简介：这份离线安装包面向需要在无外网环境中为 Windows Server 2012 R2 部署或更新 IIS 的 IT 管理员与运维人员，解决内网、隔离机房或严格网络策略下无法在线拉取系统组件的问题。压缩包共 1568 个文件，约 99.04MB，以 dll 动态库、resx 资源文件、exe 可执行程序为主，辅以 aspx 页面、config 配置、sql 脚本、browser 定义及 gif、ini、tlb 等配套文件，完整覆盖 IIS 角色与 SxS 组件存储所需内容。已有 572 人学习关注。资源内含 Web 服务器、应用程序池、身份验证、URL 重写与 FTP 服务等模块的组件文件，配合 DISM 命令即可离线添加角色，并通过 Get-WindowsFeature 校验安装结果，适合希望减少外网依赖、保证服务器稳定与安全的中高级运维人员参考使用。
1. 内网机装 IIS 的最后一公里：为什么离线包比在线安装更靠谱
上周帮一个做政务内网项目的朋友处理一台 Windows Server 2012 R2 的机器，需求很朴素：把 IIS 装起来，跑一个内部管理站点。结果服务器管理器 → 添加角色和功能 → Web 服务器(IIS)一路点下去，卡在“正在安装”进度条上十几分钟，最后弹出一个 0x800f0906 的报错。原因不复杂——这台机器完全断网，而 Windows Server 2012 R2 的 IIS 角色安装本质上是走DISM从系统组件存储（WinSxS）或 Windows Update 拉取源文件，源不可达就直接失败。这就是“iis离线”这个需求真实存在的场景：内网、隔离网、无外网出口的服务器，必须用离线源（sxs 目录或 install.wim 挂载）来喂给 DISM。这份 Windows Server 2012 R2 的 IIS 离线安装包，解决的就是“角色装不上、报错看不懂、源路径配不对”这三件事。适合谁？做内网交付的运维、需要给老系统补 IIS 的开发者、以及被 0x800f0906 折磨过一轮的人。下面按“先搞懂 DISM 怎么找源 → 再动手配 → 再排错”的顺序拆。
2. 先搞懂 DISM 找源的逻辑：IIS 角色到底从哪来
2.1 角色安装不是“复制文件”，是组件按需装配
很多人以为装 IIS 就是把一堆文件拷到C:\Windows\System32\inetsrv，其实不是。Windows Server 2012 R2 的角色和功能是**按需功能（Features on Demand）**模型：系统里预置了组件的“清单”，但实际二进制文件可能被剥离到install.wim的sxs目录里，或者保留在本地WinSxS中。当你勾选“Web 服务器(IIS)”时，服务器管理器底层调用的是：
# 服务器管理器图形界面背后实际执行的等价命令 dism /online /enable-feature /featurename:IIS-WebServerRole /all /source:D:\sxs /limitaccess这里三个参数是命门：/featurename指定角色名，/all表示连带启用所有父级依赖（IIS 有一长串子功能，漏一个站点就跑不起来），/source指向离线源目录，/limitaccess强制 DISM不要去 Windows Update 找文件——内网环境不加这个，DISM 会先尝试联网、超时后再回落，白白多等好几分钟甚至直接报错。
所以离线包的本质不是“安装程序”，而是一份与目标系统版本严格匹配的 sxs 源文件集合。版本对不上，DISM 会报 0x800f081f（源文件找不到）或 0x800f0906（源文件损坏/不匹配）。
2.2 为什么必须是“同版本同补丁级别”的源
这是最容易翻车的地方。Windows Server 2012 R2 的组件存储和系统补丁级别绑定：一台打了 2020 年累积更新的机器，它的组件清单版本号比 RTM 原版高，如果你拿 RTM 的 install.wim 去当源，DISM 会认为“源里的组件版本低于系统当前版本”，拒绝装配。常见做法是：离线包的 sxs 目录要来自与目标机相同或更高补丁级别的镜像。实操上我一般会先查目标机的版本：
# 查看当前系统版本与安装日期，判断补丁级别 systeminfo | findstr /B /C:"OS 名称" /C:"OS 版本" /C:"系统制造商" # 更精确地看组件存储版本 dism /online /get-currentedition如果目标机是较新的累积更新级别，而你手上只有 RTM 源，有两个选择：一是用目标机同批次的镜像重新提取 sxs；二是先卸载高版本组件再装（不推荐，容易把系统搞坏）。离线包的价值就在于它通常已经按常见补丁级别整理好了 sxs，省去你自己挂载 wim 提取的步骤。
2.3 离线包的目录结构该长什么样
一份能直接用的 IIS 离线源，目录结构大致是：
| 路径 | 内容 | 作用 |
|---|---|---|
\sxs\ | 组件 cab 文件（如Microsoft-Windows-IIS-WebServer-*.cab） | DISM 的/source指向这里 |
\sxs\manifests\ | 组件清单.mum文件 | DISM 靠它匹配功能名 |
