WinRM Nedir? Windows Sunucularda Uzaktan Yönetim

WinRM, Windows sunucuları grafik masaüstü açmadan uzaktan yönetmeye yarayan Microsoft WS-Management hizmetidir. PowerShell Remoting bu kanal üzerinden komut çalıştırır; varsayılan portlar HTTP için 5985, HTTPS için 5986'dır. Güvenli kullanım için kimlik doğrulama, firewall ve erişim kaynakları birlikte yapılandırılmalıdır.

WinRM nedir ve ne işe yarar?

WinRM, Windows Remote Management’ın kısaltmasıdır. Windows sunucuların ağ üzerinden PowerShell ve WS-Management protokolüyle uzaktan yönetilmesini sağlar. Uzak makinede komut çalıştırabilir, servisleri inceleyebilir, olay günlüklerini okuyabilir ve bazı yönetim görevlerini grafik arayüz açmadan gerçekleştirebilirsiniz.

WinRM, RDP’nin sunduğu masaüstü oturumu yerine komut ve yönetim kanalı sağlar. Microsoft’un WS-Management uygulamasıdır ve SOAP tabanlı iletişim kullanır. Windows Server’da Windows Remote Management hizmetiyle çalışır.

Varsayılan HTTP portu 5985/TCP, HTTPS portu ise 5986/TCP‘dir. HTTP kullanımı tek başına TLS şifrelemesi sağlamaz; güvenlik, Kerberos gibi kimlik doğrulama mekanizmalarına ve ağın güvenilirliğine bağlıdır. HTTPS ise trafiği TLS ile korur.

Özellikle Server Core kurulumlarında WinRM temel yönetim kanallarından biridir. GUI’siz sistem yönetimiyle ilgileniyorsanız Windows Server Core Nedir? GUI’siz Yönetim Rehberi başlığındaki yaklaşım, WinRM ile birlikte anlam kazanır.

Ne yapılmalı – WinRM’yi etkinleştirmeden önce kimlik doğrulama yöntemini, kullanılacak portu ve izin verilecek kaynak IP aralığını belirleyin.

WinRM hangi portu kullanır?

WinRM iki standart dinleme noktası kullanır:

Portların açık olması bağlantının kesin olarak çalışacağı anlamına gelmez. WinRM hizmeti, listener yapılandırması, Windows Firewall profili, kimlik doğrulama yöntemi ve hedef bilgisayarın güvenilirlik ayarları birlikte kontrol edilmelidir.

İnternete açık bir VPS üzerinde 5985/TCP portunu tüm adreslere açmak, yönetim yüzeyini gereksiz biçimde büyütür. Güvenlik duvarında yalnızca yönetim ağına veya belirlenmiş yönetici IP’lerine izin verin.

Ne yapılmalı – 5985 veya 5986 portunu genel internete açmak yerine VPN, özel ağ ya da dar bir kaynak IP listesi kullanın.

WinRM nasıl etkinleştirilir?

Yönetici yetkili PowerShell oturumunda Enable-PSRemoting -Force komutu WinRM ve PowerShell Remoting yapılandırmasını etkinleştirir. Komut, hizmeti başlatır, listener oluşturur ve uygun Windows Firewall kurallarını etkinleştirir. winrm quickconfig da temel WinRM yapılandırması için kullanılabilir.

Enable-PSRemoting -Force

winrm enumerate winrm/config/listener

İkinci komut listener kayıtlarını listeler. Çıktıda Transport = HTTP ve Port = 5985 gibi değerler görülür. Çıktı gelmiyorsa servis veya listener yapılandırması tamamlanmamış olabilir.

Servis durumunu ayrıca doğrulayın:

Get-Service WinRM
Get-WSManInstance -ResourceURI winrm/config/listener -Enumerate

WinRM servisinin Running durumda olması gerekir. Listener’ın Address = * olarak görünmesi, makinenin tüm yerel adreslerinde dinleme yapabileceği anlamına gelir. Çoklu ağ kartı bulunan sunucularda bu davranışın gerçekten istenip istenmediğini kontrol edin.

Ne yapılmalı – Kurulumdan sonra hem Get-Service WinRM çıktısını hem de listener adresi, transport ve port değerlerini inceleyin.

Uzak PowerShell bağlantısı nasıl yapılır?

