WSUS服務(wù)器的部署場景有以下三種：

1、單WSUS服務(wù)器環(huán)境

這是最常見的WSUS服務(wù)部署場景，如下圖所示：

企業(yè)網(wǎng)絡(luò)中部署了一臺(tái)WSUS服務(wù)器，WSUS服務(wù)器連接到Microsoft Update來獲取更新程序（稱之為同步），并分發(fā)給企業(yè)網(wǎng)絡(luò)中的客戶端計(jì)算機(jī)。當(dāng)WSUS服務(wù)器和Microsoft Update進(jìn)行同步時(shí)，WSUS會(huì)檢查Microsoft Update是否具有新的更新程序并進(jìn)行下載；當(dāng)***次進(jìn)行同步時(shí)，WSUS會(huì)下載本地設(shè)置要求下載的所有更新程序。

WSUS服務(wù)器使用HTTP（TCP 80）和HTTPS（TCP 443）來從Microsoft Update獲取更新程序，如果企業(yè)在內(nèi)部和外部網(wǎng)絡(luò)之間部署有防火墻，你必須在防火墻上允許WSUS服務(wù)器到Microsoft Update站點(diǎn)的訪問，需要的具體訪問規(guī)則為：

允許WSUS服務(wù)器到以下Web站點(diǎn)的HTTP/HTTPS訪問

• http://windowsupdate.microsoft.com
• http://*.windowsupdate.microsoft.com
• https://*.windowsupdate.microsoft.com
• http://*.update.microsoft.com
• https://*.update.microsoft.com
• http://*.windowsupdate.com
• http://download.windowsupdate.com
• http://download.microsoft.com
• http://*.download.windowsupdate.com
• http://wustat.windows.com
• http://ntservicepack.microsoft.com
　

WSUS與IIS服務(wù)器結(jié)合創(chuàng)建Web站點(diǎn)來實(shí)現(xiàn)更新程序的分發(fā)，你可以配置WSUS Web站點(diǎn)共享使用默認(rèn)Web站點(diǎn)（服務(wù)端口為TCP 80）或者使用其他的端口為客戶端計(jì)算機(jī)提供服務(wù)。在安裝WSUS服務(wù)器時(shí)，如果你不選擇使用默認(rèn)的Web站點(diǎn)，那么WSUS將創(chuàng)建自定義的Web站點(diǎn)并在TCP端口8530偵聽HTTP連接請求，建議你使用默認(rèn)的Web站點(diǎn)。

WSUS服務(wù)器要求客戶端計(jì)算機(jī)上運(yùn)行WSUS客戶端，WSUS客戶端可以在打過SP3及以上補(bǔ)丁的Windows 2000全系列產(chǎn)品、Windows XP全系列產(chǎn)品、Windows server 2003全系列產(chǎn)品上運(yùn)行，換言之，WSUS服務(wù)器支持運(yùn)行這些操作系統(tǒng)的客戶端計(jì)算機(jī)從其獲得更新程序。其中Windows XP SP2以及Windows server 2003 SP1已經(jīng)內(nèi)建了WSUS客戶端；而其他的操作系統(tǒng)中除了沒有安裝過任何SP的Windows XP外，內(nèi)建的自動(dòng)更新組件均具有自我更新特性，可以通過WSUS提供的自我更新程序包自動(dòng)更新至WSUS客戶端；對于沒有安裝過任何SP的Windows XP，你必須安裝SUS客戶端，從而通過SUS客戶端來實(shí)現(xiàn)自我更新至WSUS客戶端。

由于客戶端計(jì)算機(jī)的自動(dòng)更新組件只能通過服務(wù)端口TCP 80來實(shí)現(xiàn)自我更新，因此，如果你在安裝WSUS時(shí)不使用默認(rèn)的Web站點(diǎn)而自定義一個(gè)Web站點(diǎn)，你也必須在偵聽TCP 80端口的Web站點(diǎn)中創(chuàng)建一個(gè)名為Selfupdate的虛擬目錄來為客戶端計(jì)算機(jī)提供自我更新程序包，否則非WSUS客戶端計(jì)算機(jī)不能正常的進(jìn)行自我更新，從而不能從WSUS服務(wù)器獲取更新程序。

