Do not connect to any windows update internet location

Windows updates are one of the most critical aspects of your Windows computer, and this is not up for debate. Cybercriminals are dedicated in their pursuit of vulnerabilities, and Microsoft works hard to find exploitable loopholes and close them, which it does through developing and releasing updates for its software. Therefore, you put yourself at serious risk when not installing Windows updates.

In previous years, new Windows versions were released to take security to a new level. However, since Microsoft ended the tradition of releasing new Windows versions, Windows Update for Windows 10 became the main tool for keeping the operating system up to date. Its responsibilities include installing security, feature, and quality updates.

To fetch and install these updates, the utility has to connect to Microsoft servers. However, you can choose to install the updates from an Intranet Microsoft Update service location instead. Most network administrators do so using the Windows Server Update Services (WSUS).

With WSUS, you can easily manage how Windows updates are deployed to systems on a network. You can determine when and if a device receives updates and the type of updates that will be installed to any system.

All that said, systems could still reach out to Microsoft Update and Microsoft Store servers to fetch updates for Windows Store applications and other Microsoft products. If your main objective is to prevent the system from connecting to Microsoft servers, you need to enable a Group Policy option called “Do not connect to any Windows Update Internet locations.”

This policy only works when you’ve configured the computer to download and install updates from an Intranet Microsoft Service location.

In this article, we’ll be showing you how to prevent Windows from connecting to any Windows Update Internet locations, using the Group Policy Editor and the Registry Editor on Windows 10.

Using the Registry Editor

Here, you’ll be disabling the DoNotConnectToWindowsUpdateInternetLocations DWORD. However, before you start, it’s recommended that you back up the system registry to avoid unforeseeable issues.

These steps will show you how to back up the entire registry:

1. Right-click on the Windows logo in the taskbar.
2. In the Power User menu, click on Run.
3. You can also press the Windows logo and R keyboard buttons together to launch the Run dialog box.
4. After Run opens, type “regedit” (don’t add the quotes), and then click on the OK button.
5. Click on the Yes option in the User Account Control pop-up.
6. After you see the Registry Editor, go to the top-left corner and click on File.
7. In the File menu, click on Export.
8. Once the Export Registry File dialog box opens, type the name of the file, select a location, and make sure you select All under Export Range before hitting OK.

That’s it. Making the wrong turn in the Registry Editor is not the only thing that poses risk to your system registry. Sometimes, leftover and corrupt registry keys wreak their own kind of havoc. You can easily prevent that from happening by using a tool such as Auslogics Registry Cleaner. The utility will make sure any key that puts your operating system at risk is removed.

Now, to the main business:

1. Open the Registry Editor.
2. Go to the left pane of the window and open the HKEY_LOCAL_MACHINE folder.
3. Next, open the SOFTWARE tree.
4. Under SOFTWARE, go to Policies and click on it.
5. After that, expand the Microsoft folder, then click on the arrow beside Windows.
6. Now, click on WindowsUpdate.
7. Your next move is to navigate to the right side of the window, right-click the empty surface, and then click on New >> DWORD (32-bit) Value.
8. Rename the new DWORD “DoNotConnectToWindowsUpdateInternetLocations” (don’t add the quotes).
9. Now, double-click on the DWORD.
10. Once you see the Edit DWORD Value dialog, enter 1 into the Value box and select Hexadecimal under Base.
11. Click on OK.
12. Exit the Registry Editor and restart your PC.

Using the Group Policy Editor

Here’s how to prevent Windows from connecting to any Windows Update Internet locations using the Group Policy Editor:

1. Right-click on the Windows logo in the taskbar.
2. In the Power User menu, click on Run.
3. You can also press the Windows logo and R keyboard buttons together to launch the Run dialog box.
4. After Run opens, type “gpedit.msc” (don’t add the quotes), and then click on the OK button.
5. Once the Group Policy Editor opens, go to the left side and open Computer Administration >> Administrative Templates >> Windows Components >> Windows Update.
6. Click on Windows Update, then navigate to the right side of the window and double-click an option that reads, “Do not connect to any Windows Update Internet locations.”
7. Click on the Enabled radio button when the dialog window opens.
8. Click on OK, exit the GP Editor, and then restart your system.

Conclusion

Once you’ve enabled the setting, Windows will no longer attempt to connect to other internet locations. However, you should note that you might not be able to access other key updates from the Windows Store. If you want to, go back to the setting and disable it.

