Máy chủ web Internet Information Service trong Windows 2016 / 2012 / R2, giống như các phiên bản IIS trước, có thể được quản lý từ xa. Thực tế, việc quản lý nhiều máy chủ IIS từ một console rất tiện lợi, và đó gần như là cách duy nhất để quản lý web server chạy ở chế độ Core / Nano. Tuy nhiên, mặc định quản lý IIS từ xa bị tắt, và nếu bạn thử thêm máy chủ từ xa với IIS đang chạy vào IIS Management Console (Connect to a Server menu) trên máy chủ khác, thông báo lỗi sau xuất hiện:
Could not connect to the specified computer
Details: Unable to connect to the remote server
Cài đặt IIS Management Service
Vấn đề là trong quá trình cài đặt IIS tiêu chuẩn, dịch vụ chịu trách nhiệm quản lý từ xa của nó (IIS Management Service) không được cài đặt. Bạn có thể kiểm tra dịch vụ này thiếu trong hệ thống bằng lệnh PowerShell sau:
Get-WindowsFeature *web-mgmt*
Như bạn thấy, dịch vụ Web-Mgmt-Service chưa được cài đặt. Cài đặt nó bằng lệnh PowerShell sau với quyền admin cục bộ:
Add-WindowsFeature Web-Mgmt-Service
Hoặc bạn có thể dùng cmdlet PowerShell để cài đặt tính năng:
Install-WindowsFeature Web-Mgmt-Service
Bạn cũng có thể cài đặt thành phần Management Service từ console Server Manager:
Sau đó khởi động lại dịch vụ web IIS:
iisreset –noforce
Bước tiếp theo là cho phép kết nối từ xa trong cài đặt máy chủ web IIS. Để làm điều đó, mở mục Management Service trong phần Management của IIS Manager.
Tích tùy chọn "Enable remote connections" trong phần Management Service.
Ở đây bạn có thể giới hạn kết nối đến IIS Management Console bằng địa chỉ IP. Để làm điều đó, từ chối kết nối cho client không xác định (Access for unspecified clients: Deny) và chỉ định địa chỉ IP/ subnet IP cho phép kết nối. Dịch vụ kết nối từ xa sử dụng chứng chỉ SSL, nhưng bạn có thể dùng chứng chỉ khác nếu bạn đã import nó vào certificate store của server (bạn có thể tạo và dùng chứng chỉ SSL self-signed bằng PoSh). Lưu thay đổi.
Lưu ý. Mặc định, cổng 8172 được dùng cho quản lý IIS từ xa. Khi bạn lưu thay đổi, cổng này sẽ được mở tự động trong Windows Firewall.
Lưu ý. Bạn có thể kích hoạt tùy chọn này qua registry trên máy chủ IIS từ xa chạy ở chế độ Core bằng cách đặt tham số EnableRemoteManagement trong khóa registry HKLM\Software\Microsoft\WebManagement\Server thành 1. Bạn có thể dùng lệnh:
Reg Add HKLM\Software\Microsoft\WebManagement\Server /V EnableRemoteManagement /T REG_DWORD /D 1
Trong trường hợp này bạn phải tạo quy tắc firewall thủ công:
netsh advfirewall firewall add rule name=”Allow IIS Web Management” dir=in action=allow service=”WMSVC”
Bây giờ bạn chỉ cần khởi động Web Management Service:
net start wmsvc
Và cấu hình dịch vụ khởi động tự động khi hệ thống khởi động:
set-service wmsvc -StartupType Automatic
Hoặc như sau:
sc config WMSVC start= auto
Sau đó, máy chủ web IIS từ xa có thể được thêm vào console IIS Manager và bạn có thể quản lý máy chủ IIS, nhiều site trên nó giống như web server cục bộ.
