问题背景

在一个活动目录域环境中，域名是xyzz.internal。有一台域控制器，兼做Windows服务器更新服务（Windows Server Update Services，WSUS）器，其完全限定域名（Fully Qualified Domain Name，FQDN）是DC1-A.xyzz.internal。一台域成员客户机，C1-A.xyzz.internal，被通过组策略告知用DC1-A作为WSUS服务器，即从该服务器而不是Windows更新下载更新。

问题症状

C1-A能向DC1-A汇报，并获取到适用于自己的更新。

然而，当它下载更新安装包文件时，进度永远卡在0%。在等待约5小时后，客户机上显示错误，声称“下载使用了太长时间，下载失败”。

故障排查

我们检查了各种设置、日志，均未找出任何明显的问题。然而，直到我们重新检查组策略时，我们发现了一些端倪。
当检查到策略设置内网微软更新服务位置时，我们发现设置如下。其中，dc1-b.xyzz.internal是另一站点B中的域控制器。

问题就出在此处。设置备选下载服务器处填写的并不应是一台备用WSUS服务器，该组策略并不提供故障转移，而模糊不清的界面说明和官方帮助文档使人产生了类似的误解。
该设置其实是为了设置一个与WSUS服务器地址不同的更新安装包文件下载位置。当该选项被填写时，客户机会联系WSUS服务器来获取元数据——决定有哪些可用于自身的更新，然后从该文件下载服务器下载真正的安装包本身。

解决方法

删除设置备选文件下载服务器选项里的内容。此时，客户机会默认从第一个选项里设置的WSUS服务器下载更新安装包。
之后，重新在客户机的设置应用中点击检查更新。
客户机成功获取到了适用于自身的安装包，下载，并开始了安装。

结语

WSUS已经在Windows Server 2025中停止支持。这是一款老旧、充满故障、设计愚蠢的软件。它应该会逐渐淡出行业，也许会少带给人们一些痛苦。
要想修复一些最常见的WSUS故障，查看这篇文章。WSUS的愚蠢设计使得人们不能删除更新安装包文件和重新添加被删除的客户机。如果你想干净地卸载WSUS，查看这篇文章。