В Windows Server 2016 можно столкнуться с ситуацией, когда встроенный клиент Windows Update очень долго выполняет проверку обновлений. Характерно то, что проблема может проявляться плавающим образом и воспроизводиться не всегда. Замечено, что чаще всего проблема проявляется в случае, если система была недавно включена или перезагружена. В этой заметке мы поговорим о том, какие могут быть причины у такого поведения и как это можно попробовать исправить.

При попытке вызвать проверку обновлений из интерфейса настроек системы в Settings > Update & security > Windows Update мы можем столкнуться с длительным циклом ожидания в статусе «Checking for updates…»

Результатом такого ожидания может стать возникновение ошибки типа:

We couldn't connect to the update service. We'll try again later, or you can check now. If it still doesn't work, make sure you're connected to the Internet.

Это привносит проблемы и в других операциях обслуживания системы.

Отражение проблемы с Windows Update в Failover Cluster Manager

В качестве примера отрицательного влияния проблемной работы Windows Update можно привести мастер проверки конфигурации кластера, вызываемый из оснастки Failover Cluster Manager. В ходе выполнения валидации кластера, на этапе сбора информации об установленных на кластерных узлах обновлениях («List Software Updates«) мы можем получить состояние длительного ожидания.

В ходе изучения ситуации по следам «коллективного разума» я обнаружил, что самые разнообразные проблемы c Windows Update в Windows Server 2016 известны давно и с ними столкнулись многие:

• TechNet Forums : Windows Server 2016 Updates slow!
• Superuser : Windows Update stuck on Checking for updates
• Born’s Tech and Windows World : Windows Server 2016: Slow updates

Методом «а если попробовать…» было выявлено, что в качестве обходного решения в вышеописанной ситуации с Failover Cluster Manager, может быть простой перезапуск службы «Windows Update«.

Возможно, потребуется сделать лишь остановку этой службы, а запустится служба через несколько секунд автоматически. Если служба не остановилась с первого раза (остановка привела к ошибке), то пробуем выполнить остановку повторно. Выполнить остановку службы можно как через оснастку управления службами services.msc, так и через PowerShell.

Stop-Service "Windows Update"

Сразу после того, как служба будет остановлена (а затем сама автоматически запустится) мы увидим сдвиг в работе механизма проверки обновлений.

В случае с кластером, выполнить остановку/перезапуск службы «Windows Update» нам может потребоваться на всех узлах кластера, начиная с того, на котором запущен мастер проверки.

В попытках понять, что же не так с проверкой обновлений в Windows Server 2016 и проведения ряда экспериментов с видимыми настройками клиента Windows Update в графической среде, стало очевидно то, что наличие включённой опции «Defer feature updates» в Settings > Update & security > Windows Update > Advanced options явным образом влияет на воспроизведение проблемы.

То есть, как только мы отключаем данную опцию, включенную в Windows Server 2016 по умолчанию, то механизм проверки обновлений начинает работать так, как мы этого от него ожидаем при наличии сервера WSUS.

Дальнейшее изучение вопроса показало, что причиной странного поведения клиента Windows Update может являться механизм «Dual Scan» (подробней в статьях «Improving Dual Scan on 1607» и «Demystifying Dual Scan»), который заставляет при проверке обновлений в качестве источника использовать не только форсировано настроенный в доменных групповых политиках сервер WSUS в локальной сети, но и Интернет-службы Windows Update.

Соответственно, при условии, что компьютеры имеют ограниченный доступ в Интернет или не имеют его вовсе, может возникнуть эффект длительного ожидания с возникновением ошибок разного содержания.

Чтобы решить описанную проблему, нам потребуется провести настройку групповой политики Active Directory, с помощью которой настраиваются наши серверы на базе Windows Server 2016. Однако, как выяснилось, в этом вопросе всё не так очевидно, понятно и однозначно, как хотелось бы.

Варианты решения с готовыми политиками GPO (неработающие в нашем случае)

Примечание: Если важен только готовый рецепт и не интересны эксперименты по следам ранее предложенных в Интернете приёмов(которые в нашем случае не помогли), то можете смело пропустить этот раздел заметки и читать заключительный раздел.

В ранних выпусках Windows 10 (с версии 1607) и Windows Server 2016 за отключение попыток использования онлайн репозитория Windows Update отвечала политика:

«Do not allow update deferral policies to cause scans against Windows Update«

в разделе:

Computer Configuration > Administrative Templates > Windows Components > Windows Update.

