Microsoft ออกคำแนะนำสำหรับผู้ดูแลระบบ IT หลังพบว่าปัญหาการดาวน์โหลดหรือติดตั้ง Windows Update บางกรณีอาจไม่ได้เกิดจากตัวระบบปฏิบัติการโดยตรง แต่มีสาเหตุมาจากการตั้งค่า Firewall, Proxy หรือ VPN ภายในเครือข่ายองค์กรที่ขัดขวางการเชื่อมต่อกับเซิร์ฟเวอร์ Windows Update
Microsoft ระบุว่า Windows Update ใช้การเชื่อมต่อแบบ TLS เพื่อยืนยันว่าเซิร์ฟเวอร์ที่กำลังติดต่อด้วยเป็นบริการของ Microsoft จริง พร้อมตรวจสอบความถูกต้องของ Certificate เพื่อป้องกันการดักหรือแก้ไขข้อมูลระหว่างทาง ดังนั้น หาก Firewall หรือ Proxy ขององค์กรมีการทำ TLS Inspection และเปลี่ยน Certificate ของการเชื่อมต่อ Windows Update ระบบอาจไม่สามารถยืนยันตัวตนของเซิร์ฟเวอร์ได้ และตัดการเชื่อมต่อเพื่อความปลอดภัย
Firewall และ Proxy อาจทำให้ Windows Update ทำงานไม่ได้
ปัญหามักเกิดขึ้นเมื่อองค์กรใช้ Firewall หรือ Proxy ที่ตรวจสอบ Traffic แบบเข้มงวด ทำให้การเชื่อมต่อไปยัง Windows Update ถูกบล็อกหรือ Certificate ไม่ตรงกับที่ระบบคาดหวัง ขณะที่ VPN บางรายอาจส่งผลต่อการค้นหา DNS หรือการเข้าถึงบริการ Windows Update เช่นกัน Microsoft จึงแนะนำให้ผู้ดูแลระบบตรวจสอบการตั้งค่าเครือข่ายและผู้ให้บริการ VPN หากพบปัญหาการอัปเดตขณะเชื่อมต่อ VPN
สำหรับการตรวจสอบสาเหตุ ผู้ดูแลระบบสามารถสร้าง Windows Update Log ผ่าน PowerShell ด้วยคำสั่ง Get-WindowsUpdateLogs และตรวจสอบ Error Code ที่เกี่ยวข้อง เช่น 0x8024402C ซึ่งอาจหมายถึงไม่สามารถ Resolve ชื่อเซิร์ฟเวอร์หรือ Proxy ได้ และ 0x80240438 ซึ่งบ่งชี้ว่าระบบ Resolve FQDN ได้แล้ว แต่ไม่สามารถเชื่อมต่อไปยังปลายทางได้
นอกจากนี้ Error 0x80245006 และ 0x80240437 อาจเกี่ยวข้องกับการตรวจสอบ TLS Certificate ของ Windows Update ไม่สำเร็จ โดยเฉพาะกรณีที่ Firewall หรือ Proxy มีการทำ TLS Inspection และแทนที่ Certificate ของเซิร์ฟเวอร์จริง
วิธีแก้ไขที่ Microsoft แนะนำ
แนวทางหลักคือการปรับ Firewall และ Proxy ให้ Windows Update สามารถเชื่อมต่อไปยัง Microsoft ได้โดยไม่ถูก TLS Inspection ขัดขวาง พร้อมกำหนด Allow/Exception สำหรับ Endpoint ที่เกี่ยวข้อง โดย Microsoft มีรายการ Windows Update Endpoint ที่องค์กรควรอนุญาต เช่น *.update.microsoft.com, *.windowsupdate.com, *.delivery.mp.microsoft.com และ *.dl.delivery.mp.microsoft.com ทั้งนี้ Endpoint ที่ต้องอนุญาตอาจแตกต่างกันตามบริการและรูปแบบการจัดการอัปเดตขององค์กร
Microsoft ยังแนะนำให้ใช้ FQDN (Fully Qualified Domain Name) ในการกำหนดข้อยกเว้น แทนการระบุเพียง IP Address เนื่องจาก Hostname และ Subdomain ที่ Windows Update ใช้งานอาจมีการเปลี่ยนแปลงในอนาคต การกำหนด Endpoint ตามรายการที่ Microsoft แนะนำจึงช่วยลดปัญหาจากการเปลี่ยนแปลงโครงสร้างบริการได้มากกว่า
อย่างไรก็ตาม หากองค์กรใช้งาน Windows Server Update Services (WSUS) อุปกรณ์ Windows จะเชื่อมต่อไปยังเซิร์ฟเวอร์ WSUS ที่องค์กรบริหารเองแทนการเชื่อมต่อ Windows Update โดยตรง ดังนั้นการกำหนดข้อยกเว้นสำหรับ Windows Update FQDN ในส่วนนี้อาจไม่จำเป็นสำหรับการเชื่อมต่อกับ Windows Update โดยตรง
สรุป
ปัญหา Windows Update ที่ดาวน์โหลดหรือติดตั้งไม่สำเร็จไม่ได้เกิดจากตัว Windows เสมอไป แต่ Firewall, Proxy, TLS Inspection และ VPN ก็สามารถเป็นสาเหตุสำคัญได้ โดยเฉพาะในเครือข่ายองค์กรที่มีการควบคุม Traffic อย่างเข้มงวด
Microsoft จึงแนะนำให้ผู้ดูแลระบบตรวจสอบ Windows Update Logs, DNS, Firewall, Proxy และ VPN รวมถึงกำหนด Allowlist สำหรับ Endpoint ที่จำเป็นอย่างถูกต้อง เพื่อให้ Windows Update สามารถเชื่อมต่อกับบริการของ Microsoft ได้อย่างปลอดภัยและต่อเนื่อง
ที่มา neowin