\install.wim（可选） | 完整系统镜像 | 需要时挂载后从\sxs提取 |
\readme.txt | 版本与补丁级别说明 | 核对源与目标机是否匹配 |
拿到包后第一件事不是急着装，而是核对 sxs 里的 cab 文件名前缀版本和systeminfo的输出是否对得上。对不上就先别装，否则装到一半失败，清理残留比重新装还麻烦。
3. 动手装：从挂载源到验证站点跑通
3.1 用 DISM 命令行装，别迷信图形界面
图形界面在离线场景下反馈太差，报错只有一个代码。直接用管理员权限的 PowerShell 或 CMD 走 DISM，能看到每一步在干什么。假设离线包解压到了D:\iis-offline\：
# 第一步：先只做“检查”，不实际安装，确认源能被识别 dism /online /enable-feature /featurename:IIS-WebServerRole /all ^ /source:D:\iis-offline\sxs /limitaccess # 如果上一步报错，先用 /get-featureinfo 看这个功能依赖哪些子项 dism /online /get-featureinfo /featurename:IIS-WebServerRole/get-featureinfo会列出该角色的所有子功能（IIS-WebServer、IIS-CommonHttpFeatures、IIS-StaticContent 等）以及它们的当前状态（已启用/已禁用/已禁用且带父级）。这一步是排错的地基：如果某个子项显示“已禁用且带父级”，说明它的父功能没装，/all就是用来一次性把依赖链拉齐的。
装完主角色后，再按需补子功能。比如要跑 ASP.NET 站点，还得单独启用：
# 启用 ASP.NET 4.5 相关子功能（注意功能名大小写不敏感但拼写要准） dism /online /enable-feature /featurename:IIS-ASPNET45 /all ^ /source:D:\iis-offline\sxs /limitaccess dism /online /enable-feature /featurename:IIS-NetFxExtensibility45 /all ^ /source:D:\iis-offline\sxs /limitaccess参数说明：^是 CMD 的续行符，PowerShell 里换成反引号`；/all一定要带，否则子功能不会自动启用；/limitaccess在内网必带。每装一个功能，DISM 会输出进度百分比和最终结果码，结果码 0 才是成功，其他都要停下来查。
3.2 用 PowerShell 批量启用，适合一次配多台
如果要在多台机器上重复这套动作，写成脚本更稳。Enable-WindowsOptionalFeature是 DISM 的 PowerShell 封装：
# 批量启用 IIS 核心功能，源路径统一走变量 $source = "D:\iis-offline\sxs" $features = @( "IIS-WebServerRole", "IIS-WebServer", "IIS-CommonHttpFeatures", "IIS-StaticContent", "IIS-DefaultDocument", "IIS-HttpErrors", "IIS-ASPNET45" ) foreach ($f in $features) { Write-Host "正在启用: $f" -ForegroundColor Cyan $r = Enable-WindowsOptionalFeature -Online -FeatureName $f ` -All -Source $source -LimitAccess -ErrorAction Stop if ($r.RestartNeeded) { Write-Host "$f 需要重启后生效" -ForegroundColor Yellow } }逻辑说明：-All对应 DISM 的/all；-LimitAccess对应/limitaccess；-ErrorAction Stop让脚本在第一个失败处停下，而不是静默跳过——批量场景下静默跳过最坑，你以为装好了，结果站点起不来。RestartNeeded为真时记下来，最后统一重启一次，别每装一个就重启。
3.3 装完必须验证：三个检查点
装完不等于能用。我一般按这三步验：
# 检查点1：功能状态是否为 Enabled dism /online /get-featureinfo /featurename:IIS-WebServerRole | findstr /C:"状态" # 检查点2：W3SVC 服务是否在跑 sc query W3SVC # 检查点3：默认站点是否响应 curl -I http://localhostsc query W3SVC返回STATE : 4 RUNNING才算服务起来了；curl -I返回HTTP/1.1 200 OK说明默认站点（C:\inetpub\wwwroot）能访问。如果服务没起，先看事件查看器里System日志的W3SVC来源，常见是端口 80 被占用或applicationHost.config损坏。三个检查点全过，才算这份离线包真正落地成功。
4. 避坑与排查：0x800f0906 之外还有哪些雷