В результате применения этой политики в системном реестре Windows появляется параметр DisableDualScan, установленный в 1:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdate]
"DisableDualScan"=dword:00000001

И, судя по старым статьям, на более ранних версиях Windows 10 описанная политика могла быть полезна для решения проблемы.

Однако, в более поздних версиях Windows 10 (начиная с версии 2004), Windows 11, а так же, возможно, в более новых версиях Windows Server, данная политика была перенесена в подраздел Legacy Policies и была заменена новой политикой:

«Specify source service for specific classes of Windows Updates«

в разделе:

Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Server Update Service.

Предполагается включение этой политики и выбор WSUS в качестве источника для всех предлагаемых типов обновлений.

В результате применения этой политики в системном реестре Windows появляется 4 параметра с соответствующими именами, установленных в 1:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdate]
"SetPolicyDrivenUpdateSourceForFeatureUpdates"=dword:00000001
"SetPolicyDrivenUpdateSourceForQualityUpdates"=dword:00000001
"SetPolicyDrivenUpdateSourceForDriverUpdates"=dword:00000001
"SetPolicyDrivenUpdateSourceForOtherUpdates"=dword:00000001

Логично предполагать, что включать и настраивать данную политику резонно лишь для серверных систем, которые в локальных сетях, как правило, обновляются с сервера WSUS и имеют ограниченный доступ в Интернет. Для клиентских же систем, часть из которых может оказаться мобильными и периодически перемещающимися из локальной сети во внешние сети с доступом в Интернет, в некоторых ситуациях может оказаться логичней использовать настроенный по умолчанию механизм выбора источника (то есть, чтобы в качестве дополнительного источника мог выступать онлайн репозиторий Windows Update).

Эксперименты с двумя выше описанными политиками показали, что на данный момент времени сами по себе (ни по отдельности ни вместе) эти политики не решают проблему в нашем конкретном случае.

В ходе дальнейшего изучения опыта борьбы коллег со странностями работы Windows Update в Windows Server 2016 обнаружил статью «Windows admin blog : Некорректное отображение информации на WSUS | Проблемы обновления со WSUS (Dual Scan)», где в качестве одного из решений предложено включение «олдскульной» политики:

«Do not connect to any Windows Update Internet locations«

в разделе:

Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Server Update Service.

В результате применения этой политики в системном реестре Windows появляется параметр DoNotConnectToWindowsUpdateInternetLocations, установленный в 1:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdate]
"DoNotConnectToWindowsUpdateInternetLocations"=dword:00000001

Однако, практика показала, что применение данной политики может привести к появлению новой ошибки в ходе проверки обновлений:

There were some problems installing updates, but we'll try again later. If you keep seeing this and want to search the web or contact support for information, this may help: (0x8024500c)

Причём избавиться от этой ошибки не поможет ни перезапуск службы, ни перезагрузка системы, а по свидетельствам очевидцев, эта ошибка воспроизводится так же и на Windows 10.

Понимая то, что данная политика не решает проблемы, можно было бы не упоминать о ней в нашей заметке. Однако помимо того, что она не только не закрывает исходную проблему, но и может создать новую трудно интерпретируемую проблему, мы и упоминаем здесь о ней, как о неподходящем варианте решения.

Перебрав ряд других групповых политик, как по одиночке, так и в в разных комбинациях, мне так и не удалось найти решения на базе каких-либо готовых политик.

Отключение опции «Defer feature updates» с помощью GPP

В конечном итоге пришлось прибегнуть к помощи Group Policy Preferences (GPP) для управления опцией «Defer feature updates«, отображаемой в графической оболочке Windows Server 2016.

Отключение данной опции приводит к следующему изменению в системном реестре:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsUpdateUXSettings]
"DeferUpgrade"=dword:00000000

Соответственно, для настройки серверов с Windows Server 2016 на явное отключение данной опции мы можем создать в доменной групповой политике, применяемой к серверам, объект GPP, настраивающий параметр реестра DeferUpgrade.

С помощью Item-level targeting можем указать то, что данный параметр реестра будет обновляться только на системах семейства Windows Server 2016.

Для оперативной проверки результата выполняем на конечном сервере обновление групповых политик и инициируем процедуру проверки обновлений:

gpupdate /force
UsoClient.exe startscan

Убедимся в том, что после применения GPO в реестре на серверных системах с Windows Server 2016 применились изменения и в графической консоли настроек системы опция «Defer feature updates» отображается в выключенном состоянии.

Все последующие проверки обновлений Windows теперь должны начать работать напрямую с WSUS без длительных попыток обращения к Интернет-службам Windows Update.