PowerShell को केवल एक पते से रिमोट एक्सेस की अनुमति दें

Question

मुझे लगभग 60 विंडोज कंप्यूटर के एक स्कूल नेटवर्क का प्रबंधन करना चाहिए जो कार्यसमूह कंप्यूटर के रूप में सेटअप है और एक डोमेन में नहीं है। कॉन्फ़िगरेशन को आसान बनाने के लिए मैं सभी कंप्यूटरों पर PowerShell रीमोटिंग को सक्षम करने जा रहा हूं। (मुझे पता है कि Enable-PSRemoting और इसे सामान्य रूप से कैसे सेट किया जाए) के बारे में पता है) जहां तक ​​संभव हो सुरक्षा जोखिमों को सीमित करने के लिए, इन कंप्यूटरों को रीमोट करना केवल मेरे प्रशासन पीसी से एक निश्चित आईपी पते के साथ संभव होना चाहिए।

तो इस उदाहरण पर विचार करें:

Computer 1: only accepts remoting connection from admin, not from computer 2
Computer 2: only accepts remoting connection from admin, not from computer 1
Admin computer: can remote on all computers

मुझे यकीन नहीं है कि केवल एक आईपी पते से WinRM प्रोटोकॉल के यातायात की अनुमति देने के लिए कंप्यूटर पर विंडोज फ़ायरवॉल कैसे स्थापित किया जाए। पूरा नेटवर्क 'निजी' पर सेट है।

क्या कोई सही फ़ायरवॉल नियमों को सक्षम करने में मेरी मदद कर सकता है?

Comments

विंडोज फ़ायरवॉल में सभी ट्रैफ़िक लेकिन एक आईपी को कैसे ब्लॉक करें? । सुझाव को खारिज करने से पहले, उत्तर पढ़ें, इस स्थिति में उत्तर का उपयोग किया जा सकता है।

— रामहाउंड

@SimonS क्या यह कमांड कॉन्फ़िगर करने वाला नहीं है जो दूरस्थ कंप्यूटर व्यवस्थापक कंप्यूटर को होस्ट करता है? या इसका उपयोग एक्सेस को प्रतिबंधित करने के लिए भी किया जा सकता है जो एक होस्ट तक पहुंच सकता है?

— सेबेस्टियन

@ रामध्वज धन्यवाद, मैंने उत्तर पढ़ा है, और मुझे लगता है कि मैं IPSec दृष्टिकोण (# 2) को अनुकूलित कर सकता था। हालाँकि, मैं अन्य सभी ट्रैफ़िक को ब्लॉक नहीं करना चाहता, लेकिन मैं शायद इस एडमिन कंप्यूटर को छोड़कर WinRM पोर्ट पर सभी ट्रैफ़िक को ब्लॉक करने के समाधान को अनुकूलित कर सकता हूं। हालाँकि, MMC के साथ स्थानीय समूह नीतियों को बदलने से भवन के चारों ओर फैले 60 कंप्यूटरों के लिए अच्छा पैमाना नहीं है। तो, कमांड लाइन समाधान का कोई भी मौका?

— सेबेस्टियन

@ राम यह बहुत अच्छा है! सेबस्टियन आप बिल्कुल सही कह रहे हैं। भ्रम के लिए खेद है

— शमौन

आपको एक खोज निषेध नियम बनाने की आवश्यकता नहीं है। आपको केवल एक खोज अनुमति नियम बनाने की आवश्यकता है। एक अंतर्निहित इनकार नियम पहले से ही अधिकांश डिफ़ॉल्ट कॉन्फ़िगरेशन में मौजूद है। याद रखें सामान्य इनकार सभी नियम बहुत अंतिम नियम होना चाहिए, और आपको केवल वही चाहिए जो आपको चाहिए।

— रामहुंड

Answer 1

जैसे इस लेख में बताया गया है: केवल IP पते के निर्दिष्ट सेट के लिए पॉवरशेल रीमोटिंग सक्षम करना ।

(प्रत्येक ग्राहक pc1 / pc2 / pc ...) के लिए आपको निम्न करना होगा:

enable-psremoting

अगला: द्वारा बनाए गए winrm- श्रोता को हटा दें enable-psremoting

Remove-WSManInstance winrm/config/Listener -SelectorSet @{Address="*";Transport="http"}

अब मशीन किसी की नहीं सुनती है, इसलिए आपको व्यवस्थापक -client के लिए एक नया श्रोता बनाना होगा

New-WSManInstance winrm/config/Listener -SelectorSet @{Address="IP:10.11.12.13";Transport="http"}

अब winrm सेवा को फिर से शुरू करें

spsv winrm -pass | sasv -pass |gsv   #*

(आपको पॉवरशेल को व्यवस्थापक के रूप में चलाना होगा)

\*
*spsv = stop-service // sasv = start-service // gsv = get-service // -pass = -passThrough*

Comments

अति उत्कृष्ट! आपके सक्षम उत्तर के लिए धन्यवाद!

— सेबेस्टियन

यह नियंत्रित करता है कि कौन सा स्थानीय आईपी सुन रहा है, न कि कौन से दूरस्थ आईपी श्रोता द्वारा स्वीकार किए जाते हैं।

— ड्यूरेट

Answer 2

हो सकता है कि पॉवर्सहेल "विश्वसनीयहोस्टेस" सूची आप चाहते हैं?
यदि आप भरोसेमंदहोस्ट-सूची में नहीं हैं, तो आप एक मशीन में रिमोट नहीं कर सकते

Powershell कंसोल को व्यवस्थापक के रूप में प्रारंभ करें

इस स्मारक को चलाएं:

get-item wsman:\localhost\client\trustedhosts

"मान" वह आईपी एड्रेस या एडमिन क्लाइंट का नाम है। इस मान को चलाने के लिए:

set-item wsman:\localhost\client\trustedhosts 192.168.1.2

(यदि पहले से ही एक मूल्य है या यदि आपको व्यवस्थापक-ग्राहक हैं:

set-item wsman:\localhost\client\trustedhosts -concatenate admin02pcName

) बेशक, वाइल्डकार्ड अनुमति दी जाती है
आप को संक्षिप्त कर सकते हैं get-itemके साथ giऔर set-itemसाथ siऔर -concatenateसाथ-concat

Comments

आपके उत्तर के लिए धन्यवाद, लेकिन मैं दूसरे छोर पर कनेक्शन को प्रतिबंधित करना चाहता हूं: जो कंप्यूटर कनेक्ट हो रहा है, उन्हें केवल एक निश्चित आईपी से ही अनुमति देनी चाहिए। आपका समाधान कंप्यूटर को कनेक्ट करने के लिए कनेक्शन शुरू करने की अनुमति देता है।

— सेबस्टियनआर

क्षमा करें, अब मुझे समझ में आया। इसलिए मुझे लगता है कि आपको किसी तरह से रीमोटिंग श्रोता (WinRM) को कॉन्फ़िगर करना होगा। हो सकता है कि यह लेख: लिंक ...> अब, एक निर्दिष्ट आईपी पते पर http श्रोता को फिर से बनाने के लिए>> नया- WSManInstance winrm / config / Listener -SelectorSet @ {पता = "IP: 192.19.100.2"; परिवहन = "; http "}>> इस श्रोता के सफलतापूर्वक बन जाने के बाद, आपको> WinRM सेवा ...

— eli