我有计算机连接到企业域网络，SCCM（+WSUS？）在通用 TCP 端口（我猜是 8531、443、80）上运行。这些计算机设置了硬件防火墙，并且禁用了与这些端口的新出站连接，仅允许新出站 TCP 连接上的少数目标 TCP 端口，例如 123、53 和 5938，并且还允许 ping。
但是最近有些电脑开始下载windows更新，这是不可取的。我想知道这是怎么可能的，WSUS 或 SCCM 服务器是否有可能主动启动到客户端的新 TCP 连接，以便考虑防火墙规则集 WAN_IN 而不是 WAN_OUT？
不，SCCM 和 WSUS 都不会推送到最终客户端。最终客户端始终从 SCCM 或 WSUS 拉取。