WSUS 的加密更新口
WSUS（Windows Server Update Services）默认占用 8530 与 8531：8530 提供 HTTP 更新服务，8531 提供 HTTPS。企业内网 Windows 客户端通过组策略指向 WSUS 地址，补丁在服务端下载一次后由内网分发，出口带宽与补丁可控性都掌握在自己手里。
基本信息
| 服务 | Windows Server Update Services |
|---|---|
| 协议 | TCP/HTTP(S) |
| 默认端口 | 8530（HTTP）/ 8531（HTTPS） |
| 客户端指向 | 组策略或注册表指定 WSUS 地址 |
| 暴露面 | 仅内网客户端网段 |
典型使用场景
- 内网集中分发补丁，避免每台主机各自走出口下载
- 补丁分级审批：先让测试组安装，确认无误再放开生产组
- 弱网或隔离环境里作为本地更新源
- 补丁合规审计：哪些主机缺哪些补丁一表看清
- 作为 SCCM 等管理平台的上游更新源
客户端侧核对
客户端侧核对
# 连通性验证（服务端抓包或用可访问性判断）
(New-Object Net.WebClient).DownloadString('http://wsus01:8530/selfupdate/iuident.cab') | Out-Null
gpresult /h C:\tmp\rsop.html # 查实际生效的 WSUS 地址
usoclient StartScan # 强制扫描（旧系统为 wuauclt /detectnow）
netstat -ano | findstr 8531排障与核对
| 检查项 | 做法 | 异常表现 |
|---|---|---|
| 端口监听 | netstat -ano | findstr 853 | 只开 8530：按 https 配置的客户端静默失败 |
| 客户端指向 | gpresult 或注册表 | 地址为空：客户端直连微软更新，不受控 |
| 更新日志 | 事件查看器或更新日志文件 | 出现 364 一类错误码：客户端连不上 WSUS |
| 补丁状态 | WSUS 报表与客户端实际对照 | 报表显示已安装而客户端缺失：上报周期未走完 |
客户端首次请求通常走 8530，只有启用加密时才切到 8531。若防火墙只放通 8530、组策略里写的却是 https 地址，补丁会静默停摆数月，直到有人统计补丁合规率才会暴露。
为什么补丁会悄悄失败
Windows 更新失败时默认不向用户弹窗，多数情况只在事件日志里留一行错误码。内网主机一多，单台失败很难被发现，因此要把合规率报表与服务端日志一起看：报表反映结果，服务端日志才能区分是端口、证书还是审批策略的问题。
8531 走 HTTPS 时客户端必须信任服务端证书，自签证书要预先分发到受信任存储；换证书或改主机名后务必重新验证，否则大量客户端会在同一时间点集体失联。
WSUS 服务端只应存在于内网：暴露到公网会让扫描器确认内网补丁策略与主机规模，为后续针对性攻击提供清单。