Главная » Linux

Удаленное администрирование брандмауэра windows

Содержание
  1. Удаленное управление при помощи диспетчера сервера
  2. Поддерживаемые сценарии удаленного управления
  3. Вопросы безопасности для удаленного управления с использованием диспетчера сервера
  4. Задачи, которые можно выполнять на удаленном сервере при помощи диспетчера сервера
  5. Задачи, которые нельзя выполнять удаленно при помощи диспетчера сервера
  6. Включение и отключение удаленного управления в Windows Server 2008 R2
  7. Подключение к удаленным компьютерам при помощи диспетчера сервера
  8. Управление несколькими компьютерами с помощью диспетчера сервера и консоли ММС
  9. Удаленное управление из Windows 7

Удаленное управление при помощи диспетчера сервера

В ОС Windows Server® 2008 R2 при помощи Диспетчер серверов можно выполнять ряд задач управления на удаленных компьютерах. Для удаленного управления компьютером при помощи Диспетчер серверов необходимо подключить Диспетчер серверов к удаленному компьютеру так же, как подключаются консоли управления (ММС) при использовании других технологий.

Поддерживаемые сценарии удаленного управления

Перечисленные ниже сценарии удаленного управления поддерживаются из Диспетчер серверов в ОС Windows Server 2008 R2.

    Сервер-сервер Диспетчер серверов при полной установке Windows Server 2008 R2 можно использовать для управления ролями и компонентами, установленными на другом сервере под управлением Windows Server 2008 R2.

Сервер-Server Core (ядро сервера) Диспетчер серверов при полной установке Windows Server 2008 R2 можно использовать для управления ролями и компонентами, установленными на компьютере под управлением Windows Server 2008 R2 в установке Server Core.

Клиент-сервер Диспетчер серверов установлен в составе Средства администрирования удаленного сервера на компьютере под управлением Windows® 7. Этот сценарий можно использовать для управления ролями и компонентами на компьютере, работающем под управлением Windows Server 2008 R2 — либо в полной установке, либо в установке Server Core.

Исходный компьютер -удаленный компьютер Домен С (добавлен в качестве доверенного узла)
Примечания
  • При управлении удаленным компьютером с компьютера, на котором установлена ОС Windows 7, запустите службу удаленного управления Windows (WinRM), чтобы добавить доверенные узлы. Откройте командную строку с повышенными правами пользователя. Для этого нажмите кнопку Пуск, выберите компоненты Все программы, Стандартные, щелкните правой кнопкой мыши пункт Командная строка и выберите команду Запуск от имени администратора. Введите приведенную ниже команду и нажмите клавишу ВВОД: net start winrm
  • Для удаленных подключений по сценарию «Рабочая группа — рабочая группа/домен» удаленный компьютер необходимо добавить в список доверенных узлов на исходном компьютере. Для этого введите следующую команду на исходном компьютере в окне командной строки, открытой с повышенными правами пользователя:
  • winrm set winrm/config/client @
  • Для удаленных подключений по сценарию «Рабочая группа — рабочая группа/домен», если пользователь не использовал для входа в систему встроенную учетную запись администратора на исходном компьютере, необходимо настроить следующий раздел реестра WinRM, чтобы разрешить удаленный доступ с исходного компьютера. Это изменение необходимо из-за ограничения, налагаемого контролем учетных записей пользователей (UAC) на учетные записи членов группы Администраторы, не являющихся администраторами. Чтобы изменить этот раздел реестра, введите следующую команду на исходном компьютере в командной строке, открытой с повышенными правами пользователя:
  • reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
  • По умолчанию WinRM допускает не более пяти подключений каждого пользователя к удаленному компьютеру. Чтобы увеличить этот предел, введите следующую команду в командной строке, открытой с повышенными правами пользователя на исходном компьютере, где Х соответствует числу подключений, которое нужно разрешить:
  • winrm s winrm/config/winrs @

Вопросы безопасности для удаленного управления с использованием диспетчера сервера

Необходимо быть членом группы Администраторы на компьютерах, которыми планируется управлять при помощи диспетчера сервера.

