Windows Server 2008 R2 SP1 的补丁包补丁包，说到底就是补丁包一堆 .msu 文件的集合。微软在 2011 年 2 月发布 SP1 之后，补丁包又陆陆续续推了上百个安全更新和热修复。补丁包你要是补丁包一台机器一台机器去 Windows Update 点，那得点到手抽筋。补丁包所以后来大家习惯用 WSUS 或者直接下累积更新包，补丁包一次装完。补丁包

我手里还留着几个当年做的补丁包整合盘。最典型的补丁包一个是 KB976932，也就是补丁包 SP1 本身，五百多兆。补丁包装完重启，补丁包系统版本号从 7600 跳到 7601。补丁包别小看这个数字变化，补丁包很多软件安装时就是靠它判断你能不能跑。比如 SQL Server 2012 的某些组件，7600 直接给你弹个不支持的提示。

SP1 之后，微软的补丁节奏大概是每月第二个周二。安全更新、关键更新、可选更新混在一起。真正需要手动集成的是那些“先决条件”补丁。比如你要装 .NET Framework 4.8，得先有 KB4019990 和 KB4054530。少一个，安装程序就卡在“正在配置”那一步，进度条不动，也不报错。我遇到过好几次，最后翻日志才发现缺了 KB4019990。那个补丁只有几兆，但没它就是不行。

再说一个坑。Windows Server 2008 R2 的补丁分 x64 和 Itanium 两个版本。Itanium 版现在基本没人用了，但当年有些高端 HP 小型机跑的就是 IA64。你要是下错了包，双击安装会直接提示“此更新不适用于你的计算机”。别问我是怎么知道的，我下错过三次。

补丁包大小也是个问题。从 SP1 到 2020 年 1 月停止支持，所有安全更新加起来超过 3GB。如果你要做离线镜像，用 DISM 挂载 install.wim，然后一个个添加 .msu，速度慢得让人想砸键盘。后来有人写了脚本，用 for 循环批量处理，但遇到 KB 编号重复或者顺序不对，还是会失败。我的经验是：先装 KB3020369 和 KB3177467，这两个是“服务堆栈更新”，不装它们，后面的累积更新根本装不上。

还有一个细节。Windows Server 2008 R2 SP1 的补丁包在微软更新目录里，很多链接已经失效了。你搜 KB 编号，出来的页面可能只有 Windows 10 的版本。得手动筛选产品，选“Windows Server 2008 R2 Service Pack 1”。有时候还得翻到第二页。我见过一个 KB，点进去只有 ARM64 版本，x64 的被隐藏了。气得我直接去 WSUS 离线同步。

实际部署的时候，最省事的办法是用 WSUS 或者 SCCM 推送。但如果你管的是隔离网络，那就只能手动。我一般会准备一个文件夹，按年份分好，2016、2017、2018……每个文件夹里放当年的累积更新。然后写个批处理，用 wusa.exe 静默安装。注意，wusa 装完不会自动重启，得加 /quiet /norestart，最后统一重启一次。不然你装到一半，系统提示“需要重启才能继续”，后面的补丁全给你卡住。

说到重启，有个玄学问题。有些补丁装完不重启，系统看起来正常，但某些服务起不来。比如 KB4490628 装完不重启，Cryptographic Services 会变成手动启动，然后 Windows Update 就废了。你以为是网络问题，其实是补丁没生效。所以我的原则是：装完一批，重启一次。别偷懒。

最后提一句，2020 年 1 月 14 日之后，微软不再给 Windows Server 2008 R2 发免费补丁了。但如果你买了 ESU（扩展安全更新），还能再撑三年。ESU 的补丁包跟普通的不一样，需要先在每台机器上装一个授权工具，然后输入密钥。那个密钥是一串很长的字母数字，输错一位就激活失败。我见过有人把 O 和 0 搞混，折腾了一下午。

总之，Windows Server 2008 R2 SP1 的补丁包管理，说难不难，说简单也不简单。关键是别信“一键安装”那种工具，自己手动打一遍，心里才有底。