不及時安裝補丁後果嚴重（沖擊波/震盪波教訓深刻）。但 Windows Update 下載慢，內網電腦無法上網怎麼打補丁？利用微軟 WSUS (Windows Server Update Services) 建立內部 Update 伺服器，讓內網電腦直接下載，縮短時間、提升安全，無網機器只要能訪問內網 WSUS 即可隨時打補丁，有效防禦漏洞病毒內網傳播。

認識 WSUS

• 全稱：Windows Server Update Services
• 版本：2.0 正式版
• 平台：Windows 2000/2003
• 繼承 SUS 並替代：支援更多產品（Office、Exchange、SQL）、中文介面、更好頻寬利用、強大客戶端分組管理、設定管理更簡單直觀。

硬體需求

客戶端 < 500 台：CPU ≥ 750 MHz、RAM ≥ 512MB、充足硬碟空間存放更新檔。

實戰部署四步驟

1. 安裝 WSUS

建議用 Windows 2003（必備組件預裝），勿在該伺服器跑其他網站。
Win2003 未啟用 IIS，需安裝「應用程式伺服器」組件並加入 IIS。下載 WSUS 雙擊安裝，自動解壓。注意：安裝路徑需 ≥ 6GB 且為 NTFS。無 SQL Server 會自動安裝 SQL Server Desktop Engine。網站選擇「使用現有 IIS 預設網站」；獨立升級伺服器非鏡像站點，「鏡像更新設定」無需選擇。

2. 設定補丁類型與語言

瀏覽器訪問 https://伺服器 登入管理介面（圖 1）。首次登入「待辦事項」提示同步，點擊進入設定。常用：

• 「計劃」→「每天定時同步」
• 「產品和分類」選擇可更新產品（Windows/Office/Exchange/SQL 等）與更新分類（圖 2）。
• 「高級同步選項」設定語言為簡體中文。

3. 下載並審批補丁

點「立即同步」連接微軟官方下載符合條件補丁（2-3 小時視數量而定，作者僅選 Win2000 補丁）。下載完須「復查安全和關鍵更新」：在「更新」介面全選 → 左側「更新任務 → 更改核准」→ 選「安裝」→ 確定（圖 3）。不想推送的補丁不勾選。核准後所有客戶端即可下載安裝。

4. 客戶端設定

預設客戶端指向 Windows Update，需改向 WSUS。每台客戶端設定一次：

1. gpedit.msc 開啟群組原則（網域環境直接在 DC 設定）。
2. 本地電腦原則 → 電腦配置 → 管理範本 右鍵「新增/移除範本」→ 添加 wuau.adm。
3. Windows 元件 → Windows Update：
   雙擊「配置自動更新」選擇更新類型（手動/自動）。
   雙擊「指定內部 Microsoft 更新服務位置」輸入 WSUS 伺服器位址。
4. 命令列執行 wuauclt.exe /detectnow 立即啟動更新。群組原則設定定時同步。

客戶端啟動更新後，伺服器管理介面可見客戶端狀態。安裝過程後台進行，客戶端無感知，詳情須查伺服器介面。

部署成功效果

四步驟完成，內網電腦可用 WSUS 更新多款微軟產品，速度遠超官方站點。分組功能實現不同用戶不同更新權限管理。作者發現：員工上網速度提升、病毒騷擾投訴減少，有效防範病毒/木馬內網擴散。