WinRM 問題：伺服器可連線但無法進行遠端管理

Question

WinRM 問題：伺服器可連線但無法進行遠端管理

Pei-Yu Wu 60

我們企業環境中有幾台 Windows Server 機器，突然之間管理員無法透過 Windows 遠端管理 (WinRM) 對其進行遠端管理。這情況是從星期一早上開始發生的。奇怪的是，這些伺服器透過 Ping 和 RDP 完全可以正常連線。我仔細檢查了防火牆規則，沒有發現任何 WinRM 連接埠被阻擋的跡象。我也在本地端執行了 winrm enumerate winrm/config/listener，看到服務正在運作。我檢查了用戶端的 TrustedHosts 清單，沒有做過任何變更。我也檢查了我們的 WinRM 群組原則 (Group Policy)，同樣沒有變更。

我試著復原該原則更新並重新啟動 WinRM 服務，但沒有任何改變。有人碰過這種情況嗎？

0 則留言

由問題作者接受的回答

0 個其他答案

您的回答

Answer 1

你好 Pei-Yu Wu,

既然 Ping、RDP、WinRM 服務與 Listener 都正常，而且問題從週一早上開始同時影響多台伺服器，我會優先懷疑 Kerberos 驗證、憑證、SPN 註冊或近期 Windows 更新，而不是網路或防火牆問題。

首先請從管理端執行遠端 WinRM 測試並記錄完整錯誤訊息。若出現 0x80090322、Kerberos authentication failed、The target principal name is incorrect 等訊息，請檢查 HTTP SPN 是否重複註冊，以及伺服器與網域控制站之間的時間同步是否正常。許多 WinRM 問題實際上是 Kerberos 票證或 SPN 衝突所造成，即使 winrm enumerate winrm/config/listener 顯示 Listener 正常也一樣。

同時檢查 Event Viewer > Applications and Services Logs > Microsoft > Windows > Windows Remote Management 以及 System、Security 記錄。如果多台伺服器在同一天發生問題，請特別確認是否有新的 GPO、憑證自動更新、網域控制站變更或 Windows 累積更新套件於週末部署。若您使用 HTTPS Listener，也要確認繫結的伺服器憑證未過期、未被撤銷，且憑證主體名稱與伺服器名稱相符。

另外請檢查 WinRM 服務帳戶是否仍以 Network Service 身分執行，以及 WSMan:\localhost\Service\Auth 下的 Kerberos、Negotiate 設定是否仍維持預設值。若只有遠端 WinRM 失敗而本機 WinRM 正常，這通常表示問題發生在驗證層而非 Listener 本身。從您的描述來看，最值得優先調查的是 Kerberos/SPN 問題或週末後套用的變更，而不是防火牆規則。

如果我的回答对您有帮助，请点击“采纳回答”。

HL