配置Windows服务器WinRM服务的关键在于正确启用服务、设置监听器、配置防火墙权限，并掌握常见故障排查方法。
Windows服务器WinRM配置步骤详解
在开始配置之前,确保以管理员身份运行命令提示符或PowerShell，WinRM服务默认是禁用的，需要手动启用，以下步骤适用于Windows Server 2016/2019/2026，包括Server Core版本。
启用WinRM快速配置
最简单的配置方式是使用winrm quickconfig命令，这个命令会自动完成以下操作：启动WinRM服务、设置服务启动类型为自动、创建HTTP监听器（端口5985）、添加防火墙例外，执行后，系统会提示你完成这些更改，如果之前已经配置过，则显示当前配置。
在PowerShell中,你也可以使用Enable-PSRemoting -Force，它执行相同的操作，同时还会配置WinRM在大规模部署时更高效，注意，在domain环境下，组策略可能覆盖本地配置，因此确保策略一致。
手动配置HTTPS监听器
HTTP监听器使用非加密传输,在生产环境中强烈推荐使用HTTPS，配置HTTPS监听器需要证书，你可以使用内部CA签发的证书，或为测试环境创建自签名证书。
创建自签名证书命令（在PowerShell）：
New-SelfSignedCertificate -CertStoreLocation Cert:LocalMachineMy -DnsName "server01.contoso.com"
记录下证书的指纹（Thumbprint），然后执行：
winrm create winrm/config/Listener?Address=+Transport=HTTPS @{CertificateThumbprint="指纹"}
如果需要指定端口,例如使用443，可以添加Port=443参数，注意，默认HTTPS端口是5986，更改后防火墙需要放行对应端口，如果使用内部CA，通过MMC申请计算机证书，然后导出指纹。
| 监听器类型 | 端口 | 加密 | 证书要求 | 推荐场景 |
|---|---|---|---|---|
| HTTP | 5985 | 无 | 无 | 实验室或内部安全网络 |
| HTTPS | 5986 | SSL/TLS | 需要证书 | 生产环境、跨网络 |
配置防火墙规则
WinRM的HTTP和HTTPS端口默认是5985和5986,通过Windows防火墙，添加两个入站规则，使用命令：
netsh advfirewall firewall add rule name="WinRM-HTTP" dir=in localport=5985 protocol=TCP action=allow netsh advfirewall firewall add rule name="WinRM-HTTPS" dir=in localport=5986 protocol=TCP action=allow
如果你在域环境,可以通过组策略统一部署防火墙规则，确保所有服务器一致，对于工作组环境，需要手动配置，并注意公用网络不建议开启WinRM。
验证连接
在客户端使用Test-WSMan -ComputerName 目标服务器IP或主机名命令测试WinRM端点是否可用，如果返回ErrorMessage为空，说明连接成功，也可以使用Enter-PSSession -ComputerName 10.0.0.1 -Credential (Get-Credential)进入远程会话，如果连接失败，再进入故障排查步骤。
WinRM故障排查方法：常见问题与解决方案
配置完成后,可能会遇到连接故障，以下是一些常见问题的排查思路，覆盖多数场景。
连接失败：服务状态与网络检查
当远程连接失败时,首先在目标服务器上检查WinRM服务状态，使用Get-Service WinRM，确保状态为Running，如果未运行，启动服务：Start-Service WinRM，同时确认服务启动类型为Automatic：Set-Service WinRM -StartupType Automatic。
验证网络连通性,使用Test-NetConnection -ComputerName 目标IP -Port 5985测试端口，如果端口不通，检查防火墙规则是否生效，或者开启了网络过滤软件，确认目标服务器在网络上可达，如果使用HTTPS，测试端口5986。
身份验证错误：信任主机与CredSSP
如果你收到”访问被拒绝”或”CredSSP身份验证失败”错误，通常是因为客户端与目标服务器不在同一域，且未设置信任主机，在客户端以管理员身份运行：
winrm set winrm/config/Client @{TrustedHosts="目标服务器IP"}
可以设置多个IP,用逗号分隔，如果使用域名，也可以设置主机名，注意，设置信任主机允许所有认证方式，有一定安全风险，建议配合HTTPS使用。
对于CredSSP错误,可以通过组策略或修改注册表解决：EnableWinRM和CredSSP服务，在Windows 10/Server 2016后，默认禁用CredSSP，需要手动启用。
WinRM服务无法启动：依赖服务排查