Поскольку возможности удаленного управления Диспетчер серверов обеспечивает технология Windows PowerShell, для удаленного управления Диспетчер серверов характерны те же особенности безопасности, что и для Windows PowerShell. Злоумышленник может попытаться украсть учетные данные для входа в систему, предоставленные администратором по удаленному подключению, но в общем случае это маловероятно. Другие потенциальные угрозы (которые характеризуются столь же малым риском) включают изменение злоумышленником динамических библиотек (DLL), а также попытки получить доступ к конфиденциальным сведениям или данным, удостоверяющим личность, которые содержатся в файле журнала Диспетчер серверов. Пользователи с правами доступа к локальному компьютеру могут читать файлы журнала Диспетчер серверов, однако эти файлы не содержат конфиденциальной информации и сведений об учетных записях, таких как пароли.

Задачи, которые можно выполнять на удаленном сервере при помощи диспетчера сервера

В Диспетчер серверов на удаленном компьютере можно выполнять следующие задачи.

    Просмотр состояния автоматического обновления Windows

Выполнение проверок ролей анализатором соответствия рекомендациям. Дополнительные сведения см. в разделе Выполнение проверок и фильтрация их результатов в анализаторе соответствия рекомендациям.

Просмотр или изменение состояния Программа улучшения качества ПО Windows (CEIP)

Настройка Отчеты об ошибках Windows

Просмотр и изменение информации о брандмауэре Windows

Просмотр сведений о ролях на их домашних страницах и управление ролями

Важно!

Чтобы использовать средства и оснастки, предназначенные для конкретных ролей или компонентов в консоли Диспетчер серверов, подключенной к удаленному серверу, эти средства необходимо установить на исходном компьютере при помощи Средства администрирования удаленного сервера.

Примечание

Просмотр параметров конфигурации Internet Explorer в режиме повышенной безопасности.

Управление службами с домашних страниц ролей.

Задачи, которые нельзя выполнять удаленно при помощи диспетчера сервера

Перечисленные ниже задачи нельзя выполнять в удаленном сеансе Диспетчер серверов. Это ограничение связано, главным образом, с целью минимизировать риски безопасности для серверов.

    Добавление и удаление роли, службы ролей и функции

Настройка параметров удаленного рабочего стола

Настройка свойств системы

Проверка наличия новых ролей

Изменение параметров автоматического обновления Windows

Изменение сетевых параметров

Изменение имени компьютера или членства в домене

Изменение параметров конфигурации Internet Explorer в режиме повышенной безопасности

Запуск мастера настройки безопасности, если исходный компьютер — это сервер, работающий под управлением Windows Server 2008 R2

Включение и отключение удаленного управления в Windows Server 2008 R2

Чтобы защитить серверы от несанкционированного доступа, прежде чем администраторы смогут удаленно подключиться к компьютеру под управлением Windows Server 2008 R2 при помощи Диспетчер серверов, необходимо включить удаленное управление Диспетчер серверов на компьютере назначения.

Перед тем как настроить на сервере удаленное управление при помощи Диспетчер серверов, необходимо включить несколько параметров групповой политики, которые управляют исключениями брандмауэра Windows. Выполните действия, изложенные в разделе Настройка групповой политики для удаленного управления с помощью диспетчера сервера, чтобы убедиться, что параметры групповой политики не переопределяют конфигурацию сервера для удаленного управления.

Процедуры этого раздела можно выполнить только на компьютере под управлением Windows Server 2008 R2. Нельзя включить или отключить удаленное управление на компьютере под управлением Windows 7, поскольку ОС Windows 7 нельзя управлять при помощи Диспетчер серверов.

Примечание
Чтобы настроить групповую политику для удаленного управления с помощью диспетчера сервера, выполните следующие действия.