WSUS中可以對客戶端計(jì)算機(jī)進(jìn)行分組，在WSUS中內(nèi)建有兩個(gè)計(jì)算機(jī)組：所有計(jì)算機(jī)和未指定的計(jì)算機(jī)。默認(rèn)情況下，任何一個(gè)客戶端計(jì)算機(jī)訪問WSUS服務(wù)器時(shí)，都將被加入到這兩個(gè)組中。你可以創(chuàng)建計(jì)算機(jī)組，并將客戶端計(jì)算機(jī)對象從未指定的計(jì)算機(jī)組中移動(dòng)到你所創(chuàng)建的計(jì)算機(jī)組中，但是你不能將客戶端計(jì)算機(jī)對象從所有計(jì)算機(jī)組中移動(dòng)到其他組。這是因?yàn)樗杏?jì)算機(jī)組是便于你指定將更新程序應(yīng)用到所有的客戶端計(jì)算機(jī)，而不同的計(jì)算機(jī)組則便于你針對不同的客戶端計(jì)算機(jī)應(yīng)用不同的更新程序。

使用計(jì)算機(jī)組的好處之一是便于你測試更新程序。例如針對某個(gè)重要的更新程序，你可以創(chuàng)建一個(gè)包含少量客戶端計(jì)算機(jī)的計(jì)算機(jī)組Test Group，然后將更新程序應(yīng)用到此計(jì)算機(jī)組，當(dāng)更新程序運(yùn)行成功后，你再將此更新程序應(yīng)用到其他計(jì)算機(jī)組或者所有計(jì)算機(jī)組。

注意：不要使用WSUS分發(fā)未授權(quán)的更新程序到客戶端計(jì)算機(jī)，WSUS授權(quán)協(xié)議禁止這一點(diǎn)。

2、鏈?zhǔn)絎SUS服務(wù)器環(huán)境

WSUS服務(wù)器不僅僅可以從Windows Update中獲取更新程序，也可以從其他WSUS服務(wù)器中獲取更新程序。當(dāng)企業(yè)網(wǎng)絡(luò)具有很大的規(guī)模時(shí)，一臺(tái)WSUS服務(wù)器可能不能滿足你的需求，此時(shí)你就可以使用多臺(tái)WSUS服務(wù)器組成鏈?zhǔn)浇Y(jié)構(gòu)，如下圖所示，一臺(tái)WSUS服務(wù)器作為上游服務(wù)器，一臺(tái)WSUS服務(wù)器作為下游服務(wù)器。

你可以使用鏈?zhǔn)降腤SUS結(jié)構(gòu)滿足企業(yè)網(wǎng)絡(luò)中不同地域的需求或者企業(yè)網(wǎng)絡(luò)規(guī)模擴(kuò)大后的更新服務(wù)需求。鏈?zhǔn)絎SUS服務(wù)器的級(jí)數(shù)是沒有限制的，但是由于每一級(jí)WSUS服務(wù)器增加了更新程序的延遲，所以推薦部署不超過三級(jí)的鏈?zhǔn)絎SUS服務(wù)結(jié)構(gòu)。上游服務(wù)器不能和下游服務(wù)器進(jìn)行同步，否則WSUS就不能正常提供服務(wù)。

在鏈?zhǔn)絎SUS服務(wù)器部署中，下游WSUS服務(wù)器繼承上游WSUS服務(wù)器的高級(jí)同步選項(xiàng)，你不能在下游服務(wù)器上修改高級(jí)同步選項(xiàng)。默認(rèn)情況下，上游WSUS服務(wù)器只把更新元數(shù)據(jù)和更新文件同步到下游WSUS服務(wù)器中，而不包含其他的信息，例如計(jì)算機(jī)組和更新批準(zhǔn)信息。如果你想讓上游WSUS服務(wù)器向下游WSUS服務(wù)器同步計(jì)算機(jī)組和更新批準(zhǔn)信息，則下游WSUS服務(wù)器必須配置為集中管理模式中的復(fù)制服務(wù)器，詳細(xì)信息請參見文章的后續(xù)章節(jié)選擇管理模式。

3、和Internet斷開的WSUS服務(wù)器環(huán)境

部署WSUS服務(wù)時(shí)，并不要求你必須連接到Internet。對于沒有連接到Internet的網(wǎng)絡(luò)環(huán)境，你一樣可以部署WSUS服務(wù)。通過在其他連接到Internet上的WSUS服務(wù)器上導(dǎo)出更新程序數(shù)據(jù)，再通過其他媒體復(fù)制到此WSUS服務(wù)器上，***導(dǎo)入更新程序數(shù)據(jù)，一樣可以實(shí)現(xiàn)WSUS服務(wù)器更新程序的同步，此過程如下圖所示。