单位实验室新配的一台 Win10 内网办公机，跑一套老掉牙的检测系统。系统装好，软件部署完，双击主程序，直接弹窗提示“未找到 .NET Framework 3.5”。点“启用该功能”，系统就开始转圈，转了半天，最后告诉我：无法连接到 Windows Update 服务。那一刻我就知道，又得用老办法搞离线安装了。后来用 DISM 命令加同版本系统镜像里的 sources\sxs 文件夹，前后五分钟搞定，并且一次成功。

这篇文章就是完整记录这套内网离线安装 .NET 3.5 的流程。不光是命令怎么敲，还会把原理、参数、报错、批量部署的经验一起说清楚。适合系统运维、装机工程师、软件实施人员，以及所有手头有一台不能联网的 Win10 电脑、还非得装老框架的朋友。

1. 为什么 Win10 装 .NET 3.5 这么折腾

1.1 先搞清楚 .NET 3.5 和 .NET 4.x 完全不是一回事

很多人第一反应是：.NET 3.5 不是被 .NET 4.8、.NET 6 替代了吗？直接装新版不行吗？答案是：不行。Win10 自带的是 .NET Framework 4.x 运行时，而且系统内部很多组件也在用。但老软件当年编译时引用的程序集、API 调用方式，是基于 .NET 2.0/3.0/3.5 那套公共语言运行时写的，项目里的目标框架写死成了 .NET Framework 3.5，你光装 4.8 是认不出来的。

Win10 默认镜像里并不是完全没有 .NET 3.5，系统镜像的 WinSxS 组件存储里其实带着相关文件。但默认情况下，这个功能保持在“未启用”的关闭状态。你需要通过“启用或关闭 Windows 功能”去打开它，而这个开关一旦启动，系统默认会尝试从 Windows Update 下载完整的组件包来激活。

这里就出现了内网机器的死穴：没有外网。特别是企业内网、生产隔离网、保密机房这类环境，本来就不允许连互联网，系统一没有外网源，二没有本地源，那个开关就是废物。我见过不少同事，第一次遇到这台机器，就是反复点“从 Windows Update 下载”，然后反复失败，半小时过去还在原地打转。

1.2 内网装不上，问题到底出在哪

Win10 把 .NET 3.5 当成了“按需功能”，也就是 Features on Demand。这种功能的特点是：系统默认没有完整组件，启用时动态获取源。获取源的优先级就是：

• 如果配置了 Windows 更新服务器（WSUS），先去 WSUS
• 否则去 Microsoft Windows Update
• 如果都连不上，就失败

所以你在离线环境里点那个开关，本质上是让系统自动联网拿文件，拿不到自然报错。报错代码常见 0x800F0906、0x800F0907，意思就是“找不到源”。

还有一种情况是：系统装了精简版镜像，或者用第三方工具清理过 WinSxS 组件存储，人家干脆把 .NET 3.5 相关的备份文件从系统里删掉了。这时候你直接在控制面板里操作，就是查了个寂寞，必须要手动指定一个本地源目录，把功能文件“喂”给系统。

1.3 这套方法适用于哪些场景

• 单位内网 / 隔离网 Win10 电脑，需要部署依赖 .NET 3.5 的老系统。
• 机房新装系统后批量装软件，不想让每台机器都等 Windows Update。
• 现场实施人员在客户那边，客户电脑脱网，软件必须跑起来。
• 开发环境需要保留老框架，但电脑不联网或者网络受限。

只要满足“Win10 系统 + 一个对应版本的原版 ISO 镜像”，这套方案基本通吃。Win10 从 1809 到 22H2、LTSC 2019、LTSC 2021 我都试过，原理完全一致。

2. 离线安装核心方案：DISM 命令才是正解

2.1 为什么用 DISM，而不是控制面板

DISM（Deployment Imaging Servicing and Management）是 Windows 自带的部署镜像服务和管理的命令行工具，从 Windows 7 时代就开始承担系统组件启用、清理、修复这类工作。控制面板里的“启用或关闭 Windows 功能”界面虽然友好，但它默认的源路径是 Windows Update，不能让你手动指定本地目录。DISM 加上了 /Source 参数，就可以把安装源指向你准备好的本地目录，再加一个 /LimitAccess 参数，明确告诉系统“别去碰 Windows Update，只认本地源”。这一步就直接解决了离线安装的核心矛盾。