На компьютере, предназначенном для удаленного управления, откройте Редактор локальной групповой политики. Для этого нажмите кнопку Пуск, выберите пункт Выполнить, введите gpedit.msc в поле Открыть и нажмите клавишу ВВОД.

Разверните компоненты Конфигурация компьютера, Административные шаблоны, Компоненты Windows, Удаленное управление Windows, а затем выберите Служба WinRM.

В области сведений дважды щелкните команду Разрешить автоматическую настройку прослушивателей.

Выберите Включено и нажмите кнопку ОК.

В древовидном представлении разверните компоненты Параметры Windows, Параметры безопасности, Брандмауэр Windows в режиме повышенной безопасности и выберите Брандмауэр Windows в режиме повышенной безопасности.

Щелкните правой кнопкой мыши пункт Правила для входящих подключений и выберите команду Создать правило.

В мастере создания правила для нового входящего подключения на странице Тип правила выберите Предопределенное.

В выпадающем меню Предопределенное выберите пункт Удаленное управление журналом событий. Нажмите кнопку Далее.

На странице Предопределенные правила нажмите кнопку Далее, чтобы принять новые правила.

На странице Действие выберите пункт Разрешить подключение и нажмите кнопку Готово. По умолчанию выбран вариант Разрешить подключение.

Повторите шаги 5-10, чтобы создать новые правила для входящих подключений для следующих двух дополнительных типов предопределенных правил.

    Удаленное управление службой

Удаленное управление брандмауэром Windows

Закройте Редактор локальной групповой политики.

Настройка удаленного управления с помощью диспетчера сервера с использованием интерфейса Windows

    На компьютере, предназначенном для удаленного управления, откройте Диспетчер серверов. Чтобы открыть компонент «Управление сервером», нажмите Пуск, Администрирование, а затем Управление сервером.

    В области Сводка сервера домашней страницы Диспетчер серверов щелкните команду Настроить удаленное управление с помощью диспетчера сервера.

    Выполните одно из указанных ниже действий.

      Чтобы разрешить удаленное управление данным компьютером при помощи Диспетчер серверов, установите флажок Разрешить удаленное управление этим сервером с других компьютеров.

    Чтобы запретить удаленное управление данным компьютером при помощи Диспетчер серверов, снимите флажок Разрешить удаленное управление этим сервером с других компьютеров.

    Если вы хотите разрешить удаленное управление, но не можете изменить параметр, выполните действия, описанные в процедуре Настройка групповой политики для удаленного управления с помощью диспетчера сервера и затем перейдите к следующему шагу.

    Нажмите кнопку ОК.

    Убедитесь, что исключения для приведенных ниже правил брандмауэра включены и не переопределяются параметрами групповой политики.

      Удаленное управление службой (именованные каналы — входящий)

    Удаленное управление службой (RPC)

    Удаленное управление службой (RPC-EPMAP)

    Удаленное управление журналом событий (именованные каналы — входящий)

    Удаленное управление журналом событий (RPC)

    Удаленное управление журналом событий (RPC-EPMAP)

    Удаленное управление брандмауэром Windows (RPC)

    Удаленное управление брандмауэром Windows (RPC-EPMAP)

    Для этого выполните следующие действия.

    Откройте оснастку Брандмауэр Windows в режиме повышенной безопасности одним из следующих способов.

    В области «Сведения о безопасности» главного окна диспетчера сервера выберите Перейти к брандмауэру Windows.

    В древовидном представлении диспетчера сервера разверните раздел Конфигурация и щелкните заголовок Брандмауэр Windows в режиме повышенной безопасности.

    В меню Пуск выберите компонент Администрирование, а затем выберите пункт Брандмауэр Windows в режиме повышенной безопасности.

    В области Начало работы области сведений компонента Брандмауэр Windows в режиме повышенной безопасности щелкните пункт Правила для входящих подключений.

    В списке правил найдите правила, указанные в этом шаге.

