我已成功设置了 2 个由收集器启动的订阅，它们正在转发事件。现在，我正尝试添加第 3 个订阅以获取我所有桌面的日志，因此由于它们的数量，我使用由源启动的来使用组。我假设我可以同时启动收集器和源？通过阅读许多故障排除文章和论坛，我已检查服务（WinRM、事件转发）是否通过测试桌面上的 GPO 向下推送。服务（Win 事件日志收集器）位于收集器服务器上。看起来 Windows 防火墙规则在所有计算机上都存在，即使防火墙已关闭。订阅管理器的 GPO 看起来不错。我的订阅都处于活动状态，带有绿色复选标记。
我的主要测试是运行：EventCreate /T ERROR /ID 101 /L APPLICATION /SO TEST /D“这仅仅是一个综合交易测试。忽略此事件。”
我已经从服务器运行它并且看到了它（收集器启动），我已经在 Win7 和 Win10 桌面上运行它。两个桌面都无法转发事件。我在另一个论坛上看到有人谈到堆栈 2.0 和 3.0，具体取决于收集器是服务器 2008 还是服务器 2012。我使用的是服务器 2012。我在两个桌面上运行了 winrm id，win7 是堆栈 2.0，win10 是堆栈 3.0。由于两个桌面都无法转发事件，我假设这不是问题。
我已经从收集服务器运行了 winrm id -remote:computername -auth:none 并得到了响应。我是否遗漏了任何故障排除步骤？我可以运行任何命令来检查任一机器的通信吗？是否有从桌面到收集器运行的测试？
尝试在收集服务器 2012 上运行 winrm qc 会得到以下结果：C:\Users\richard>winrm qc WinRM 服务已在此计算机上运行。WSManFault 消息 = 客户端无法连接到请求中指定的目标。验证目标上的服务是否正在运行并接受请求。查阅目标上运行的 WS-Management 服务的日志和文档，最常见的是 IIS 或 WinRM。如果目标是 WinRM 服务，请在目标上运行以下命令以分析和配置 WinRM 服务：“winrm quickconfig”。错误编号：-2144108526 0x80338012 客户端无法连接到请求中指定的目标。验证目标上的服务是否正在运行并接受请求。查阅目标上运行的 WS-Management 服务的日志和文档，最常见的是 IIS 或 WinRM。如果目标是 WinRM 服务，请在目标上运行以下命令以分析和配置 WinRM 服务：“winrm quickconfig”。
答案1
最后，扫描端口 5985 发现服务器仅在环回 IP“127.0.0.1”上监听此端口，而不是在所有接口上监听。运行命令“netsh http show iplisten”在 HTTP 的监听地址中显示环回 IP 地址：IP 监听列表中存在的 IP 地址： -------------------------------------------- 127.0.0.1 因此服务器仅在环回接口上监听 HTTP 请求。因此我运行命令“netsh http delete iplisten 127.0.0.1”将其删除。之后一切开始正常。