我在实际使用中，最常用的命令就是这一条，必须在管理员权限的命令提示符下执行：

dism /online /enable-feature /featurename:NetFx3 /All /Source:E:\sources\sxs /LimitAccess

简单解释一下每个参数是什么意思：

• /online：操作当前正在运行的系统，不是去改一个离线镜像文件。
• /enable-feature：启用一个 Windows 功能。
• /featurename:NetFx3：功能名称。.NET 3.5（包括 .NET 2.0 和 3.0）在这个体系里的功能标识就是 NetFx3。
• /All：启用所有父功能。很多组件有依赖关系，比如启用 NetFx3 的时候，可能还需要启用相关的 WCF、HTTP 激活等子功能；加上 /All 可以把依赖项一并处理，避免后续启用失败。
• /Source:E:\sources\sxs：指定功能源文件的位置。这个路径下放的就是 .NET 3.5 功能包文件，正常情况下 Win10 原版 ISO 里一定有这个目录。
• /LimitAccess：限制 DISM 只能访问本地源，禁止它去 Windows Update 查。

整条命令的执行逻辑就是：系统去 E:\sources\sxs 目录里找 NetFx3 的功能包，找到后直接从本地安装激活，全程不需要任何联网请求。

2.2 镜像里的 sources\sxs 到底是什么

Win10 原版 ISO 镜像，除了安装系统时的 install.wim，还附带一个组件源目录叫 sources\sxs。这个目录里放的是一些“可选功能”的组件包文件，比如：

• NetFx3.cab（.NET 3.5 功能包）
• Microsoft-Windows-MediaPlayer-Package（媒体功能相关）
• 其他按需功能组件

DISM 之所以能直接从 sxs 安装，就是因为这个目录就是微软留的本地备选源。你打开 ISO 挂载后的盘符，找到 E:\sources\sxs，会看到里面有一个或多个 .cab 文件。用 dism /online /enable-feature 指向这个目录，系统就能把这些 .cab 展开到 WinSxS 组件存储并完成注册。

有一点要注意：不同版本、不同大版本的 Win10，其 sxs 里的组件包并不是完全通用的。比如 Win10 1809 的 NetFx3.cab 文件版本，和 22H2 的就不一样。虽然有时候用到一个系统版本也能装上，但为了保证绝对成功，最稳妥的办法是用和你目标系统相同版本的镜像。你装系统时用的那个 ISO 就是最好的源。

2.3 不要踩“网上下载 NET 3.5 离线安装包”的坑

我搜索相关热词的时候，看到大量人在找“net3.5 离线安装包下载”“win10 .net3.5 安装包”。网上确实有很多第三方打包的“离线包”，但我个人非常不建议在生产环境用，原因有三个：

第一，来源不可控。你没法确认这个安装包有没有被篡改、有没有捆绑广告或恶意程序。内网环境一旦中招，排查成本极高。

第二，版本可能不对。很多安装包是从旧系统里硬提取出来的 registry 和文件，装进 Win10 以后可能导致功能状态显示已启用，但实际运行老程序还是缺组件，或者系统更新时直接报错。

第三，不符合干净部署原则。正规的操作应该是让 Windows 自己的组件管理机制来处理功能文件，而不是靠第三方向系统里硬塞文件。

所以我的建议是：优先找原版 ISO 镜像。单位装机一般都有原版镜像或者安装 U 盘，直接用那个就够了，完全不需要去下载任何第三方离线包。

3. 保姆级实操：从零到一装好 .NET 3.5

3.1 第一步：确认系统版本和当前状态

在动手之前，先花半分钟确认系统版本。按下 Win+R，输入 winver，回车。弹出的窗口会显示你的 Windows 版本和内部版本号。比如“Windows 10 企业版 LTSC 2021”“版本 21H2”等等，记下这个内部版本号。

然后还要看一下当前 .NET 3.5 功能的实际状态，避免白忙活。在管理员命令提示符里执行：

dism /online /get-featureinfo /featurename:NetFx3

如果输出的 State 是 Disabled，说明功能未启用，正好需要处理；如果已经是 Enabled，就说明系统里其实已经有了，程序还提示缺 3.5 的话，问题大概率不是框架本身，而是软件打包的问题，这就不是本文讨论的范围了。

另外建议在“控制面板 - 程序和功能 - 启用或关闭 Windows 功能”里看一眼，找到“ .NET Framework 3.5（包括 .NET 2.0 和 3.0）”，如果前方复选框是空的，和我预期一致。

