VLAN环境下远程Win10虚拟机无法使用Get-WinEvent求助

咱们一步步拆解你遇到的PowerShell远程问题——既然你已经排查过服务状态和防火墙权限这些基础项，那咱们就聚焦在这些报错背后的特定问题上：

问题1：直接使用Get-WinEvent -ComputerName报RPC不可用 #

原因分析 #

Get-WinEvent的-ComputerName参数默认依赖RPC/DCOM协议通信，而非WinRM（5985/5986端口）。你的VLAN仅开放了3389、5985、5986端口，但RPC需要用到135端口（RPC端点映射器）以及大量动态TCP端口（默认49152-65535），这些端口都被VLAN策略拦截，因此触发RPC服务器不可用的报错。

解决方案 #

放弃直接使用Get-WinEvent的远程参数，改用WinRM通道执行远程命令——通过Invoke-Command在目标机器本地执行Get-WinEvent，彻底绕开RPC依赖。

问题2：嵌套Get-WinEvent在Invoke-Command里报访问被拒绝 #

原因分析 #

你当前的命令存在两个核心问题：

1. 冗余远程调用：Invoke-Command已经把脚本块推送到目标机器执行了，此时脚本块里的Get-WinEvent -ComputerName 10.100.155.1相当于在目标机器上再次发起远程调用（哪怕是本地环回），完全没必要，还会触发额外的权限校验。
2. UAC远程权限过滤：默认情况下，Windows会对远程登录的管理员用户做权限降权处理——哪怕你的账户属于本地管理员组，远程会话中也会被限制为普通用户权限，导致无法读取系统日志（系统日志需要管理员或Event Log Readers组权限）。

解决方案 #

步骤1：简化Invoke-Command脚本块

去掉脚本块里冗余的-ComputerName和-Credential参数，直接本地执行命令：

Invoke-Command -ComputerName 10.100.155.1 -Credential domain\test_user -ScriptBlock {Get-WinEvent -LogName System}

步骤2：解决UAC远程权限问题

如果简化后仍报访问拒绝，需要调整UAC远程权限设置：

• 修改注册表（快速生效）：在目标机器上执行以下命令（或通过组策略批量推送），禁用UAC对远程管理员的权限过滤：

  Set-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -Name LocalAccountTokenFilterPolicy -Value 1 -Type DWord
  

• 检查用户权限：确保domain\test_user属于目标机器的Event Log Readers组（至少拥有系统日志读取权限），或直接加入本地管理员组。
• 验证WinRM认证配置：在目标机器上检查WinRM是否启用了正确的认证方式：

  winrm get winrm/config/service/auth
  

  确保Negotiate或Kerberos处于启用状态（默认是开启的，但若被修改会导致权限验证失败）。

内容的提问来源于stack exchange，提问作者Jim