    Если в столбце Включено указано значение Нет для какого-либо из заданных правил, дважды щелкните это правило, чтобы открыть для него диалоговое окно Свойства.

    На вкладке Общие диалогового окна Свойства правила выберите Включено. Нажмите кнопку ОК.

    Хотя удаленное управление с помощью диспетчера сервера возможно, даже если исключения для правил брандмауэра «Удаленное управление журналом событий» отключены, удаленные подключения могут работать очень медленно, в зависимости от количества ролей и компонентов, выполняющихся на компьютере, которым вы хотите управлять, если исключения для этих правил брандмауэра не включены. Рекомендуется включить правила брандмауэра «Удаленное управление журналом событий», чтобы избежать задержек в подключении.

    Примечание
Настройка удаленного управления с помощью диспетчера сервера с использованием Windows PowerShell

    На компьютере, предназначенном для удаленного управления, откройте сеанс Windows PowerShell с повышенными правами пользователя. Для этого нажмите кнопку Пуск, последовательно выберите компоненты Все программы, Стандартные и Windows PowerShell, затем щелкните правой кнопкой мыши ярлык Windows PowerShell и выберите команду Запуск от имени администратора.

    В сеансе Windows PowerShell введите следующую команду и нажмите клавишу ВВОД:

    Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

    Чтобы включить все необходимые исключения из правил брандмауэра, введите следующую команду и нажмите клавишу ВВОД:

    Configure-SMRemoting.ps1 -force -enable

Настройка удаленного управления в ОС Windows Server 2008 R2 в установке Server Core

    На компьютере, предназначенном для удаленного управления, в командной строке, которая открывается по умолчанию при входе члена группы Администраторы в систему Windows Server 2008 R2 в установке Server Core, введите следующую команду и нажмите клавишу ВВОД:

    Dism.exe /Online /Enable-Feature /FeatureName:NetFx2-ServerCore /FeatureName:MicrosoftWindowsPowerShell /FeatureName:ServerManager-PSH-Cmdlets /FeatureName:BestPractices-PSH-Cmdlets

    После завершения установки закройте все приложения и перезагрузите компьютер.

    Чтобы убедиться, что Windows PowerShell и командлеты для Диспетчер серверов и анализатора соответствия рекомендациям установлены, попробуйте ввести команду oclist, которая возвращает список всех компонентов Windows, установленных на данном компьютере.

    По завершении загрузки операционной системы, войдите в систему как минимум с правами члена локальной группы Администраторы.

    В окне командной строки, которое откроется после входа в систему, введите следующую команду, чтобы открыть сеанс Windows PowerShell, и нажмите клавишу ВВОД:

    В сеансе Windows PowerShell введите следующую команду и нажмите клавишу ВВОД:

    Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

    Чтобы включить все необходимые исключения из правил брандмауэра, введите следующую команду и нажмите клавишу ВВОД:

    Configure-SMRemoting.ps1 -force -enable

    Подключение к удаленным компьютерам при помощи диспетчера сервера

    Для управления удаленным сервером с помощью Диспетчер серверов, выполните следующие действия.

    Подключение к другому компьютеру с помощью диспетчера сервера

    Запустите программу Диспетчер серверов. Чтобы открыть компонент «Управление сервером», нажмите Пуск, Администрирование, а затем Управление сервером.

    В древовидном представлении щелкните правой кнопкой мыши узел Диспетчер сервера и выберите команду Подключиться к другому компьютеру.

    В диалоговом окне Подключение к другому компьютеру введите имя или IP-адрес другого компьютера, работающего под управлением Windows Server 2008 R2, в поле Другой компьютер или найдите другой сервер в сети при помощи обзора. Нажмите кнопку ОК.

    В поле Другой компьютер можно указать NetBIOS-имя, полное доменное имя либо адрес IPv4 или IPv6. Если номер порта не указан, то используется номер порта по умолчанию. Далее приведены примеры форматов, которые можно указать в поле Другой компьютер.

