WSUS 客户端和服务器能不能连上，取决于三件事：客户端拿到服务器地址、网络能通到 WSUS 的监听端口、客户端更新服务真的去发请求，这三条链路任何一条断了，控制台里就永远只有一台“失踪”的电脑。
WSUS客户端和服务器怎么连接：先看清三条链路
很多人把 WSUS 当成装完就能用的东西，WSUS 服务端安装、IIS 站点起来之后，实际上和客户端之间没有建立任何联系，整个连接过程可以理解为下面这样：服务器端负责通过组策略或注册表，把本机地址告诉客户端；客户端主动去向这个地址报告，WSUS 服务器不会主动连接客户端,只会被动接收客户端的汇报。
地址下发，客户端得知道找谁
客户端不会自己去搜索 WSUS 服务器，它默认会去找微软公网更新，只有被明确告知“去内网那台机器”之后，才会改变行为，下发地址有两种方式,优先级上组策略更高。
- 组策略下发：路径是
计算机配置 > 管理模板 > Windows 组件 > Windows 更新 > 管理从 Windows Server Update Service 提供的更新 > 指定 Intranet Microsoft 更新服务位置，把“设置 Intranet 更新服务”和“设置 Intranet 统计服务器”都填成同一个地址，http://wsus.corp.local:8530。 - 注册表下发：不想用域策略时，直接写
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate，新建两个字符串值WUServer和WUStatusServer同样是那个 URL；再到...\WindowsUpdate\AU下把UseWUServer设成1。
地址写错是最常见的失联原因，多一个斜杠、少了端口号、用了 IP 但证书绑的是域名,都会让客户端返回错误码却不在界面上明说。
网络可达，端口和解析都不能含糊
地址对了，接下来看能不能通，WSUS 依赖 IIS，默认有两个监听：HTTP 的 8530 和 HTTPS 的 8531，老版本 WSUS 3.0 SP2 以及更早的部署，也可能跑在 80/443 上，行业共识认为，新部署一律用 8530/8531，避免和同机其他 IIS 站点抢端口。
在客户端上做连通性验证,比在服务器上猜要快得多：
Test-NetConnection wsus.corp.local -Port 8530
返回 TcpTestSucceeded : True 才算通，返回 False 时，依次检查服务器防火墙入站规则、中间网络设备的 ACL、以及客户端 DNS 能否解析那个主机名，名不副实的 DNS 记录会让客户端连到一台根本不管补丁的机器上。
服务在跑，请求才会发出去
前两条都满足，还剩客户端自己的问题，客户端更新由 wuauserv（Windows Update）服务驱动，它被禁用或启动类型被改，一切配置都是摆设，客户端首次接入时会访问 http://<服务器>:8530/selfupdate/wuident.cab 做自更新，这个路径被拦，客户端会卡在“正在检查更新”很久。
WSUS服务器端口配置：8530、8531还是80、443
端口选型不是偏好问题，是兼容问题,下面这张表可以对着自己的环境核一遍：
| 场景 | 服务器端口 | 客户端填写示例 | 说明 |
|---|---|---|---|
| 内网 HTTP，最常见 | 8530 | http://wsus:8530 |
配置最省事，适合纯内网 |
| HTTPS 加密 | 8531 | https://wsus:8531 |
需要证书，客户端要信任根证书 |
| 老版本 WSUS 3.0 默认 | 80 / 443 | http://wsus |
易与其它 IIS 站点冲突 |
| 反向代理前置 | 443 | https://wsus.corp.local |
代理需放行 /selfupdate 和 /SimpleAuthWebService |
端口改动后，别忘了同步改 IIS 里 WSUS Administration 站点的绑定，以及组策略里的 URL，只改一处,客户端就会一直撞墙。
内网WSUS服务器搭建与客户端接入的实操顺序
搭建本身不复杂，容易出问题的是“接入”这一步，按下面的顺序走,能把大部分坑提前填掉。
- 服务端角色安装：服务器管理器 → 添加角色和功能 → Windows Server Update Services，数据库选 WID 即可,多数中小环境够用。
- 完成初始配置：选上游源（微软更新或上游 WSUS）、语言、产品分类，然后同步一次，不同步,控制台里没东西可发。
- 确认监听地址：打开 IIS 管理器，看
