防火墙规则允许访问CDN上的Windows更新或其他资源？

虽然我还没有尝试过（见上面我的评论），我认为最好的解决scheme是进一步堆栈：使用代理服务器。

您可以在Windows Update机器（或更有可能的WSUS服务器）之前configuration类似Squid的东西，并允许* .windowsupdate.microsoft.com和* .windowsupdate.com（ 等等 ）同时拒绝其他所有内容; 这可以通过阻止TCP 80/443到您的WSUS服务器并强制代理服务器上的WinHTTP服务进行configuration ， 从而在您的边缘防火墙上实施。

我将需要在短期内在数据中心实施一个即将被强化的服务器，并且可能会用它来实现它。

通过设置反向代理服务器和中毒DNS，我有点解决了这个问题。

1. 对于每项服务，提供一个IP地址并将HAproxy绑定到该IP，并configurationHAproxy以接收在该IP上看到的请求，并将其转发到该服务的DNS地址。 （10.10.10.30代理请求www.apple.com，10.10.10.31代理请求update.microsoft.com，10.10.10.32代理windowsupdate.com等）

2. configurationHAproxy服务器使用无毒的DNS服务器

3. 中毒校园DNS将这些服务指向内部HAproxy IP（windowsupdate.com – > 10.10.10.32,10.10.10.30 – > http://www.apple.com，10.10.10.31 – > update.microsoft.com等）

4. 请确保代理服务器不受边界防火墙上的传出stream量限制。

我已经在有限的基础上进行了testing，它确实有效。 如果/当这个被投入实际生产时，可能会用F5而不是HAproxy来完成。

尽pipe如此，这远比让防火墙允许访问要复杂得多，但遗憾的是，这似乎是不可能的。

我希望有人有比我更优雅的解决scheme…

我的build议是将WSUS安装在DMZ中的服务器上，并且可以无限制地访问microsoft.com

然后，通过组策略，我会指出所有其他机器人使用您的WSUS服务器。 有几个方面：

1. 只有一台服务器可以通过“防火墙漏洞”
2. 您可以控制哪些更新从集中控制面板转到哪个服务器。
3. 由于只有一台服务器从互联网上下载，其余的则通过局域网下载。