3.2 第二步：拿镜像、挂镜像、定位 sxs 文件夹

找到和你系统版本一致的原版 Win10 ISO 文件。这里说明一下，如果你是拿 U 盘或者镜像装的系统，那原来的 ISO 文件很可能还在；如果找不到了，就找个同版本号的原版镜像。版本必须尽量精确匹配，大版本号相同基本都能用，精确到小版本更保险。

在 Win10 里挂载 ISO 非常简单：右键 ISO 文件，选择“装载”，系统会把它当成一个虚拟光驱，自动分配一个盘符。如果你电脑上装了第三方压缩工具，双击 ISO 可能会被压缩软件接管，那样也能看到文件，但不能像光驱一样通过盘符访问，所以我习惯直接右键装载。挂载成功后，打开文件资源管理器，找到新出现的盘符，比如 E 盘。然后看能不能找到 E:\sources\sxs 这个文件夹。确认里面有 NetFx3.cab 或类似命名的 cab 文件。

如果你的系统是精简版，右键可能没有“装载”选项，或者装载后没反应。这时候可以用解压软件把 ISO 解压到一个文件夹，比如 D:\win10_iso，同样能在里面的 sources\sxs 目录下找到组件文件。后面的命令只需要把 /Source 指向这个文件夹里的 sources\sxs 即可。

3.3 第三步：在管理员命令提示符下执行 DISM 命令

开始菜单里搜索 cmd，右键选择“以管理员身份运行”。这里强调一下，命令提示符必须以管理员权限启动，不然 DISM 会直接报“请求的操作需要提升”。

假设你的镜像挂载盘符是 E，那么执行：

dism /online /enable-feature /featurename:NetFx3 /All /Source:E:\sources\sxs /LimitAccess

正常执行时，界面会显示“部署映像服务和管理工具”，然后出现进度百分比。这个百分比不是实时刷新特别快，要注意别以为它卡住了。我遇到过几次，进度在 20% 左右停留十几秒，属于正常现象，等它自己往下走。最终输出一般是：

操作成功完成。

整个过程通常在几十秒到两三分钟之间，取决于磁盘速度和系统状态。如果之前系统组件存储损坏，也有可能在这里卡住或报错，后面我会专门讲报错处理。

命令执行完，可以顺手再跑一次查询命令确认 State 是否已变成 Enabled：

dism /online /get-featureinfo /featurename:NetFx3

看到 State : Enabled，就说明安装成功了。一般情况下不用重启，老软件可以直接运行；如果遇到个别程序还是提示装不上，再重启一次。

3.4 第四步：验证安装结果，别急着收工

命令行显示成功，大多数时候确实就是成功了，但我建议还是做三重验证，避免后面软件运行到一半发现还是缺东西。

第一，看功能开关。打开“启用或关闭 Windows 功能”，确认“.NET Framework 3.5”前面的复选框变成了实心勾选状态。有时候这里显示是正确的，但系统内部注册有点问题，所以还得继续看下面的。

第二，查注册表和目录。按 Win+R 输入 regedit，定位到：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\NET Framework Setup\NDP\v3.5

右侧的 Version 值如果是 3.5.30729 左右，说明注册信息写入了。同时打开 C:\Windows\Microsoft.NET\Framework，如果里面有 v2.0.50727 和 v3.5 两个目录，且 v3.5 里有 system.dll 等文件，基本可以放心。

第三，最关键的实测。直接运行之前报错的那个老软件，看能不能正常打开。这是最终判据。软件能跑起来，就说明环境没问题；软件还报错，就得看报的是什么错、缺的是哪个依赖，那是另一个排查方向。

3.5 特殊系统版本的处理细节

这里单独说一下 LTSC。Win10 LTSC 2019 和 LTSC 2021 是企业长期服务版，很多软件实施人员喜欢拿它做内网系统，因为少了很多商店、广告之类的杂七杂八功能。它同样支持离线安装 .NET 3.5，只需要用对应版本的原版 LTSC 镜像做源就行。LTSC 2021 的基础版本是 21H2，镜像里 sources\sxs 目录一样存在。

如果系统是从网上下载的精简版镜像装的，里面可能把 sources\sxs 或者 WinSxS 组件备份清理掉了。这时候就算你有 ISO，命令打过去也可能报 0x800F081F（找不到源文件）。遇到这种系统，我的建议是不要硬装 .NET 3.5，直接换原版系统重装，否则后患无穷。你在精简版基础上再怎么修复，都很难保证系统完全健康。

