Перейти к основному содержимому
Версия: 7.3

Ручная настройка подключения по протоколу WinRM для Windows Server 2008 и Windows 7

Для подключения к узлам исследуемой сети, функционирующим на базе старых версий ОС семейства Windows (Windows 7 и Windows Server 2008) по протоколу WinRM необходима их дополнительная настройка.

Для настройки таких узлов исследуемой сети необходимо выполнить следующие действия:

  1. Установить обновления для Windows Server 2008 https://support.microsoft.com/en-us/topic/update-to-add-support-for-tls-1-1-and-tls-1-2-in-windows-server-2008-sp2-windows-embedded-posready-2009-and-windows-embedded-standard-2009-b6ab553a-fa8f-3f5e-287c-e752eb3ce5f4, для Windows 7 – https://support.microsoft.com/en-us/topic/update-to-enable-tls-1-1-and-tls-1-2-as-default-secure-protocols-in-winhttp-in-windows-c4bd73d2-31d7-761e-0178-11268bb10392.

  2. Перейти в редактор реестра нажав сочетание клавиш Win+R и введя «regedit».

  3. В редакторе реестра перейти по пути HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\

  4. Нажать правую кнопку мыши в любом месте в правой части окна редактора реестра и нажать «Создать» и выбрать в открывшемся списке «Раздел» и назвать его «TLS 1.2».

  5. В созданном разделе «TLS 1.2» аналогично создать два раздела с именами «Server» и «Client».

  6. В разделе «Server» нажать правую кнопку мыши, нажать «Создать» и в открывшемся списке выбрать «параметр DWORD (32 бита)».

  7. Переименовать созданный параметр в «DisabledByDefault» и присвоить ему значение «0».

  8. Аналогично создать параметр с именем «Enabled» и присвоить ему значение «1».

  9. Перейти в созданный на 5 раздел с именем «Client».

  10. Создать в этом разделе такие же два параметра, как и в разделе «Server».

  11. Перезагрузить настраиваемый узел исследуемой сети.

  12. Запустить от имени администратора Windows PowerShell.

  13. Ввести команду:

Enable-Psremoting -force
  1. Запустить скрипт «winrm.ps1» с помощью команды:
Powershell.exe -ExecutionPolicy Bypass -File путь\до\файла\winrm.ps1

После выполнения скрипта «winrm.ps1» станет доступным подключение по протоколу WinRM методом Basic.

Для установки подключения методом KeyPair помимо настройки описанной ранее необходимо выполнить следующие дополнительные действия:

  1. Для настройки подключения необходимо скопировать сгенерированный с помощью Сканер-ВС публичный ключ и поместить его в файл с расширением «.cer» на узле исследуемой сети.

  2. Нажать комбинацию клавиш Win+R, ввести «mmc.exe» и нажать клавишу ввод.

  3. В открывшейся консоли управления нажать «Файл» и в открывшемся списке выбрать «Добавить или удалить оснастку...».

  4. В левой части открывшегося окна «Добавление и удаление оснасток» в разделе «Доступные оснастки» выбрать «Сертификаты» и нажать кнопку «Добавить >».

  5. В открывшемся окне «Оснастка диспетчера сертификатов» выбрать «учетной записи компьютера» и нажать кнопку «Далее >».

  6. В отобразившемся окне «Выбор компьютера» необходимо выбрать «локальным компьютером (тем, на котором выполняется эта консоль)» и нажать кнопку «Готово».

  7. В правой части окна «Добавление и удаление оснасток» в поле «Выбранные оснастки» появились «Сертификаты (локальный компьютер)».

  8. Необходимо выбрать данную оснастку путем нажатия на нее левой кнопкой мыши и нажать кнопку «ОК».

  9. Далее в левой части консоли управления необходимо нажать на «Сертификаты (локальный компьютер)» после чего отобразится список локальных хранилищ, соответствующих добавленной оснастке, в средней части окна консоли управления.

  10. В списке логических хранилищ необходимо найти «Личное», нажать на данное хранилище правой кнопкой мыши, выбрать «все задачи» и в открывшемся списке нажать на «Импорт...», после чего откроется мастер импорта сертификатов.

  11. В окне мастера импорта сертификатов необходимо нажать кнопку «Далее» и в отобразившемся интерфейсе импорта файлов добавить файл со скопированным на шаге 1 публичным ключом и нажать кнопку «Далее».

  12. Повторить добавление сертификата в хранилища с именами «Доверенные лица» и «Доверенные корневые центры сертификации».

  13. В окне консоли управления открыть импортированный сертификат, перейти к вкладке «Состав» и скопировать значение в поле «Отпечаток».

Важно

Отпечаток сертификата не должен иметь никаких пробелов ни в начале, ни в конце!

  1. Открыть скрипт с именем «clientCertOld.ps1», который распаковывается при установке Сканер-ВС в папку /var/lib/echelon/0/scanner/scripts.

  2. Скрипт должен иметь следующее содержание:

param($thumbprint, $username, $password)

if (!$thumbprint -or !$username -or !$password){
write-host "need 3 arguments: certificate thumbprint, local username and password"
return
}

$passwordseq= "$password" | ConvertTo-SecureString -AsPlainText -Force
$thumbprint = "$thumbprint"
# Создание маппинга сертификата
$credential = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $username, $passwordseq
New-Item -Path WSMan:\localhost\ClientCertificate `
-Subject "*" `
-URI * `
-Issuer $thumbprint `
-Credential $credential `
-Force

  1. В данном скрипте необходимо заполнить поля «$passwordseq» и «$thumbprint» валидными паролем и отпечатком сертификата соответственно.

  2. Запустить Windows PowerShell от имени администратора.

  3. Запустить выполнение скрипта следующей командой:

Powershell.exe -ExecutionPolicy Bypass -File путь\до\файла\clientCertOld.ps1
Последнее обновление