WSUS 變更後用戶端 Windows Update 檢測異常排查

Question

WSUS 變更後用戶端 Windows Update 檢測異常排查

Yiplok Keung 40

自從管理員修改咗 WSUS嘅 Configuration 之後，幾部 Domain-joined 嘅 Workstation 就停咗喺度，掃唔到最新嘅 Windows Update。

為咗防止 Enterprise 裝置出現 Security Patch 漏洞，請幫手 Urgently 排查以下幾項：

Group Policy 設定： 用 gpresult /h 驗證 Effective GPO 係咪正確指引去指定嘅 WSUS Server URL。

WSUS 連線狀態： 檢查 Client 能否正常存取 WSUS Port (HTTP 8530 / HTTPS 8531) 以及 IIS AppPool 有冇 Crash。

Update 檢測行為： 檢查 WindowsUpdate.log (或經 PowerShell Get-WindowsUpdateLog 產生) 以及嘗試行 USOClient StartScan / wuauclt /detectnow 睇下有乜 Error。

0 則留言

1 個回答

您的回答

Answer 1

你好，强，

感谢您在 Microsoft Windows 论坛提问！

鉴于问题是在WSUS配置更改后立即出现的，可疑的罪魁祸首可能是更新后的GPO端口/协议不匹配，服务器上的WsusPool崩溃或循环，或者双扫描行为覆盖了你的WSUS设置。

第一个建议是验证有效的 GPO 和 WSUS URL，以确认客户端确实接收到了新的 WSUS 服务器 URL，且没有冲突策略覆盖该地址。你可以在受影响的机器上依次执行这些命令 gpupdate /force ， gpresult /h C:\Temp\WSUS_GPO_Report.html 然后打开生成的 HTML 报告，导航到 Windows Update → Windows 组件→→管理模板中的计算机配置。验证这些值：URL 必须包含正确的协议和端口，如 http://WSUS-Server.domain.local:8530 或 https://WSUS-Server.domain.local:8531。如果 GPO 显示 8531（HTTPS），WSUS IIS 站点必须绑定在 8531 上的 SSL。如果不匹配（GPO显示8531，但服务器只监听8530）会导致扫描立即失败。请注意：如果客户端也由配置管理器（SCCM）管理，AD组策略将覆盖SCCM客户端设置的本地策略。

另一个建议是通过测试客户端是否能实际访问WSUS的Web服务端点来检查WSUS端口的可达性。在受影响的工作站上，运行此PowerShell命令 Test-NetConnection -ComputerName WSUS-Server.domain.local -Port 8530 ，或者Test-NetConnection -ComputerName WSUS-Server.domain.local -Port 8531（请根据需要替换服务器名称和端口）检查TcpTestSucceeded : True结果的值，确认网络层级可达性。另一方面，尝试直接在客户端的浏览器中打开WSUS的Web服务URL。对于HTTP：http://WSUS-Server:8530/ClientWebService/client.asmx，对于HTTPS：https://WSUS-Server:8531/ClientWebService/client.asmx 健康的结果是HTTP 200响应，显示Web服务方法列表。HTTP 503（服务不可用）强烈表示WSUS服务器上的WsusPool应用池已被停止或循环使用。超时表示防火墙、代理或DNS问题。如果客户端发现503或间歇性故障，请打开互联网信息服务（IIS）管理器。点击应用池。然后找到WsusPool，检查其状态是否为启动。如果为停止，右键点击并选择开始。有时，即使运行中，配置后常见的问题是WsusPool由于默认私有内存限制较低（1,843,200 KB ≈ 1.8 GB）而过于激烈地回收。这会导致负载时出现间歇性503错误和扫描失败。

这里还值得一提的是，现代Windows上一个常见的配置后陷阱是双重扫描。即使WSUS GPO是正确的，如果存在延迟策略或扫描源策略未明确设置，客户端仍可能扫描Windows Update（Microsoft云）而非你的WSUS服务器。

此外，检查客户端日志以确定具体故障点也值得。在 Windows 10/11 中，WindowsUpdate.log 已不再默认编写。您可以通过 PowerShell 命令带提升模式生成 Get-WindowsUpdateLog -LogPath C：\Temp\WindowsUpdate.log 然后打开日志搜索错误或 0x。同时，检查 WSUS 服务器的 IIS 日志（C：\inetpub\logs\LogFiles\W3SVC*）是否有请求 /ClientWebService/ 。注意是否有大量 HTTP 500 或 503 响应。如果 WSUS 服务器本身返回 500/503，问题出在服务器（应用池、数据库连接或 WSUS 服务健康状态），而非客户端。

你可以参考以下文章获取更多信息。

如果所提供的信息对你有帮助的话！欢迎考虑点击“接受答案”。如果你还有更多问题，欢迎留言。