Я занимаюсь ИТ-работой в организации, которая в настоящее время настраивает (или позволяет мне настроить) домен Active Directory. В настоящий момент он все еще проходит тестирование с 1 DC и 1 клиентом. Неделю или две назад наш коммутатор предупредил нас о чрезмерном трафике между контроллером домена и подключенным к домену компьютером. Он сообщил об этом как о «совместном использовании файлов Windows», что показалось слишком большим. Данные были порядка 30-40 ГБ в неделю, что не имело никакого смысла, так как это были тестовые машины и большую часть времени простаивали.
Сегодня мы подтвердили, что весь трафик поступает на порт 445. Я запустил Wireshark на компьютере, присоединенном к домену, и сразу заметил, что определенный путь групповой политики появляется примерно в 90% пакетов. У политики был тот же GUID, и я использовал GPMC, чтобы отследить GUID до Allow PowerShell Remoting GPO я настроил пару недель назад, чтобы разрешить удаленное взаимодействие с PowerShell.
Все, что делает этот GPO, звучит так: открывает необходимые порты на каждой машине для удаленного взаимодействия и разрешает входящие соединения, как описано в документации, чтобы удаленное взаимодействие PS работало. Я отключил GPO только что, но только за последние пару часов это привело к ~ 4 ГБ трафика между контроллером домена и клиентом. Может ли это быть «нормальным» по какой-либо причине? Почему PS-Remoting использует такую большую пропускную способность и как это можно исправить?
Вот HTML-отчет об объекте групповой политики, созданном в PowerShell - форматирование ниже не очень хорошее, но оно слишком велико для снимка экрана:
Computer Configuration (Enabled)
Policies
Windows Settings
Scripts
Startup
For this GPO, Script order: Not configured
Name Parameters
netsh.bat
Security Settings
System Services
Windows Remote Management (WS-Management) (Startup Mode: Automatic)
Permissions
No permissions specified
Auditing
No auditing specified
Windows Firewall with Advanced Security
Global Settings
Policy Setting
Policy version 2.10
Disable stateful FTP Not Configured
Disable stateful PPTP Not Configured
IPsec exempt Not Configured
IPsec through NAT Not Configured
Preshared key encoding Not Configured
SA idle time Not Configured
Strong CRL check Not Configured
Inbound Rules
Name Description
Windows Remote Management - Compatibility Mode (HTTP-In) Compatibility mode inbound rule for Windows Remote Management via WS-Management. [TCP 80]
This rule may contain some elements that cannot be interpreted by current version of GPMC reporting module
Enabled True
Program System
Action Allow
Security Require authentication
Authorized computers
Authorized users
Protocol 6
Local port 80
Remote port Any
ICMP settings Any
Local scope Any
Remote scope Any
Profile All
Network interface type All
Service All programs and services
Allow edge traversal False
Group Windows Remote Management
Windows Remote Management (HTTP-In) Inbound rule for Windows Remote Management via WS-Management. [TCP 5985]
This rule may contain some elements that cannot be interpreted by current version of GPMC reporting module
Enabled True
Program System
Action Allow
Security Require authentication
Authorized computers
Authorized users
Protocol 6
Local port 5985
Remote port Any
ICMP settings Any
Local scope Any
Remote scope Any
Profile All
Network interface type All
Service All programs and services
Allow edge traversal False
Group Windows Remote Management
Connection Security Settings
Administrative Templates
Policy definitions (ADMX files) retrieved from the local machine.
Windows Components/Windows Remote Management (WinRM)/WinRM Service
Policy Setting Comment
Allow remote server management through WinRM Enabled
IPv4 filter: *
IPv6 filter:
Syntax:
Type "*" to allow messages from any IP address, or leave the
field empty to listen on no IP address. You can specify one
or more ranges of IP addresses.
Example IPv4 filters:
2.0.0.1-2.0.0.20, 24.0.0.1-24.0.0.22
*
Example IPv6 filters:
3FFE:FFFF:7654:FEDA:1245:BA98:0000:0000-3FFE:FFFF:7654:FEDA:1245:BA98:3210:4562
*
User Configuration (Enabled)
No settings defined.