    IPv4-адрес с номером порта: n.n.n.n:PortNumber

    IPv6-адрес с номером порта: [n:n:n:n]:PortNumber

    Если администратор изменил на компьютере номер порта по умолчанию, то нужно открыть нестандартный порт в брандмауэре Windows, чтобы разрешить для этого порта принимать входящие подключения. Порт 5985 открыт по умолчанию, если служба удаленного управления Windows настроена так, как описано в разделе Настройка групповой политики для удаленного управления с помощью диспетчера сервера в этой главе. Нестандартные порты остаются заблокированными, пока не будут открыты. Дополнительные сведения о том, как разблокировать порт в брандмауэре Windows, см. в справке по брандмауэру Windows. Для получения дополнительных сведений о настройке службы удаленного управления Windows в сеансе командной строки введите winrm help и нажмите клавишу ВВОД.

    Обратите внимание, что после подключения к удаленному компьютеру имя вашего компьютера изменилось в консоли Диспетчер серверов. Имя компьютера в узле Диспетчер серверов древовидного представления, значение поля Полное имя компьютера в области Сводка сервера Диспетчер серверов и имя компьютера в заголовке консоли меняются на имя удаленного компьютера, к которому вы подключились. Поскольку Диспетчер серверов разрешает IP-адреса в полные доменные имена, то при подключении к удаленному компьютеру с использованием IP-адреса консоль Диспетчер серверов отображает полное доменное имя удаленного компьютера.

    Примечание

    При подключении к компьютеру в другом домене с использованием IP-адреса возможен сбой удаленного подключения из-за ограничений DNS-сервера, которые могут привести к ошибке разрешения IP-адреса в имя узла. В этом случае попробуйте подключиться, указав полное доменное имя.

    Примечание
Чтобы выполнить командлет Get-WindowsFeature диспетчера сервера на удаленном компьютере в сеансе Windows PowerShell, выполните следующие действия.

    Откройте сеанс Windows PowerShell с повышенными правами пользователя. Для этого нажмите кнопку Пуск, последовательно выберите компоненты Все программы, Стандартные и Windows PowerShell, затем щелкните правой кнопкой мыши ярлык Windows PowerShell и выберите команду Запуск от имени администратора.

    Введите следующую команду (где ComputerName — имя удаленного компьютера, работающего под управлением Windows Server 2008 R2, а UserName — имя пользователя, являющегося членом группы Администраторы на удаленном компьютере), затем нажмите клавишу ВВОД:

    Будет запрошен пароль, который нужно ввести в защищенном диалоговом окне. Введите пароль и нажмите клавишу ВВОД.

    Для загрузки оснастки Диспетчер серверов в сеансе Windows PowerShell введите следующую команду и нажмите клавишу ВВОД:

    Введите приведенную ниже команду и нажмите клавишу ВВОД:

    После того, как результаты выполнения командлета Get-WindowsFeature будут показаны в сеансе Windows PowerShell, введите следующую команду, чтобы закрыть сеанс Windows PowerShell, и нажмите клавишу ВВОД:

    Управление несколькими компьютерами с помощью диспетчера сервера и консоли ММС

    Можно также создать настраиваемую консоль управления (ММС), содержащую несколько оснасток Диспетчер серверов — каждая для управления отдельным удаленным компьютером.

    Для управления несколькими компьютерами с помощью диспетчера сервера и консоли ММС выполните следующие действия.

    Чтобы открыть консоль MMC (Microsoft Management Console), нажмите кнопку Пуск, выберите пункт Выполнить, введите mmc и нажмите кнопку ОК.

    В меню Файл выберите команду Добавить или удалить оснастку.

    В списке Доступные оснастки выберите Диспетчер сервера.

    Нажмите кнопку Добавить, чтобы добавить Диспетчер серверов в список Выбранные оснастки.

    Повторите предыдущий шаг столько раз, сколько нужно для добавления оснасток Диспетчер серверов в консоль ММС. Нажмите кнопку ОК.

