如「SUS Client Policy」)
3. 編輯該原則：電腦設定 → 系統管理範本 → Windows 元件 → Windows Update，同樣設定上述兩項原則
4. 所有加入網域的電腦重啟後自動套用設定

驗證與維運建議

• 用戶端重啟後，檢查 %windir%\WindowsUpdate.log 確認是否成功連線 SUS 伺服器
• 定期在 SUS 管理介面檢視同步狀態、磁碟空間、未核准更新清單
• 建立「測試用戶端組」先行驗證更新相容性，再推廣至生產環境

結語

透過 SUS 架設內部更新伺服器，配合群組原則集中管理用戶端，可將 Windows 2000/XP 環境的修補部署從「管理惡夢」轉變為「自動化常態作業」，大幅降低安全風險與管理成本。對於尚未導入 WSUS (Windows Server Update Services，SUS 後繼者) 的舊環境，SUS 仍是極具性價比的過渡方案。