4.1 报 0x800f0906：源文件与系统版本不匹配
现象：DISM 跑到一半报0x800f0906，提示“无法下载源文件”或“源文件损坏”。原因：最常见的是离线包的 sxs 来自 RTM 原版，而目标机已经打了较新的累积更新，组件版本号对不上；其次是 sxs 目录里缺了某个子功能的 cab，/all拉依赖时找不到。解决：先用dism /online /get-featureinfo确认缺的是哪个子功能，再核对 sxs 里有没有对应 cab；版本不匹配就换同补丁级别的源，别硬装。我见过有人反复重试十几次，其实换一份匹配的源一次就过。
4.2 报 0x800f081f：源路径写错或权限不足
现象：0x800f081f，提示“找不到源文件”。原因：/source路径写错（比如多了一层目录、盘符不对），或者 DISM 进程没有读取该目录的权限（网络共享路径尤其常见）。解决：把源目录放到本地磁盘，用绝对路径，先手动dir D:\iis-offline\sxs确认能看到 cab 文件；如果是共享路径，先映射成本地盘符再试。DISM 对 UNC 路径的支持不稳定，这是血泪经验。
4.3 装完 IIS 管理器打不开，提示 MMC 错误
现象：角色显示已安装，但inetmgr启动报 MMC 管理单元错误。原因：IIS-ManagementConsole子功能没启用——/all有时因为源里缺管理控制台的 cab 而跳过它，但主角色仍显示成功。解决：单独补装IIS-ManagementConsole和IIS-ManagementScriptingTools，再重启 MMC。这个坑很隐蔽，因为主角色状态是 Enabled，容易误判。
4.4 站点能访问但 ASP.NET 页面报 500.19
现象：静态页正常，.aspx页面报HTTP 错误 500.19。原因：IIS-ASPNET45或IIS-NetFxExtensibility45没装全，或者装了但没注册到 IIS（aspnet_regiis -i没跑）。解决：先确认两个功能都是 Enabled，再以管理员身份跑C:\Windows\Microsoft.NET\Framework64\v4.0.30319\aspnet_regiis.exe -i。注意 2012 R2 上这个命令有时提示已弃用，但注册动作仍然有效。
4.5 离线装完重启后功能“回退”
现象：装完显示成功，重启后部分子功能又变回 Disabled。原因：安装过程中有功能标记了RestartNeeded，但重启前又执行了其他 DISM 操作，导致事务未提交完整。解决：一次装完、一次重启，中间不要穿插其他角色安装；重启后再用get-featureinfo全量核对一遍状态。这个属于玄学范畴，但按“装完即重启、重启即核对”的节奏走，基本不会遇到。
5. 进阶：把离线包做成可复用的内网部署基线
单台机器装完只是开始。真正省事的是把这份离线包 + 一套脚本固化成内网部署基线，新机器到手跑一遍就齐活。我的做法是建一个deploy-iis.ps1，把源路径、功能清单、验证步骤全写进去，配合一个features.txt清单文件，换机器只改源路径变量。
# deploy-iis.ps1 核心片段：读清单 + 装 + 验 $source = $args[0] # 传入 sxs 路径，如 D:\iis-offline\sxs $list = Get-Content ".\features.txt" foreach ($f in $list) { if ([string]::IsNullOrWhiteSpace($f)) { continue } Enable-WindowsOptionalFeature -Online -FeatureName $f.Trim() ` -All -Source $source -LimitAccess -ErrorAction Stop | Out-Null } # 统一验证：服务 + 端口 if ((Get-Service W3SVC).Status -ne "Running") { Start-Service W3SVC } $probe = Invoke-WebRequest -Uri "http://localhost" -UseBasicParsing -TimeoutSec 10 Write-Host "默认站点响应码: $($probe.StatusCode)"features.txt里按行写功能名，一行一个，注释用#开头。这样换一台机器，只要源版本对得上，一条命令跑完，验证也自动做了。参数上唯一要盯的是-Source必须指向本地绝对路径，别传网络路径。
还有一个容易被忽略的点：离线包要跟着补丁级别走。内网机器如果后续打了累积更新，原来的 sxs 可能又对不上了。我的习惯是每次给内网机器做补丁基线时，同步更新一份对应级别的 sxs 源，归档时在目录名里带上补丁级别（比如sxs-2020-01），下次装 IIS 直接按systeminfo的输出挑对应目录。从那以后我每次给内网机器装角色，都强制先跑一遍systeminfo核对源版本、再跑get-featureinfo核对依赖，最后才动手装——这三步走完，0x800f0906 基本就绝迹了。希望帮到你。
本文还有配套的精品资源，点击获取
