WSUS批准了25H2，但是终端显示 0x8024002e，且无该补丁。

你好 ，刘凯尔，

更换保单后司机出现，确认您的客户已进入 双重扫描 模式。当你定义了内联网的 WSUS 位置，同时设置了“Windows Update for Business”（延迟）策略时，就会发生这种情况。在这种情况下，Windows Update 代理会分开逻辑：它查询 WSUS 的质量更新，但绕过 WSUS，而是查询 Microsoft 公共服务器的功能更新（如 25H2）和驱动程序。这解释了为什么你看到的是公共驱动，但看不到WSUS批准的25H2更新（因为客户端在公共互联网上寻找，而你还没管理）。

为了解决检测问题并强制客户端所有作都使用 WSUS，您必须配置以下组策略对象（GPO）：

1. 在Windows更新>，>管理模板>进入计算机配置__。 __
2. 启用 __“不允许更新延迟策略导致针对Windows更新的扫描”__策略。
   • 如果你需要严格的“空隙”行为，客户端从不与Microsoft通信，可以启用__“不连接到任何Windows Update的互联网位置”__。
   在客户端上运行 gpupdate /force ，然后是 usoclient StartScan。

关于你的__Windows Server 2016 WSUS__，你__必须__配置IIS MIME类型。Windows 11 更新使用统一更新平台（UUP）时，这不是可选的。Server 2016默认不支持该 .wim 文件类型。即使你修复了上面的扫描问题， 0x80d02002 如果不执行此步骤，下载也会以错误的形式失败：

在WSUS服务器__上打开__IIS管理器。

选择你的WSUS网站（通常是8530端口）。

开放 哑剧类型。

添加一个新类型：扩展， .wimMIME 类型 application/x-ms-wim。

最后，关于显示“已安装/不适用”的图片：WSUS将“已安装”和“不适用”合并在同一状态栏。由于你的客户在23H2，显示“不适用”。这很可能是因为双扫描混淆，或设备未通过25H2所需的硬件兼容性检查（TPM 2.0/安全启动）。先修复双扫描GPO，以获得准确的状态报告。

副总统

你好 ，刘凯尔，

根据提供的截图和错误代码，你的组策略配置是导致失败的直接原因。具体来说，“关闭所有 Windows Update 功能的访问”策略在系统 > 互联网通信管理__中 __ 被设置为_启用_。该设置不仅阻断互联网，还完全禁用了 Windows Update 代理对_任何_来源（包括你内部 WSUS 服务器）进行扫描作的能力，导致了 0x8024002E（WU_E_WU_DISABLED）错误。您必须立即将此设置更改为__禁用__或__未配置__。

请放心，禁用此限制不会导致客户端绕过WSUS，直接访问公共的Microsoft更新服务器。您的策略 指定内联网 Microsoft 更新服务位置 正确配置为指向 http://10.43.33.6:8530。只要该内网位置处于激活状态，Windows Update 代理就会硬编码，优先将你的 WSUS 服务器优先于公共互联网进行更新扫描。

关于你对“MIME类型”和UUP的困惑：这里指__的是WSUS服务器IIS__上的配置，而不是客户端组策略。Windows 11 更新利用统一更新平台（Unified Update Platform），该平台提供的文件（如 .wim 和 .msu），而这些文件是旧的 WSUS 配置（特别是在 Windows Server 2016/2019 上）默认可能无法识别的。如果你的WSUS服务器上的IIS服务没有手动注册这些MIME类型，客户端会成功扫描但无法_下载_实际文件。不过，你现在应该忽略这个问题，专注于纠正组策略对象以修复扫描错误;只有在扫描问题解决后遇到下载错误（如0x80190194）时，才应调查IIS MIME类型。

副总统