Permitir acesso remoto do PowerShell apenas de um endereço

Question

Eu preciso gerenciar uma rede escolar de cerca de 60 computadores Windows configurados como computadores de grupo de trabalho e não em um domínio. Para facilitar a configuração, vou ativar o uso remoto do PowerShell em todos os computadores. (Eu sei sobre Enable-PSRemoting e como configurá-lo em geral) Para limitar os riscos de segurança tanto quanto possível, o acesso remoto a esses computadores só deve ser possível a partir do meu PC de administração com um determinado endereço IP.

Então, considere este exemplo:

Computer 1: only accepts remoting connection from admin, not from computer 2
Computer 2: only accepts remoting connection from admin, not from computer 1
Admin computer: can remote on all computers

Não sei como configurar o firewall do Windows nos computadores para permitir o tráfego do protocolo WinRM apenas de um endereço IP. Toda a rede está definida como 'privada'.

Alguém pode me ajudar com as regras de firewall corretas?

    

Answer 1

Como explicado neste artigo: Ativando o Remoting do PowerShell apenas para um conjunto especificado de endereços IP .

(para cada cliente pc1 / pc2 / pc ...) você precisa:

enable-psremoting

next: remova o listener do winrm que foi criado por enable-psremoting

Remove-WSManInstance winrm/config/Listener -SelectorSet @{Address="*";Transport="http"}

agora a máquina não escuta ninguém, então você tem que criar um novo ouvinte para o admin -client

New-WSManInstance winrm/config/Listener -SelectorSet @{Address="IP:10.11.12.13";Transport="http"}

agora reinicie o serviço winrm

spsv winrm -pass | sasv -pass |gsv   #*

(você precisa executar o PowerShell como administrador)

\*
*spsv = stop-service // sasv = start-service // gsv = get-service // -pass = -passThrough*

    

Answer 2

Talvez você queira a lista "trustedhosts" do Powershell?
Você não pode ser remoto em uma máquina se você não estiver na lista de trustedhosts

Inicie o console do Powershell como administrador

execute este comentário:

get-item wsman:\localhost\client\trustedhosts

O "valor" tem que ser o endereço IP ou o nome do cliente admin. Para definir este valor, execute:

set-item wsman:\localhost\client\trustedhosts 192.168.1.2

(se já houver um valor ou se você tiver que administrar clientes:

set-item wsman:\localhost\client\trustedhosts -concatenate admin02pcName

Claro, os curingas são permitidos. Você pode abreviar get-item com gi e set-item com si e -concatenate com -concat