PsExec Lento para se conectar quando o Firewall do Windows está habilitado

Question

situação:

executando o PsExec leva 20 segundos com o firewall do Windows e 1 segundo desativado.

Exceções adicionadas ao firewall:

opened ports 135 and 445 (both tcp) as per http://jamesrayanderson.blogspot.co.uk/2010/04/psexec-and-ports.html

"allow app through firewall" choose "Remote Service Management"

ensure network is set to private

sem esses dois, não se conectará. Máquina de destino executando o Windows 10

durante a espera de 20 segundos fica dizendo "Iniciando o PsEXESVC em"

ok, então um pouco de wiresharking nos mostra que precisamos também abrir outra porta que está sendo solicitada.

primeira vez que corri isto era 49669 segunda vez era 49670

não tem idéia de por que nem qual faixa vai aceitar, alguma idéia?

existe uma lista definitiva de quais portas o PSEXEC precisa abrir?

    

Answer 1

Aparentemente, isso é um problema com o cliente da Diretiva de Grupo ao habilitar o "Gerenciamento de Serviço Remoto".

A correção é executar o seguinte comando:

netsh advfirewall firewall set rule name="Remote Service Management (RPC)" profile=domain new enable=yes

Eu fiz isso em massa, remotamente, usando o PsExec (que era executado lentamente) da seguinte maneira, considerando as estações de trabalho afetadas, um nome de computador por linha, em workstations.txt:

for /f %i in (workstations.txt) do @start /B psexec \%i netsh advfirewall firewall set rule name="Remote Service Management (RPC)" profile=domain new enable=yes

Fazer psexec @workstations.txt (em vez de usar um loop for) ainda executaria os comandos em série, lentamente, com o segundo atraso de 20 segundos. Com um número razoável de estações de trabalho, o comando acima iniciará todas elas em paralelo. É claro que existem outros métodos para executar comandos remotamente, mas isso funcionou bem para mim.

Fonte: link

    

Answer 2

O PSExec usa o RPC, que usa uma porta alocada aleatoriamente ; para o Windows moderno, ou seja, na faixa 49152+.

SE você estiver usando o Firewall do Windows, há uma regra "Gerenciamento Remoto de Serviço Remoto" integrada que permitirá essas portas dinâmicas. Há também alguns ajustes no registro para personalizá-lo, se você sentir necessidade.