Windows 如何配置 WSUS 服务支持 SSL 加密传输保障更新安全

WSUS 服务支持 SSL 加密传输的核心是确保元数据通信全程走 HTTPS，并实现客户端与服务器间身份可信、内容未被篡改，需完成 PKI 证书部署、IIS 绑定配置、WSUS 服务强制 SSL 设置及客户端组策略联动。

Windows 配置 WSUS 服务支持 SSL 加密传输，核心是让元数据通信全程走 HTTPS，并确保客户端与服务器之间身份可信、内容未被篡改。这不是单纯开启 HTTPS，而是涉及证书部署、IIS 绑定、WSUS 服务配置和客户端策略联动的一整套操作。

获取并安装符合要求的 PKI 证书

WSUS 必须使用由受信任 CA 签发的证书，不能用自签名证书（除非你已将根证书手动部署到所有客户端和服务器）。证书需满足：

1. 主题名称（Subject Name）或 SAN（Subject Alternative Name）必须匹配 WSUS 服务器的 FQDN，例如 wsus.corp.local；
2. 证书用途包含“服务器身份验证”（Server Authentication）；
3. 私钥可导出，且 IIS 应用程序池身份（通常是 Network Service 或专用服务账户）有读取权限；
4. 组织内所有客户端设备必须信任该证书的颁发机构（CA），否则连接会失败。

在 IIS 中绑定证书并启用 SSL

WSUS 依赖 IIS 托管 Web 服务，SSL 配置在此完成：

1. 打开 IIS 管理器 → 选择“Default Web Site”或 WSUS 使用的专用站点（如“WSUS Administration Console”）；
2. 双击“绑定” → 添加 HTTPS 类型绑定，端口设为 443（或自定义安全端口如 8531），选择上一步安装的证书；
3. 进入站点“SSL 设置”，勾选“要求 SSL”，并建议启用“需要 128 位加密”；
4. 重启 IIS（iisreset /restart）使配置生效。

配置 WSUS 服务强制使用 SSL

仅 IIS 开启 HTTPS 不够，还需让 WSUS 内部组件识别并依赖它：

1. 运行 WSUS 控制台 → 右键服务器名 → “选项” → “更新源” → 确认上游同步地址已改为 HTTPS（如 https://upstream-wsus.corp.local:8531）；
2. 在“选项” → “计算机目标” → 检查“使用 SSL 连接到此服务器”是否已勾选；
3. 若使用 Configuration Manager 部署软件更新点（SUP），需在 SUP 属性中启用“要求与 WSUS 服务器进行 SSL 通信”，并在“常规”页指定 HTTPS 地址；
4. 验证 WSUS 数据库连接不受 SSL 影响——SQL Server 连接本身不加密，如需保护，请将数据库迁至本地或通过 IPsec 加密网络链路。

客户端策略与验证要点

客户端必须知道用 HTTPS 访问 WSUS，且能校验证书有效性：

1. 通过组策略配置：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → “指定 Intranet Microsoft 更新服务位置”，将“设置状态”设为已启用，“Intranet 更新服务地址”填入 HTTPS 地址（如 https://wsus.corp.local:8531）；
2. 确保客户端系统启用 TLS 1.2（Win7/2008R2 及以上默认支持，旧系统需注册表或 .NET Framework 更新）；
3. 测试连接：在客户端执行 wuauclt /detectnow 后，检查 WindowsUpdate.log 是否出现 HTTPS 请求及 200 响应；也可用浏览器直接访问 https://wsus.corp.local:8531/selfupdate/wuident.cab，成功下载即表明基础 SSL 已通。