4. 报错排查：离线安装最常见的坑与解法

4.1 0x800F081F：找不到源文件，基本都是源的问题

这个错误是最常见的，意思是“无法找到请求的源文件”。我踩过几次，原因主要集中在三处：

一是路径填错了。比如镜像挂载后盘符是 F 盘，你写成了 E 盘，或者 sxs 拼错。这种低端错误检查一遍路径就能发现。

二是镜像版本不匹配。Win10 21H1 的 sxs 组件给 Win10 1903 用，很可能就不认。解决办法是换一个和当前系统内部版本一致的原版镜像。

三是系统精简过度或组件存储坏了。DISM 去指定目录找文件时，还要依赖系统自身的组件服务来解包注册；如果 WinSxS 本身被清理过或者损坏，命令执行过程中会提示源文件损坏或者无法找到。这种情况没法靠命令本身修复，建议修复组件存储后重试：

dism /online /cleanup-image /restorehealth /source:E:\sources\install.wim /LimitAccess

注意这里的 /source 是指向镜像里的 install.wim，不是 sxs 文件夹。等修复完成后，再执行之前的 enable-feature 命令。

4.2 0x800F0906 和 0x800F0907：系统非要连 Windows Update

这两种错误的前因不一样，但本质都是功能源获取失败。0x800F0906 是 DISM 想从 Windows Update 下载但连不上；0x800F0907 则是本地策略或组策略禁止访问 Windows Update 来获取功能，常见于域环境。

解决思路很简单：先用 /LimitAccess 把系统联网获取的通道彻底关掉，让它只能使用 /Source 指定的本地源。再检查命令里有没有写全 /LimitAccess；如果已经加了还是报 0x800F0907，看看是不是企业有安全策略阻止了 DISM 使用“Windows 更新”作为源，这种情况下加 /LimitAccess 是必须的。

有一个小细节：如果电脑之前连着网，可能会优先尝试 Windows Update，网速慢或者代理源有问题，导致超时。离线环境通常又慢又没结果。所以内网安装时，我建议命令里加上 /LimitAccess 不要省。

4.3 命令执行了但一直停在初始状态没有报错

DISM 安装 .NET 3.5 的时候，正常情况下进度条会走一段时间。如果你发现它卡在刚开始的几秒钟，完全没有进展、CPU 不高也没有输出，大概率是命令没有真正开始执行功能部署，而是卡在启动服务和读取源上了。

可以先按 Ctrl+C 停掉，检查三件事：命令提示符是不是“以管理员身份运行”；输入法是不是中文状态导致路径有全角字符；镜像盘符是否就绪。另外，执行前把杀毒软件暂时退出，有些安全软件会拦截 DISM 对系统组件的写操作，导致命令悬停。

4.4 装完以后功能显示 Enabled，软件还是说缺少 .NET 3.5

这个情况和功能没装上不太一样。我的判断思路是：软件本身依赖的不仅仅是 .NET 3.5 运行时，还可能依赖 3.5 的某些子功能。比如 ASP.NET 的老程序、需要 WCF HTTP 激活的老服务，这些都要额外启用。DISM 命令加 /All 参数，就是一次性启用 NetFx3 及其父功能，但有的软件需要的是 WCF 相关的“非默认子功能”，这种情况要单独启用：

dism /online /enable-feature /featurename:WCF-HTTP-Activation /All /Source:E:\sources\sxs /LimitAccess

还有一种比较简单的情况——程序是 32 位的老软件，但你看的是 64 位版本的运行库。安装完 3.5 后，32 位和 64 位两套目录都会有，一般不会因为位数问题缺文件。如果验证过关还是报错，建议把软件报错的完整日志截图，重新判断是不是缺 VC++ 运行库或者其他依赖。

4.5 常见错误速查表

我把实操中遇到过的、以及能被搜索到的高频错误整理成一张表，方便大家现场对照。

需要注意的是，有些报错代码长得像但实际原因差异很大，排错时先确认环境、路径、版本匹配这三大基础项，再去查深层原因。

5. 多台内网机器怎么批量部署更省事

5.1 把命令做成批处理，双击一次搞定

单台机器手工敲命令没问题，但如果内网有几十台机器要装，一台台复制粘贴还是有点烦。我通常会把命令写成一个简单的批处理脚本，放在 U 盘里，到每台机器上双击运行。脚本不需要很复杂，核心逻辑就是确认盘符、执行安装、输出状态：