如果WinRM服务无法启动,首先检查系统日志，查看Service Control Manager的错误信息，常见的依赖服务是Windows Event Log，如果Event Log未启动，WinRM会失败，确保EventLog服务是自动启动并运行。
另一个原因是配置文件损坏,可以尝试通过winrm invoke delete winrm/config/Listener?Address=+Transport=HTTP删除监听器，然后重新运行winrm quickconfig重建配置，如果问题依旧，检查系统权限，确保NETWORK SERVICE账户对相关注册表项有权限。
其他常见问题
- 双跳问题：当通过WinRM连接远程服务器，再从该服务器连接另一台服务器时，需要启用CredSSP或使用跳板机，在客户端运行
Enable-WSManCredSSP -Role Client -DelegateComputer，并在服务端设置CredSSP。 - 连接超时：检查网络延迟和防火墙是否丢弃了数据包，可以尝试增加
-SessionOption @{IdleTimeout=600000}参数。 - 权限问题：确保远程用户属于目标服务器的Administrators组或Remote Management Users组，对于非域用户，需要设置信任主机。
高级配置与安全加固
限制并发连接与超时设置
通过winrm set winrm/config/Service @{MaxConcurrentOperations="100"}可以限制最大并发操作数，默认是4294967295（几乎无限制），对于高负载服务器，建议设置合理值，如100或200，避免资源耗尽。
超时设置可以通过IdleTimeout和MaxTimeoutms调整，设置空闲超时为1小时：winrm set winrm/config/Service @{IdleTimeout="3600000"}，设置最大操作超时：winrm set winrm/config/Service @{MaxTimeoutms="60000"}。
基于IP的访问控制
在WinRM服务端,可以配置仅允许特定IP地址连接，通过
winrm configSDDL default查看当前安全描述符，使用winrm set winrm/config/Service/Auth @{Basic="false"}禁用基本认证，强制使用Kerberos或证书认证。
更简单的方式是使用防火墙限制来源IP,例如netsh advfirewall firewall add rule name="WinRM-Limit" dir=in localport=5985 protocol=TCP action=allow remoteip=192.168.1.0/24，这样只有指定网段的客户端可以连接。
使用组策略集中管理
在Active Directory环境中，通过组策略配置WinRM监听器、信任主机列表、防火墙规则，可以确保所有服务器配置一致，减少手动维护成本，策略路径：计算机配置 -> 管理模板 -> Windows组件 -> Windows远程管理(WinRM)，启用”WinRM服务”策略，设置IP和端口，以及身份验证方式。业内专家指出，通过组策略统一管理WinRM可以显著降低安全配置错误的风险。
WinRM是Windows服务器远程管理的基石。掌握配置步骤和故障排查方法，能让你在遇到连接问题时快速定位原因，确保管理效率，建议在实际操作中从基础配置开始，逐步加深安全控制，并根据企业环境灵活调整，无论是学习还是生产环境，熟练运用WinRM都能提升工作效率。
WinRM服务配置与故障排查常见问题
Q1: 配置WinRM时提示”拒绝访问”怎么办？
A: 绝大多数情况是因为没有以管理员身份运行命令提示符或PowerShell，WinRM配置需要管理员权限，检查UAC是否阻止了远程管理，可通过设置DisableCredSSP或使用-Credential参数规避。
Q2: 如何为WinRM配置自定义端口？
A: 创建新的监听器时指定端口：winrm create winrm/config/Listener?Address=+Transport=HTTP @{Port="5988"}，然后防火墙放行该端口，客户端连接时需指定端口，例如Enter-PSSession -ComputerName 10.0.0.1 -Port 5988。
Q3: 为什么WinRM连接总是超时？
A: 检查网络连通性，确保目标服务器防火墙允许WinRM端口，并且服务正在运行，如果跨网段，确认路由正确，在客户端执行Test-WSMan -ComputerName 目标IP可以快速测试WinRM端点是否可用。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/winrm%e6%9c%8d%e5%8a%a1%e9%85%8d%e7%bd%ae%e4%b8%8e%e6%95%85%e9%9a%9c%e6%8e%92%e6%9f%a5%e6%80%8e%e4%b9%88%e5%81%9a%ef%bc%9f%ef%bc%8c%e6%97%a0%e6%b3%95%e5%90%af%e5%8a%a8%e6%80%8e%e4%b9%88%e5%8a%9e/
