![事件日志转发:源启动不适用于桌面](https://linux22.com/image/692117/%E4%BA%8B%E4%BB%B6%E6%97%A5%E5%BF%97%E8%BD%AC%E5%8F%91%EF%BC%9A%E6%BA%90%E5%90%AF%E5%8A%A8%E4%B8%8D%E9%80%82%E7%94%A8%E4%BA%8E%E6%A1%8C%E9%9D%A2.png)
我已成功设置了 2 个由收集器启动的订阅,它们正在转发事件。现在,我正尝试添加第 3 个订阅以获取我所有桌面的日志,因此由于它们的数量,我使用由源启动的来使用组。我假设我可以同时启动收集器和源?通过阅读许多故障排除文章和论坛,我已检查服务(WinRM、事件转发)是否通过测试桌面上的 GPO 向下推送。服务(Win 事件日志收集器)位于收集器服务器上。看起来 Windows 防火墙规则在所有计算机上都存在,即使防火墙已关闭。订阅管理器的 GPO 看起来不错。我的订阅都处于活动状态,带有绿色复选标记。
我的主要测试是运行:EventCreate /T ERROR /ID 101 /L APPLICATION /SO TEST /D“这仅仅是一个综合交易测试。忽略此事件。”
我已经从服务器运行它并且看到了它(收集器启动),我已经在 Win7 和 Win10 桌面上运行它。两个桌面都无法转发事件。我在另一个论坛上看到有人谈到堆栈 2.0 和 3.0,具体取决于收集器是服务器 2008 还是服务器 2012。我使用的是服务器 2012。我在两个桌面上运行了 winrm id,win7 是堆栈 2.0,win10 是堆栈 3.0。由于两个桌面都无法转发事件,我假设这不是问题。
我已经从收集服务器运行了 winrm id -remote:computername -auth:none 并得到了响应。我是否遗漏了任何故障排除步骤?我可以运行任何命令来检查任一机器的通信吗?是否有从桌面到收集器运行的测试?
尝试在收集服务器 2012 上运行 winrm qc 会得到以下结果:C:\Users\richard>winrm qc WinRM 服务已在此计算机上运行。WSManFault 消息 = 客户端无法连接到请求中指定的目标。验证目标上的服务是否正在运行并接受请求。查阅目标上运行的 WS-Management 服务的日志和文档,最常见的是 IIS 或 WinRM。如果目标是 WinRM 服务,请在目标上运行以下命令以分析和配置 WinRM 服务:“winrm quickconfig”。错误编号:-2144108526 0x80338012 客户端无法连接到请求中指定的目标。验证目标上的服务是否正在运行并接受请求。查阅目标上运行的 WS-Management 服务的日志和文档,最常见的是 IIS 或 WinRM。如果目标是 WinRM 服务,请在目标上运行以下命令以分析和配置 WinRM 服务:“winrm quickconfig”。
答案1
最后,扫描端口 5985 发现服务器仅在环回 IP“127.0.0.1”上监听此端口,而不是在所有接口上监听。运行命令“netsh http show iplisten”在 HTTP 的监听地址中显示环回 IP 地址:IP 监听列表中存在的 IP 地址: -------------------------------------------- 127.0.0.1 因此服务器仅在环回接口上监听 HTTP 请求。因此我运行命令“netsh http delete iplisten 127.0.0.1”将其删除。之后一切开始正常。