Tek bir komut çalıştırmak için Invoke-Command kullanılabilir:

Invoke-Command -ComputerName SRV01 -ScriptBlock {
    Get-Service WinRM
}

Bu komut SRV01 üzerinde çalışır ve uzak makinedeki WinRM servisinin durumunu döndürür. Birden fazla sunucuda aynı kontrol yapılacaksa bilgisayar adlarını dizi olarak gönderebilirsiniz:

$servers = 'SRV01','SRV02','SRV03'
Invoke-Command -ComputerName $servers -ScriptBlock {
    [pscustomobject]@{
        ComputerName = $env:COMPUTERNAME
        WinRM        = (Get-Service WinRM).Status
        FreeGB       = [math]::Round((Get-PSDrive C).Free / 1GB, 2)
    }
}

Kimlik bilgilerini açıkça belirtmek gerektiğinde Get-Credential kullanılabilir:

$credential = Get-Credential
Enter-PSSession -ComputerName SRV01 -Credential $credential

Enter-PSSession etkileşimli bir uzak kabuk açar. Oturumu kapatmak için Exit-PSSession çalıştırılır. Toplu işler ve servis kontrolleri için Invoke-Command, kısa süreli manuel inceleme için Enter-PSSession daha uygundur.

Ne yapılmalı – Önce Test-WSMan ile iletişim katmanını doğrulayın, ardından uzak komut çalıştırın.

Test-WSMan neyi kontrol eder?

Test-WSMan, hedefte WS-Management hizmetinin yanıt verip vermediğini test eder. Bu komut uygulama içindeki yetkileri veya belirli bir PowerShell komutunun çalışacağını kanıtlamaz. Ağ erişimi, WinRM listener’ı ve protokol yanıtı hakkında hızlı bir ilk kontrol sunar.

Test-WSMan -ComputerName SRV01

Başarılı yanıtta protokol sürümü ve ürün bilgileri görünür. WinRM cannot complete the operation hatası alındığında DNS çözümlemesini, 5985 veya 5986 portuna erişimi, WinRM servis durumunu, listener’ı ve Windows Firewall kuralını sırayla inceleyin.

Resolve-DnsName SRV01
Test-NetConnection SRV01 -Port 5985
Get-NetFirewallRule -DisplayGroup 'Windows Remote Management'

Test-NetConnection başarılı olsa bile kimlik doğrulama hatası devam edebilir. Böyle bir durumda sorun ağ katmanında değil; yetki, güvenilir ana bilgisayar veya Kerberos yapılandırmasında aranmalıdır.

WinRM’de kimlik doğrulama seçenekleri nelerdir?

Etki alanı ortamlarında Kerberos genellikle tercih edilen yöntemdir. Hedefe bilgisayar adıyla bağlanıldığında Active Directory kimlik doğrulaması devreye girebilir. NTLM, bazı etki alanı dışı senaryolarda kullanılabilir; yapılandırma ve güvenlik sınırları yine de dikkatle değerlendirilmelidir.

Çalışma grubu ortamlarında hedef makinenin güvenilir ana bilgisayar listesine eklenmesi gerekebilir:

Set-Item WSMan:\Client\TrustedHosts -Value '192.0.2.10' -Concatenate

TrustedHosts değerini * yapmak her hedefi güvenilir kabul eder. Üretim ortamında kötü bir varsayılandır. Gerekirse tek bir IP adresi veya dar bir DNS listesi kullanın. Parola tabanlı bağlantılarda HTTPS listener tercih edin; kimlik bilgilerini korumak için yalnızca ağ izolasyonuna güvenmeyin.

WinRM yapılandırmasını incelemek için:

winrm get winrm/config
winrm get winrm/config/service
winrm get winrm/config/client

Bu komutlar istemci, servis ve genel yapılandırma değerlerini ayrı ayrı gösterir. Yazım hataları küçük görünür; yanlış çıktının peşinden uzun süre götürebilir.

WinRM güvenliği nasıl artırılır?

WinRM’yi doğrudan internete açmak yerine VPN, özel ağ veya kaynak IP kısıtlaması kullanın. Ev lab’ında Raspberry Pi üzerinde WireGuard ile iç ağa dönmek, yönetim portlarını genel internete açmaktan daha kontrollü bir modeldir. Kurumsal ağlarda yönetim trafiği ayrı bir VLAN veya güvenlik grubu üzerinden sınırlandırılabilir.

HTTPS listener oluşturulacaksa sunucu adıyla eşleşen bir sertifika gerekir. Sertifika depoya alındıktan sonra listener, sertifikanın parmak iziyle ilişkilendirilir. Sertifikanın süresi, subject/SAN alanları ve istemci tarafından güvenilir bulunup bulunmadığı kontrol edilmelidir.

