Reenvío de eventos de Windows a través de https sin dominio de Windows - sin evento 104

Jan 12 2021

Siguiendo la sugerencia de esta respuesta , estoy intentando configurar el reenvío de eventos de Windows siguiendo esta guía de Microsoft:

Configurar una suscripción iniciada por fuente donde las fuentes de eventos no están en el mismo dominio que el equipo recolector de eventos .

Estoy atrapado en él durante días, y he estado leyendo esta guía docenas de veces, de vez en cuando superando otro pequeño obstáculo. Llegué bastante lejos, pero ahora me siento realmente estancado.

Estoy atascado en el punto 7 de la configuración del equipo de origen del evento :

  1. Estos pasos deben producir evento 104 en su equipo de origen Aplicaciones Visor de eventos y registro operativo servicios \ Microsoft \ Windows \ Eventlog-ForwardingPlugin \ con el siguiente mensaje:
    "El transportista ha conectado correctamente con el gerente de suscripción en la dirección seguida por evento 100 con el mensaje: "La suscripción <sub_name> se creó correctamente".
  2. En el recopilador de eventos, el estado del tiempo de ejecución de la suscripción mostrará ahora 1 computadora activa.

Tampoco estoy seguro de qué significa el punto 8. Para el comando Subscription Runtime Status ( wecutil gr SubscriptionId), necesito un ID de suscripción, pero la guía no me dijo que creara uno.

Estoy confundido. ¿Puedes señalarme la dirección correcta? Gracias.

Respuestas

1 Swisstone Jan 12 2021 at 00:20

Primero debe crear una suscripción; de lo contrario, el ID de evento 100 no aparecerá. Este paso es el último capítulo de la documentación ( configuración de suscripción de eventos )

[...]Right-click Subscriptions and choose “Create Subscription…”  
Give a name and an optional description for the new Subscription.  
Select “Source computer initiated” option and click “Select Computer Groups…”.  
In Computer Groups click on “Add Non-Domain Computers…” and type the event source hostname.[...]

Una vez que se crea la suscripción en el servidor, las computadoras podrán suscribirse a ella (después del intervalo de actualización que estableció en el GPO si ya descargaron el GPO antes de que se creara la suscripción)

El paso 8 de la documentación solo le dice que después de crear la suscripción podrá enumerar las computadoras activas directamente en el visor de eventos de los recolectores, sin embargo, recomiendo usar la herramienta de línea de comandos porque la GUI no se comportará bien cuando tenga varios miles computadoras conectadas: wecutil espara enumerar las suscripciones existentes y wecutil gs <subscriptionName>para mostrar detalles sobre la suscripción,