@echo off cd /d %~dp0 echo 正在从当前目录查找 sources\sxs 组件源... if exist "%~dp0sources\sxs\NetFx3.cab" ( set SRC=%~dp0sources\sxs ) else ( echo 没有找到 sxs 文件，请先检查脚本所在目录。 pause exit /b 1 ) echo 开始安装 .NET Framework 3.5，请保持窗口打开... dism /online /enable-feature /featurename:NetFx3 /All /Source:"%SRC%" /LimitAccess echo. echo 安装完成，当前状态如下： dism /online /get-featureinfo /featurename:NetFx3 | findstr /i "State" pause

这个脚本的要求是：U 盘根目录下放一个 sources 文件夹，里面是 sxs 目录的完整内容。也就是把 ISO 里 sources\sxs 文件夹复制到 U 盘，脚本放 U 盘根目录。这样到每台机器上插入 U 盘，管理员权限双击，就能自动安装。之所以不固定盘符，是因为 U 盘在不同电脑上分配的盘符不固定，直接用 %~dp0 获取脚本当前路径最稳。

有人问为什么不把脚本做成静默安装、无窗口。实际上内网部署十几台机器的话，保留窗口能看到输出更踏实，万一某台机器报错也能当场知道。如果想减少交互，可以把 pause 去掉，安装完自动退出，但这样机器有没有报错就看不到了。我个人建议保留窗口确认，批量部署本来就应该逐台确认。

5.2 没有原版 ISO，只有一台已经装好 3.5 的机器，能复制吗

有些人在内网折腾的时候，发现身边那台机器上已经装好了 .NET 3.5，于是想直接把它 C 盘里的 Framework 文件夹和 Winsxs 组件拷过来用。我劝你不要这么干。Windows 组件注册不像绿色软件那样复制文件就能用，还涉及系统组件存储识别、注册表项、servicing 数据库记录等一堆东西。直接拷贝不仅大概率装不完整，还可能惹出一堆权限和文件占用问题。

正确的思路是：找到一个同版本的原版 ISO。如果单位里头有装机用的安装 U 盘、PE 工具盘、部署服务器的镜像仓库，找一份同版本的原版 ISO 是最现实的。实在找不到，可以考虑在能联网的一台电脑上，把对应版本的 ISO 文件下载好，再通过内网传输把 ISO 拷进去。这对内网环境是允许的，因为只是取一次源文件。

5.3 更进一步：把 .NET 3.5 集成到系统镜像里

如果你负责的机器数量很多，或者以后要经常做系统重装，可以考虑直接把 .NET 3.5 集成到 install.wim 系统镜像里。这样每次装完系统，.NET 3.5 就已经是启用状态，不用每次手动装。思路大致是：把 install.wim 挂载到一个目录，然后使用 DISM 添加 NetFx3 功能包，最后提交更改、重新生成 ISO。核心命令参考：

dism /mount-wim /wimfile:D:\install.wim /index:1 /mountdir:D:\mount dism /image:D:\mount /enable-feature /featurename:NetFx3 /All /Source:E:\sources\sxs /LimitAccess dism /unmount-wim /mountdir:D:\mount /commit

这一步需要你对 DISM 的镜像操作比较熟悉，而且要小心不要损坏 install.wim。如果公司有标准化镜像管理流程，这个做法能省很多事。如果只是偶尔部署几台机器，直接跑之前的脚本就够了，不必非要去集成镜像。

6. 写在最后的实操体会

这套离线安装 .NET 3.5 的方法，我在好几台不同版本的 Win10、Win11 上都实测过，稳定性很高。要说最核心的经验，就一句话：源文件的版本必须和系统匹配，命令里的 /LimitAccess 参数别省略。版本匹配决定了 DISM 能不能识别组件，/LimitAccess 决定了它会不会偷偷去联网浪费你的时间。我刚开始帮同事装的时候，就因为没加 /LimitAccess，命令一直卡在 Windows Update 的等待上，十分钟都没动静，后来强制停止、补上参数，二十秒就装完了。

另外一个小细节：如果是在远程桌面里执行，确保会话有管理员权限；如果系统开了 UAC，批处理脚本右键要以管理员身份运行，否则命令会直接失败。最后，装完千万别着急把 ISO 删了，新装的其他软件如果还需要什么可选功能组件，这个原版镜像还能继续当本地源用。留着它，就是给你自己留了一条省心路。