Server 2019 WSUS 同步失败怎么办

简短答案

WSUS 同步失败九成在出站链路：防火墙/代理没放行到上游的 443、或 DNS 解析不到更新源。先验证「这台服务器能不能直接摸到上游」，再谈 WSUS 自身配置。

现象对照

现象	最可能的原因
同步一直卡在某百分比	出站带宽被限或链路不稳，非配置错
直接报「无法连接」	防火墙/代理拦了 443，或 DNS 解析不到源
提示证书错误	中间有证书不完整的代理/SSL 拦截
只有个别类别同步不了	订阅的上游源里该类别已停发

排查步骤

1. 先验证出站（在 WSUS 服务器上直接跑，最准）：

   Test-NetConnection <上游更新源地址> -Port 443

   不通就先修防火墙/代理，别忘了给 WSUS 服务账户配置系统代理。
2. DNS 解析：nslookup <更新源> 能出 IP 再谈连接，解析失败先修 DNS。
3. WSUS 控制台：选项 → 更新源，确认选对「直接从 Microsoft Update 下载」还是上游 WSUS；指到上游时检查上游是否可达。
4. 证书类报错：出站经 SSL 拦截/代理时，WSUS 需要的上游根证书要装进「受信任的根证书颁发机构」，否则一直报证书错。
5. 卡死但网络正常：拉长同步超时、错开高峰时段再同步；仍异常查事件查看器「应用程序和服务日志 → Microsoft → WindowsUpdate」里的具体错误码，对照 Server 2019 条目 的 WSUS 说明。

版本边界：Server 2016 条目 与 2019 的 WSUS 组件基本一致，但客户端订阅到停更系统的补丁会越来越少；长期方案评估是否换 Server 总览条目 里更新的版本。

操作小结

1. Test-NetConnection 先验出站
2. DNS 与系统代理配置
3. 上游证书装进信任根
4. 卡死就错开时段 + 查事件日志

相关链接

• Server 2012/2016/2019 总览条目
• Server 2019 镜像
• Server 2016 镜像