TEAMS UPDATE

Question

我們有封鎖部分人員的對外連線。
常常發生M365有更新，但TEAMS沒更新導致無法開啟的狀況，目前解法只能載新的安裝包。
有辦法針對TEAMS更新開防火牆通道讓他順利更新嗎?

Answer 1

(此回覆已自動翻譯，因此可能包含一些語法錯誤或不自然的用詞，敬請見諒。) 

---

 您好 @Jeffery Huang 黃凱杰, 

您可以先確認是否已開啟 Teams 流量所需的對外連線埠，特別是：TCP 443（必要）以及 TCP 80（建議）。 

這些連接埠對於 Teams 的連線與更新服務是非常關鍵的。 

另外，相較於依據 IP 範圍來允許存取，強烈建議改為使用 FQDN（網域名稱）來允許流量。這種方式會更可靠，因為 Microsoft 的服務採用動態基礎架構。支援 Teams 功能與更新的最基本網域清單如下： 

*.teams.microsoft.com 
*.lync.com 
*.skype.com 
*.office.com 
*.cloud.microsoft 
aka.ms 
statics.teams.microsoft.com 

其中，aka.ms 通常用於下載與更新時的重新導向端點，而 statics.teams.microsoft.com 則負責用戶端更新與內容傳遞。 

如果您的環境必須使用以 IP 為基礎的規則，您可以參考以下範圍，不過一般不建議這麼做，因為 IP 可能會隨時間變動： 

13.107.64.0/18 
52.112.0.0/14 

另一個重要的點是，請確保前往 Microsoft 365 端點的流量沒有被 Proxy 或防火牆阻擋或限制。理想情況下，這些連線不應需要額外的驗證，因為這可能會影響更新流程。也建議針對 Teams 流量繞過 SSL 檢測，因為深度檢查有時會中斷下載或導致更新失敗。 

如需更完整的參考，建議查看以下官方文件:  Microsoft 365 URL 和 IP 位址範圍 - Microsoft 365 Enterprise | Microsoft Learn 

希望以上調整能協助您讓 Teams 在您的環境中順利完成更新。 

---

如果答案有幫助，請點擊 “接受答案” 並投贊成票。如果您對此答案還有其他疑問，請點擊「評論」。 

附註：  如果您想要接收此線程的相關電子郵件通知，請按照我們文檔中的步驟啟用電子郵件通知。 

Answer 2

• 對這些受限用戶的裝置，在防火牆上只針對 Microsoft 365 官方端點（特別是 Teams 更新與 CDN 相關）開啟必要的出站通道，並確保 Delivery Optimization 可正常連線。

這段是要開甚麼PORT跟IP

Answer 3

Microsoft Teams 需要能連線到 Microsoft 365 的更新與 CDN 端點，防火牆若封鎖對外連線，就會造成 Teams 無法自動更新，只能重新安裝安裝包。

根據文件，Teams 更新常見失敗原因與對策如下，可作為設定防火牆例外的依據：

1. 啟用並正確設定 Delivery Optimization（DO）
   • 若 Windows Delivery Optimization 服務被停用或設為不支援的模式（例如 Mode 100），Teams 更新無法下載更新檔。
   • 應確保 DO 服務啟用且依組織政策正確設定。詳細需求可參考「Teams client system requirements」中的 Delivery Optimization 說明。
2. 開放 Microsoft 365 相關端點與 CDN
   • 若網路設定封鎖 Teams 使用的 CDN 或 Microsoft 365 端點，DO 服務會失敗，Teams 無法下載更新。
   • 應在防火牆與 Proxy 上允許官方「Microsoft 365 URLs and IP address ranges」文件中列出的 M365 端點與 IP 範圍，至少針對 Teams/M365 更新所需的端點開例外。
   • 文件亦建議避免對 M365 端點做 SSL 檢查，因為 SSL inspection 會大幅提高更新下載失敗率與重試次數。
3. 確保作業系統版本與更新
   • 若裝置執行不受支援的 OS 或缺少最新 Windows 更新，Teams 更新成功率會降低。
   • 建議先確保 Windows 10/11 已安裝所有必要的 OS 更新，再部署與更新 Teams。
4. 若已出現更新失敗，可用 PowerShell 強制更新並檢查網路
   • 對於已無法更新的用戶端，可在該裝置上使用下列 PowerShell 命令強制更新 Teams：

          Add-AppxPackage https://go.microsoft.com/fwlink/?linkid=2196060 -ForceUpdateFromAnyVersion -ForceTargetApplicationShutdown
     

   • 若此方式仍失敗，文件指出可能是 Windows 版本或自動更新流程問題，需收集 Windows 與 Teams 診斷記錄並聯絡 Microsoft 支援。

在貴組織目前「封鎖部分人員對外連線」的情境下，實務作法是：

• 對這些受限用戶的裝置，在防火牆上只針對 Microsoft 365 官方端點（特別是 Teams 更新與 CDN 相關）開啟必要的出站通道，並確保 Delivery Optimization 可正常連線。
• 避免對這些端點做 SSL 檢查或內容篩選，以免影響差分更新下載。

如此可在維持大部分對外封鎖策略的前提下，讓 Teams 仍能自動取得更新，減少必須手動重新安裝安裝包的情況。

---

References:

• Teams client update
• Teams doesn't automatically update
• Resolve Teams client update failures
• Resolve Windows Update issues on Teams Rooms Pro devices
• Internet connectivity issues in M365 apps after a change to the IP address range