    В древовидном представлении новой консоли ММС щелкните правой кнопкой мыши верхний узел оснастки Диспетчер серверов и выберите команду Подключиться к другому компьютеру.

    В диалоговом окне Подключение к другому компьютеру введите имя или IP-адрес другого компьютера в поле Другой компьютер или найдите другой сервер в сети при помощи обзора. Нажмите кнопку ОК.

    Обратите внимание, что после подключения к удаленному компьютеру имя вашего компьютера изменилось в узле Диспетчер серверов древовидного представления.

    Если у вас есть дополнительные оснастки Диспетчер серверов в консоли ММС, повторите данную процедуру, начиная с шага 6, для подключения дополнительных оснасток Диспетчер серверов к другим удаленным компьютерам.

    В меню Файл выберите команду Сохранить, чтобы сохранить настраиваемую консоль ММС.

    Удаленное управление из Windows 7

    Хотя компьютерами, работающими под управлением Windows 7, нельзя управлять с помощью Диспетчер серверов, можно установить Диспетчер серверов на компьютере под управлением Windows 7, установив для этого Средства администрирования удаленного сервера. Средства администрирования удаленного сервера для Windows 7 можно загрузить на
    веб-сайте корпорации Майкрософт (https://go.microsoft.com/fwlink/?LinkId=131280). После установки Средства администрирования удаленного сервера можно подключить консоль Диспетчер серверов к удаленному компьютеру под управлением Windows Server 2008 R2 и выполнять задачи управления на сервере назначения, который определен в пункте Задачи, которые можно выполнять на удаленном сервере при помощи диспетчера сервера настоящего раздела.

    Установив Средства администрирования удаленного сервера на компьютере под управлением Windows 7, так же как на компьютере под управлением Windows Server 2008 R2, можно создать настраиваемую консоль ММС Диспетчер серверов для управления несколькими удаленными компьютерами, на которых установлен Windows Server 2008 R2. Чтобы создать настраиваемую консоль ММС Диспетчер серверов на компьютере, где установлены ОС Windows 7 и Средства администрирования удаленного сервера, см. пункт Управление несколькими компьютерами с помощью диспетчера сервера и консоли ММС настоящего раздела.

    Для удаленного управления с компьютера, на котором установлена ОС Windows 7, выполните следующие действия.

    Установите Средства администрирования удаленного сервера на компьютере под управлением Windows 7.

    Загрузите пакет Средства администрирования удаленного сервера с
    веб-сайта корпорации Майкрософт и затем следуйте инструкциям по установке Средства администрирования удаленного сервера, приведенным на странице Центра загрузки.

    Чтобы использовать средства и оснастки, предназначенные для конкретных ролей или компонентов в консоли Диспетчер серверов, подключенной к удаленному серверу, эти средства необходимо установить на исходном компьютере при помощи Средства администрирования удаленного сервера.

    После установки Средства администрирования удаленного сервера откройте Диспетчер серверов. Чтобы открыть компонент «Управление сервером», нажмите Пуск, Администрирование, а затем Управление сервером.

    В древовидном представлении щелкните правой кнопкой мыши узел Диспетчер сервера и выберите команду Подключиться к другому компьютеру.

    В диалоговом окне Подключение к другому компьютеру введите имя или IP-адрес компьютера, работающего под управлением Windows Server 2008 R2, в поле Другой компьютер или найдите другой сервер в сети при помощи обзора. Нажмите кнопку ОК.

    Обратите внимание, что после подключения к удаленному компьютеру имя компьютера появится в консоли Диспетчер серверов. Вы увидите имя удаленного компьютера, к которому подключены, в узле Диспетчер серверов древовидного представления, в поле Полное имя компьютера области Сводка сервера Диспетчер серверов и имя компьютера в заголовке консоли.

    Читайте также:  Genymotion mac os установка
    Оцените статью
    © 2024 Советы по настройке компьютера