微软向企业IT管理员分享了修复Windows Update常见下载和安装错误的简易方法。重点在于调整防火墙和代理服务器的TLS拦截配置，允许更新流量通过而不进行证书替换。
关键措施包括创建DNS主机名例外和验证错误代码定位故障原因。
适用场景涵盖企业环境中的网络连接受限情况，特别是部署WSUS的组织可跳过此步骤。
官方文档提供了详细的错误代码解析和配置示例，帮助用户快速恢复更新功能。
TLS验证机制与网络风险
Windows Update服务采用TLS安全协议验证服务器身份，防止中间人攻击。当防火墙或代理执行TLS检查时，可能生成自签名证书导致系统拒绝连接。这种安全机制旨在保护数据传输加密性、完整性及真实性，但配置不当会阻断合法更新。
错误代码诊断流程
微软建议使用PowerShell命令Get-WindowsUpdateLogs生成审计日志，重点关注以下错误代码：0x8024402c表示DNS解析失败，0x80240438指向FQDN可达但端点被阻挡，0x80245006和0x80240437涉及TLS证书验证问题。
FQDN白名单配置方案
核心解决方案是将相关域名添加至防火墙/代理的例外列表。微软推荐信任通配符FQDN *.update.microsoft.com，该规则递归覆盖update.microsoft.com、sls.update.microsoft.com等子域名。需注意主机名可能随时间变更，应优先遵循官方Endpoint配置而非硬编码地址。
特殊部署环境注意事项
使用Windows Server Update Services(WSUS)的企业无需应用上述例外规则，因为设备直接连接受管服务器而非公共更新服务。另外需排查VPN提供商是否阻止DNS查找或访问更新服务，必要时联系供应商调整网络策略。
via Neowin
