Ok, depois de passar 3 semanas com o departamento de suporte técnico da Microsoft, resolvemos o problema.
O problema é com o Dual Scan tentando se conectar ao Windows Update (online) e falhar. Quando falha, o sistema simplesmente pára de tentar e se recusa a se conectar ao WSUS.
O problema adicional é que a mídia de instalação do servidor apresenta um bug que impede a troca do Dual Scan. Ele apenas ignora a política e mantém a atualização padrão do Windows Update.
Aqui está o que você precisa fazer para corrigir: Execute os seguintes comandos no Powershell no servidor ofensivo
$MUSM = New-Object -ComObject "Microsoft.Update.ServiceManager"
$MUSM.Services | select Name, IsDefaultAUService
Você receberá algo assim:
Windows Update Standalone Installer - False
Windows Server Update Service - False
Windows Update - True
Se ele diz "Windows Update - True", essa é a sua fonte padrão, não importa o que seu GPO diga ...
A primeira coisa que você precisa fazer é verificar se os seguintes patches estão instalados no seu servidor.
kb4103720 e kb4462928
Você precisa deles ambos. Ambos são enormes, ambos levam uma eternidade e um dia para serem instalados e ambos exigem uma reinicialização do servidor.
Esses KBs corrigem o problema de verificação dupla para que o servidor responda ao GPO informando qual fonte padrão usar.
Agora você precisa configurar a Diretiva de Grupo para informar ao servidor para usar somente o servidor WSUS. Por Microsoft estas são as configurações necessárias (estou em dúvida sobre algumas delas, mas eu não testei cada uma delas ... Estou feliz que a coisa esteja finalmente funcionando)
Configuração do computador > Políticas > Modelos Administrativos > Sistema > Instalação de dispositivos
Especifique o servidor de pesquisa para os locais de origem do driver de dispositivo
Set to "Enabled"
Select search order: "Do not search Windows Update"
Especifique o servidor de pesquisa para atualizações de driver de dispositivo
Set to "Enabled"
Select Update Server: "Search Managed Server"
Configuração do computador > Políticas > Modelos Administrativos > Sistema > Gerenciamento de comunicação da Internet > Configurações de comunicação da Internet
Desativar o acesso a todos os recursos do Windows Update (no Microsoftspeak, isso significa que o servidor on-line não é "feito assim, não é possível obter atualizações")
Set to "Enabled"
Desativar o acesso à loja
Set to "Enabled"
Configuração do computador > Políticas > Modelos Administrativos > Componentes do Windows > Windows Update
Não permita que políticas de adiamento de atualizações causem verificações no Windows Update
Set to "Enabled"
Nenhuma reinicialização automática com usuários conectados para instalações de atualizações automáticas agendadas
Set to "Enabled"
Especifique o local do serviço de atualização da Microsoft na intranet
Set to "Enabled"
Set the intranet update service for detecting updates: "http://[YOUR SERVER]:8530"
Set the intranet statistics server:"http://[YOUR SERVER]:8530"
Set the alternate download server: "http://[YOUR SERVER]:8530"
Uncheck the box Download files with no Url in the metadata if alternate download server is set
Mova seus servidores para uma unidade organizacional com esse GPO ativado. Eu criei uma OU separada em minha OU de Servidores apenas para o servidor de 2016 e vinculei esse GPO a ela.
Execute os comandos do powershell acima novamente.
Agora deve dizer
Name IsDefaultAUService
------- --------------------------
Windows Server Update Service True
Windows Update False
Se você obtiver "Serviço de atualização do Windows Server" como "Verdadeiro", isso deve funcionar!
Espero que isso ajude alguém. Esta certamente tem sido uma questão frustrante ...
Aceito doações em notas não marcadas, barras de ouro e uísque.