Configuration du pare-feu pour les mises à jour Windows 11

Reading Time: 4 minutes

Les mises à jour Windows 11 sont essentielles pour la sécurité, les performances et la compatibilité. Cependant, souvent, les mises à jour échouent non pas à cause du système d’exploitation, mais à cause des configurations restrictives des pare-feu et des serveurs proxy. Microsoft a récemment publié des recommandations actualisées concernant la configuration du pare-feu et de l’ensemble de l’infrastructure réseau pour permettre le bon fonctionnement du service Windows Update.

Dans cet article, vous apprendrez comment configurer le pare-feu et le proxy afin que Windows 11 reçoive les mises à jour sans interruption, évitant les erreurs de connectivité, les blocages de téléchargement et les problèmes de conformité.

Pourquoi des problèmes surviennent-ils avec Windows Update?

Dans les environnements d’entreprise, le trafic Internet est souvent filtré par des pare-feu de nouvelle génération, des proxys HTTPS et des systèmes d’inspection TLS. Bien que ces mesures augmentent la sécurité, elles peuvent interférer avec les mécanismes de sécurité intégrés à Windows Update. Microsoft recommande d’éviter l’interception du trafic vers les points de terminaison de mise à jour officiels, car le service valide les certificats et les connexions chiffrées pour prévenir les attaques de type « man-in-the-middle ».

Lorsqu’un pare-feu bloque certains sous-domaines Microsoft ou lorsqu’un proxy réécrit les certificats TLS, les clients Windows 11 peuvent présenter des symptômes tels que :

• des mises à jour qui restent en état de « téléchargement »;
• des codes d’erreur Windows Update;
• l’impossibilité de télécharger les mises à jour cumulatives;
• des problèmes avec Microsoft Defender et les mises à jour de définitions;
• l’échec des mises à jour pour Microsoft Store et les pilotes.

Le principe recommandé par Microsoft

Microsoft recommande de permettre l’accès direct aux points de terminaison de Windows Update et de les exclure des processus d’inspection TLS ou de déchiffrement SSL. Au lieu de s’appuyer sur des adresses IP fixes, les organisations devraient permettre l’accès basé sur les domaines et sous-domaines officiels de Microsoft, car l’infrastructure cloud change fréquemment.

Ce modèle offre deux avantages importants :

1. maintient l’intégrité des vérifications cryptographiques effectuées par Windows Update;
2. réduit le nombre d’incidents générés par les modifications de l’infrastructure Microsoft.

Configuration du pare-feu pour Windows 11

Pour un fonctionnement optimal, le pare-feu doit autoriser les connexions HTTPS sortantes vers les services Windows Update.

Recommandations essentielles pour la configuration du pare-feu

• Autoriser le trafic HTTPS (port 443) vers les points de terminaison Windows Update.
• Éviter de bloquer les sous-domaines Microsoft utilisés pour la distribution des mises à jour.
• Ne pas effectuer d’inspection SSL pour le trafic Windows Update.
• Vérifier régulièrement les listes officielles de points de terminaison Microsoft, car elles peuvent être mises à jour.

Dans les organisations qui utilisent des solutions telles que Palo Alto, Fortinet, Check Point ou Cisco Secure Firewall, il est recommandé de créer des politiques dédiées aux services Microsoft Update, séparées des politiques générales de navigation web.

Configuration du proxy

Les proxys représentent l’une des causes les plus fréquentes des problèmes de mise à jour dans Windows 11.

Windows utilise plusieurs mécanismes de configuration de proxy, y compris WinINET et WinHTTP. Une configuration incorrecte peut entraîner des situations où le navigateur fonctionne normalement, mais Windows Update ne peut pas communiquer avec les services Microsoft.

Meilleures pratiques

• Utiliser des configurations de proxy au niveau du système, pas seulement au niveau de l’utilisateur.
• S’assurer que les services Windows peuvent accéder au proxy même avant l’authentification de l’utilisateur.
• Vérifier la synchronisation entre les configurations WinINET et WinHTTP.
• Éviter les proxys qui modifient les certificats TLS pour le trafic Windows Update.

Microsoft souligne que de nombreux services Windows s’exécutent dans des contextes différents de l’utilisateur connecté, c’est pourquoi une configuration exclusivement par utilisateur peut générer des erreurs difficiles à diagnostiquer.

Optimisation de la livraison et impact sur le réseau

Windows 11 utilise le service d’optimisation de la livraison (Delivery Optimization) pour accélérer la distribution des mises à jour et réduire la consommation de bande passante. Cela permet de télécharger les paquets à la fois depuis Microsoft et d’autres appareils autorisés sur le réseau.

Pour les organisations, il est recommandé d’évaluer les politiques d’optimisation de la livraison afin que :

• les mises à jour soient distribuées efficacement entre les stations locales;
• la consommation d’Internet soit réduite;
• les mises à jour soient livrées plus rapidement dans les succursales et les sites distants.

Comment vérifier si le pare-feu bloque Windows Update

Si vous rencontrez des problèmes de mise à jour, vérifiez les points suivants :

1. Tester la connectivité HTTPS

Confirmer que les appareils peuvent accéder aux points de terminaison Microsoft sans erreurs de certificat.

2. Analyser les journaux du pare-feu

Rechercher les connexions refusées vers les domaines Microsoft utilisés par Windows Update.

3. Vérifier la configuration du proxy

Comparer les paramètres WinHTTP et WinINET et valider l’accès des services système.

4. Examiner le journal Windows Update

Les journaux peuvent indiquer des problèmes d’authentification TLS, de résolution DNS ou d’accès via proxy.

Le fondement d’un processus de mise à jour Windows 11 stable et sécurisé

Une configuration correcte du pare-feu et du proxy représente le fondement d’un processus de mise à jour Windows 11 stable et sécurisé. La recommandation principale de Microsoft est claire : permettre l’accès aux points de terminaison officiels de Windows Update, éviter l’interception TLS et utiliser des configurations de proxy compatibles avec les services système.

Pour les organisations qui visent la conformité, la sécurité et la réduction des temps d’administration, la mise en œuvre de ces bonnes pratiques peut éliminer la plupart des incidents liés aux mises à jour Windows 11 et garantir une expérience prévisible pour les utilisateurs et les équipes informatiques.

Source : microsoft.com