Konfiguracja zapory ogniowej dla aktualizacji Windows 11
Aktualizacje Windows 11 są niezbędne dla bezpieczeństwa, wydajności i kompatybilności. Często jednak aktualizacje nie udają się nie z powodu systemu operacyjnego, lecz z powodu restrykcyjnych konfiguracji zapór sieciowych i serwerów proxy. Microsoft opublikował niedawno zaktualizowane zalecenia dotyczące konfiguracji zapory sieciowej i całej infrastruktury sieciowej, aby umożliwić prawidłowe działanie usługi Windows Update.
W tym artykule dowiesz się, jak skonfigurować zaporę sieciową i proxy, aby Windows 11 otrzymywał aktualizacje bez przerw, unikając błędów połączenia, blokad pobierania i problemów z zgodnością.
Dlaczego występują problemy z Windows Update?
W środowiskach korporacyjnych ruch internetowy jest często filtrowany przez zapory sieciowe nowej generacji, proxy HTTPS i systemy inspekcji TLS. Chociaż te środki zwiększają bezpieczeństwo, mogą kolidować z mechanizmami bezpieczeństwa zintegrowanymi w Windows Update. Microsoft zaleca unikanie przechwytywania ruchu do oficjalnych punktów końcowych aktualizacji, ponieważ usługa weryfikuje certyfikaty i szyfrowane połączenia, aby zapobiec atakom man-in-the-middle.
Gdy zapora sieciowa blokuje niektóre subdomeny Microsoft lub gdy proxy przepisuje certyfikaty TLS, klienci Windows 11 mogą wykazywać objawy takie jak:
- aktualizacje, które pozostają w stanie „Downloading”;
- kody błędów Windows Update;
- niemożność pobrania aktualizacji zbiorczych;
- problemy z Microsoft Defender i aktualizacjami definicji;
- niepowodzenie aktualizacji dla Microsoft Store i sterowników.
Zasada zalecana przez Microsoft
Microsoft zaleca zezwalanie na bezpośredni dostęp do punktów końcowych Windows Update i wykluczanie ich z procesów inspekcji TLS lub deszyfrowania SSL. Zamiast polegać na stałych adresach IP, organizacje powinny zezwalać na dostęp na podstawie oficjalnych domen i subdomen Microsoft, ponieważ infrastruktura chmurowa często się zmienia.
Ten model oferuje dwie ważne zalety:
- zachowuje integralność weryfikacji kryptograficznych przeprowadzanych przez Windows Update;
- zmniejsza liczbę incydentów generowanych przez zmiany w infrastrukturze Microsoft.
Konfiguracja zapory sieciowej dla Windows 11
Dla optymalnego działania zapora sieciowa musi zezwalać na wychodzące połączenia HTTPS do usług Windows Update.
Kluczowe zalecenia dotyczące konfiguracji zapory sieciowej
- Zezwól na ruch HTTPS (port 443) do punktów końcowych Windows Update.
- Unikaj blokowania subdomen Microsoft używanych do dystrybucji aktualizacji.
- Nie wykonuj inspekcji SSL dla ruchu Windows Update.
- Regularnie sprawdzaj oficjalne listy punktów końcowych Microsoft, ponieważ mogą być aktualizowane.
W organizacjach korzystających z rozwiązań takich jak Palo Alto, Fortinet, Check Point czy Cisco Secure Firewall zaleca się tworzenie dedykowanych polityk dla usług Microsoft Update, oddzielnych od ogólnych polityk przeglądania stron internetowych.
Konfiguracja proxy
Proxy stanowią jedną z najczęstszych przyczyn problemów z aktualizacją w Windows 11.
Windows wykorzystuje kilka mechanizmów konfiguracji proxy, w tym WinINET i WinHTTP. Nieprawidłowa konfiguracja może prowadzić do sytuacji, w których przeglądarka działa normalnie, ale Windows Update nie może komunikować się z usługami Microsoft.
Najlepsze praktyki
- Używaj konfiguracji proxy na poziomie systemu, a nie tylko na poziomie użytkownika.
- Upewnij się, że usługi Windows mogą uzyskać dostęp do proxy nawet przed uwierzytelnieniem użytkownika.
- Sprawdź synchronizację między konfiguracjami WinINET i WinHTTP.
- Unikaj proxy, które modyfikują certyfikaty TLS dla ruchu Windows Update.
Microsoft podkreśla, że wiele usług Windows działa w innych kontekstach niż zalogowany użytkownik, dlatego konfiguracja wyłącznie na użytkownika może generować błędy trudne do zdiagnozowania.
Delivery Optimization i wpływ na sieć
Windows 11 wykorzystuje usługę Delivery Optimization, aby przyspieszyć dystrybucję aktualizacji i zmniejszyć zużycie przepustowości. Umożliwia ona pobieranie pakietów zarówno od Microsoftu, jak i z innych autoryzowanych urządzeń w sieci.
Dla organizacji zaleca się ocenę polityk Delivery Optimization, tak aby:
- aktualizacje były skutecznie dystrybuowane między stacjami lokalnymi;
- zużycie internetu było zmniejszone;
- aktualizacje były dostarczane szybciej do oddziałów i zdalnych lokalizacji.
Jak sprawdzić, czy zapora sieciowa blokuje Windows Update
Jeśli napotkasz problemy z aktualizacją, sprawdź następujące kwestie:
1. Przetestuj łączność HTTPS
Potwierdź, że urządzenia mogą uzyskać dostęp do punktów końcowych Microsoft bez błędów certyfikatu.
2. Przeanalizuj logi zapory sieciowej
Szukaj odrzuconych połączeń do domen Microsoft używanych przez Windows Update.
3. Sprawdź konfigurację proxy
Porównaj ustawienia WinHTTP i WinINET i zweryfikuj dostęp usług systemowych.
4. Przeanalizuj dziennik Windows Update
Logi mogą wskazywać problemy z uwierzytelnianiem TLS, rozwiązywaniem nazw DNS lub dostępem przez proxy.
Podstawa stabilnego i bezpiecznego procesu aktualizacji Windows 11
Prawidłowa konfiguracja zapory sieciowej i proxy stanowi podstawę stabilnego i bezpiecznego procesu aktualizacji Windows 11. Główna rekomendacja Microsoftu jest jasna: zezwól na dostęp do oficjalnych punktów końcowych Windows Update, unikaj przechwytywania TLS i używaj konfiguracji proxy zgodnych z usługami systemowymi.
Dla organizacji, które dążą do zgodności, bezpieczeństwa i skrócenia czasu administracji, wdrożenie tych najlepszych praktyk może wyeliminować większość incydentów związanych z aktualizacjami Windows 11 i zapewnić przewidywalne doświadczenie użytkownikom i zespołom IT.
Źródło: microsoft.com