Yönetici hesaplarının tamamını uzaktan kullanmak yerine görev temelli yetkilendirme uygulayın. PowerShell JEA (Just Enough Administration), belirli kullanıcıların yalnızca tanımlı komutları çalıştırmasına izin verebilir. Windows olay günlüklerinde Microsoft-Windows-WinRM/Operational kaydını ve güvenlik olaylarını düzenli izleyin.

SMB dosya paylaşımı için kullanılan 445/TCP portu ile WinRM portları aynı işlevi görmez. Dosya kopyalama ihtiyacı varsa WinRM üzerinden PowerShell Remoting kullanabilir veya ayrı olarak Windows Server’da SMB Dosya Paylaşımı Kurulumu yaklaşımını değerlendirebilirsiniz.

Ne yapılmalı – İnternete açık yönetim yerine VPN veya IP kısıtlaması uygulayın; HTTPS kullanıyorsanız sertifika yenileme takvimi ve alarmı oluşturun.

WinRM ile Ansible nasıl birlikte çalışır?

Ansible, Windows hedeflerde SSH yerine çoğunlukla WinRM kullanır. Ansible denetleyicisinde Windows host’ları tanımlarken bağlantı eklentisi, hedef adresi, port, kullanıcı ve kimlik doğrulama yöntemi belirtilir. HTTPS için genellikle 5986 portu ve uygun sertifika doğrulama ayarları kullanılır.

[windows]
srv01 ansible_host=192.0.2.20

[windows:vars]
ansible_connection=winrm
ansible_port=5986
ansible_winrm_transport=ntlm
ansible_winrm_server_cert_validation=validate

Üretim ortamında sertifika doğrulamasını kapatmak hızlı bir test sağlayabilir; kalıcı yapılandırma olarak güvenli değildir. Etki alanı, Kerberos ve sertifika altyapısı mevcutsa NTLM yerine ortama uygun daha güçlü doğrulama seçilmelidir.

Ansible kullanmadan önce aynı hedefte Test-WSMan ve basit bir Invoke-Command testi yapın. Bağlantı katmanı çalışmıyorsa sorunu playbook içinde aramak, teşhisi gereksiz yere karmaşıklaştırır. Önce küçük doğrulama.

WinRM, RDP ve SSH arasındaki fark

WinRM, komut ve Windows yönetim işlemleri için yerel uzaktan yönetim katmanıdır. RDP grafik masaüstü oturumu açar; SSH ise platformlar arası etkileşimli kabuk ve dosya aktarımı için yaygın bir protokoldür. Windows Server’da OpenSSH da kullanılabilir. Windows’a özgü yönetim cmdlet’leri ve PowerShell Remoting senaryolarında WinRM daha doğal bir entegrasyon sunar.

Sunucuyu yalnızca RDP ile yönetmek, özellikle Server Core veya otomasyon ağırlıklı ortamlarda gereksiz bir bağımlılık yaratabilir. WinRM ve PowerShell Remoting, aynı işlemi tekrarlanabilir komutlarla yapmayı kolaylaştırır. RDP’yi masaüstü gerektiren bakım işlerine ayırın.

Sunucu değişikliği öncesinde geri dönüş planı da hazır olmalıdır. Windows VPS üzerinde snapshot kullanıyorsanız VPS Snapshot Nedir? Anlık Yedekleme Rehberi başlığındaki sınırları dikkate alın; snapshot, uygulama tutarlılığı ve harici yedekleme ihtiyacını ortadan kaldırmaz.

WinRM Yapılandırmasını Kontrol Edin

• WinRM servisinin Running durumda olduğunu doğrulayın.
• Listener'ın HTTP veya HTTPS üzerinde doğru portu dinlediğini kontrol edin.
• 5985/5986 erişimini yalnızca gerekli kaynak IP'lerle sınırlandırın.
• Test-WSMan ile iletişim katmanını sınayın.
• Etki alanı dışında TrustedHosts değerini dar bir listeyle yapılandırın.
• HTTPS kullanıyorsanız sertifika adı, süresi ve güven zincirini doğrulayın.
• WinRM olay günlüklerini ve başarısız oturum açma kayıtlarını izleyin.

Sık Sorulan Sorular

Kaynaklar

• Microsoft Learn – Windows Remote Management — learn.microsoft.com
• Microsoft Learn – Enable-PSRemoting — learn.microsoft.com
• Microsoft Learn – WinRM Security — learn.microsoft.com