配置 WSUS 连接时 HTTP 错误

先记录实际的 HTTP 状态码、报错时间和 WSUS 地址。ping microsoft.com 测的是 ICMP，不是 Windows Update / WSUS 的 HTTP 服务；不能仅凭 ping 不通就判断更新服务不可用。

区分连接方向

• 客户端连接 WSUS：检查组策略中配置的 WSUS 主机、协议和端口。常见端口是 HTTP 8530、HTTPS 8531，但应以实际部署为准。
• WSUS 同步上游：检查 WSUS 服务端到上游更新地址的连接、代理和同步日志。这与客户端能否连接 WSUS 是两段不同链路。

客户端 PowerShell 中可先测试实际端口，替换示例主机：

Test-NetConnection -ComputerName "wsus.example.com" -Port 8530

端口连通只证明 TCP 连接成功，不能证明 IIS、证书和 WSUS 应用正常。

按错误继续排查

查看 WSUS / IIS 日志及客户端更新日志：401/403 优先查认证与访问权限；503 检查对应应用池、服务状态和资源；超时则检查路由、代理、防火墙和服务器响应。

静态 IP 需要正确的网关、DNS 和路由，不必为了排错直接切到 DHCP。按实际端口及来源范围调整防火墙规则，不把关闭整个防火墙作为通用第一步。

WSUS 服务和 Windows Update 不一定继承浏览器或当前终端的代理。需要代理时，在对应服务的设置中配置，并确认内网 WSUS 地址是否应绕过代理；不能只凭浏览器能上网或启动代理软件判断服务也能联网。

参考：配置 WSUS、更新管理排错。