Cho phép tài khoản không phải Admin quản lý từ xa IIS Site
Mặc định, chỉ người dùng có đặc quyền admin mới có quyền quản lý từ xa máy chủ IIS. Để cấp quyền quản lý IIS từ xa cho người dùng tiêu chuẩn, cần cấp quyền tương ứng ở cấp độ từng trang web IIS. Chọn một site và tìm tùy chọn IIS Manager Permissions.
Trong bảng Actions, nhấp vào Allow User. Chọn tài khoản người dùng bạn muốn cấp quyền truy cập IIS và nhấp OK.
Quyền người dùng quản lý site trên máy chủ IIS được cấu hình trong phần Feature Delegation ở cấp độ máy chủ IIS.
Bạn có thể chọn một trong ba cấp độ truy cập người dùng cho từng chức năng quản lý máy chủ IIS: Read Only, Read/Write hoặc Not Delegated.
Cách quản lý máy chủ IIS từ xa từ Windows 10?
Nếu bạn cần quản lý từ xa máy chủ IIS từ máy tính để bàn chạy Windows 10 (Windows 7 hoặc 8.1), bạn cần cài đặt IIS Management Console từ: Turn Windows features on or off -> Internet Information Services -> Web Management Tools -> IIS Management Console.
Bạn có thể cài đặt tính năng này bằng lệnh PowerShell:
Enable-WindowsOptionalFeature -Online -FeatureName "IIS-ManagementService"
Tuy nhiên, khi bạn chạy console IIS Manager trong Windows 10, mục Connect to a server trong menu bị thiếu.
Để có thể kết nối từ xa đến IIS từ Windows 10, bạn cần tải xuống và cài đặt gói IIS Manager for Remote Administration (https://www.microsoft.com/en-us/download/details.aspx?id=41177).
Mẹo. Có phiên bản IIS Manager cho x64 (inetmgr_amd64_en-US.msi) và x86 OS (inetmgr_x86_en-US.msi).
Sau khi cài đặt, bạn cần khởi động lại IIS Manager và kết nối đến site. Nếu khi kết nối đến IIS, phát hiện phiên bản console khác nhau trên client và server, một thông báo sẽ xuất hiện: nó nói rằng bạn cần cập nhật phiên bản console (tất cả file cần thiết sẽ tự động tải xuống từ server).
Bây giờ bạn phải kết nối thành công đến máy chủ IIS của mình và quản lý từ xa từ bàn làm việc của bạn.
Quản lý IIS từ xa và hỗ trợ TLS 1.1 / TLS 1.2
Nếu bạn đã vô hiệu hóa các giao thức không an toàn SSLv3 và TLS 1.0 trên IIS và chỉ để lại TLS 1.1/ TLS 1.2, thì khi kết nối từ xa đến IIS, lỗi sẽ xuất hiện:
The underlying connection was closed: An unexpected error occurred on a send.
Để khắc phục vấn đề, cần thay đổi trong registry phía client, để bắt buộc sử dụng giao thức TLS 1.2 khi kết nối. Cài đặt phụ thuộc vào phiên bản Windows.
Windows 10 và Windows Server 2016:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]"SchUseStrongCrypto"=dword:00000001[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]"SchUseStrongCrypto"=dword:00000001
Windows 2012/ R2 và Windows 8/8.1:
Phải cài đặt NET Framework 4.5.2 hoặc cao hơn (cách kiểm tra phiên bản NET Framework đã cài đặt).
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]"SchUseStrongCrypto"=dword:00000001[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]"SchUseStrongCrypto"=dword:00000001
Windows Server 2008 R2 / Windows 7:
Bạn phải trước tiên cài đặt bản cập nhật KB3154518 để hỗ trợ TLS 1.2 trong .NET Framework 3.5.1.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]"SystemDefaultTlsVersions"=dword:00000001[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]"SystemDefaultTlsVersions"=dword:00000001[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]"DisabledByDefault"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]"DisabledByDefault"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]"DisabledByDefault"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]"DisabledByDefault"=dword:00000000