WSUS Administration站点的绑定端口，浏览器访问http://服务器名:8530应能看到 WSUS 的说明页。 - 放行防火墙：创建入站规则允许 TCP 8530/8531，如果客户端跨网段,还要确认这条规则作用在正确的配置文件上。
- 下发组策略：在域控上建 GPO，链接到计算机 OU，填好更新服务位置；非域环境用注册表脚本批量导入。
- 客户端强制生效：在客户端执行
gpupdate /force，再执行UsoClient StartScan（Windows 10/11 及 Server 2016 之后）或wuauclt /detectnow /reportnow（旧系统）。 - 回控制台验收：更新服务控制台 → 计算机 → 未分配的计算机,几分钟到几十分钟内应出现新机器。
如果是混合环境，客户端跨地域、跨网段上线，建议在组策略里同时启用“客户端目标组”，让机器按组织单位或站点自动落到不同的计算机组，后续审批补丁时能分批放量,不至于一次性推全公司。
WSUS客户端连不上服务器怎么办：按经验顺序排查
遇到“配置都填了，机器就是不出现”，不要重新装服务端,顺着链路倒查效率更高。
- 先看客户端自身状态：
Get-Service wuauserv是否为 Running；Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate"里WUServer的值是否正确写入。 - 再看是否被本地策略覆盖：命令行
gpresult /h report.html，确认实际生效的是哪条策略，以及更新服务位置有没有被更早的 GPO 顶掉。 - 然后测端口：
Test-NetConnection打一遍 8530，必要时用telnet复核。 - 接着清客户端身份：同一批机器用镜像或模板部署时，
SusClientId往往重复，WSUS 会认为是同一台机器，只显示一条记录，停止服务后删除HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate下的SusClientId、SusClientIdValidation、PingID，重启服务,再执行一次检测即可重新注册。 - 最后看日志：
Get-WindowsUpdateLog生成的日志里，搜服务器主机名或错误码,比在控制台里干等有效。
WSUS和SCCM区别：什么时候没必要上大平台
这是被问得最多的对比，WSUS 是 Windows Server 自带角色，不收额外授权费；SCCM（现称 Microsoft Configuration Manager）属于 System Center 体系，需要单独授权，功能也远超补丁分发，包含操作系统部署、软件分发、资产清单等，业内专家指出，规模在几百台以内、只需要“把月度补丁推下去”的场景，WSUS 的投入产出比更高；上千台、需要精细到应用层的分发策略，才值得考虑 SCCM 或云端的 Intune、Windows Autopatch，用一句话概括：WSUS 只回答“这台机器该装哪些补丁”，SCCM 还要回答“这台机器该装哪些软件、怎么装系统”。
关于WSUS客户端连接的高频疑问
WSUS客户端和服务器怎么连接时，需要开哪些端口？
只开 TCP 8530（HTTP）或 8531（HTTPS）就够，方向是客户端到服务器，服务器出站方向需要访问微软更新源（80/443），用于同步元数据，WSUS 配置了 SSL 并启用客户端证书校验，还要保证客户端信任签发该证书的根 CA。
客户端配好了组策略，为什么控制台里迟迟不出现？
控制台刷新本身有延迟，默认客户端每 22 小时左右做一次检测，新上线机器虽然会提前触发，但不保证立即上报，可以用 UsoClient StartScan 手动催一次，再等几分钟，若超过一小时仍不出现，回到端口连通性和客户端 ID 重复这两点排查,比反复重启服务端更有用。
客户端显示由策略管理，却一直卡在“正在检查更新”
这种情况多半是自更新路径不通，客户端需要能访问 http://<服务器>:8530/selfupdate/wuident.cab，代理设备或 URL 过滤规则拦掉这个路径后，检测过程会长时间无响应，在客户端直接用浏览器打开这个地址，能下到 cab 文件，说明链路正常；打不开就从网络策略上找原因。
WSUS 的连接问题从来不是玄学，地址、端口、服务三件事逐一确认，绝大多数故障都能在一次排查中定位，把组策略的配置模板标准化，再配上一条固定的排查命令清单,后续新机器接入基本可以做到开箱即用。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/783798.html
