Принудительная проверка обновлений Windows Server 2019 через Интернет в обход WSUS
Симптомы блокировки обновлений локальным сервером WSUS
На сервере Windows Server 2019 при нажатии кнопки «Проверить наличие обновлений» поиск завершается мгновенно сообщением «У вас установлены последние обновления» либо завершается кодом ошибки 0x8024401c или 0x8024500c. При этом критические исправления безопасности не скачиваются, так как корпоративный сервер WSUS еще не синхронизировал или не одобрил пакеты.
| Признак | Где отображается | Причина |
|---|---|---|
| Опция «Поиск обновлений в Интернете» отсутствует | Параметры > Центр обновления Windows | Групповая политика GPO скрывает ссылку Dual Scan |
| Ошибка 0x8024500c | WindowsUpdate.log | Политика DoNotConnectToWindowsUpdateInternetLocations блокирует доступ |
| WUAgent опрашивает только локальный порт 8530 | Get-ItemProperty HKLM:\Software\Policies\Microsoft\Windows\WindowsUpdate | Задано значение WUServer / WUStatusServer |
Пошаговое принудительное обновление через Microsoft Update Catalog
- Разовый запуск поиска обновлений через COM-объект в PowerShell: выполните команду для сканирования внешних серверов Microsoft:
$UpdateSession = New-Object -ComObject Microsoft.Update.Session; $UpdateSearcher = $UpdateSession.CreateUpdateSearcher(); $UpdateSearcher.ServerSelection = 2; $SearchResult = $UpdateSearcher.Search("IsInstalled=0 and Type='Software'"); $SearchResult.Updates | Select-Object Title, SupportUrl - Временный обход WSUS через реестр без перезагрузки:
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" -Name "UseWUServer" -Value 0; Restart-Service -Name wuauserv -Force; UsoClient StartInteractiveScan - Установка модуля PSWindowsUpdate и скачивание из глобального каталога:
Install-Module -Name PSWindowsUpdate -Force; Get-WindowsUpdate -MicrosoftUpdate -AcceptAll -Install -AutoReboot - Возврат привязки к корпоративному WSUS после обновления:
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" -Name "UseWUServer" -Value 1; Restart-Service -Name wuauserv -Force
Важно: Если доменная политика GPO перезаписывает UseWUServer = 1 в фоновом режиме каждые 90 минут, отключите наследование GPO на время аварийного обновления либо используйте явный флаг -MicrosoftUpdate в PSWindowsUpdate.
Частые вопросы (FAQ)
Что означает параметр ServerSelection = 2 в COM-объекте Windows Update?
Значение 2 указывает агенту обновлений принудительно использовать глобальную службу Microsoft Update (Internet), игнорируя корпоративный WSUS.
Почему команда wuauclt /detectnow не работает в Windows Server 2019?
Начиная с Windows 10 и Server 2016 утилита wuauclt является устаревшей. Вместо нее используется бинарный диспетчер UsoClient.exe (Update Session Orchestrator) с аргументами StartScan или StartInteractiveScan.
Нужно ли открывать дополнительные порты на периметральном фаерволе?
Да, требуется исходящий доступ по портам TCP 80/443 к диапазонам адресов *.update.microsoft.com, *.windowsupdate.com и *.delivery.mp.microsoft.com.
Как принудительно очистить зависшие метаданные старого WSUS?
Остановите службу wuauserv и удалите каталог C:\Windows\SoftwareDistribution\DataStore, после чего перезапустите службу.
