Remote-Zugriff für WMI konfigurieren und testen

Wenn man prüfen möchte, ob sich ein entfernter Rechner via WMI abfragen lässt, dann kann man das auf der Kommandozeile mit Hilfe eines einfachen wmic-Aufrufs machen, also beispielsweise mit

wmic /node:192.168.0.24 path win32_operatingsystem get caption

Wer grafische Tools bevorzugt, kann zur Prüfung der Verbindung das MMC-Snap-in wmimgmt.msc bemühen. Es bietet unter dem Menüpunkt Aktion den Befehl Verbindung mit anderem Computer herstellen. Nachdem man dies getan hat, öffnet man im linken Fenster das Kontextmenü von WMI-Steuerung und wählt dort Eigenschaften. Der anschließende Dialog startet automatisch eine einfache WMI-Anfrage an den entfernten Rechner.

Etwas mehr Möglichkeiten bietet der kostenlose Paessler WMI Tester, bei dem man einer Testabfrage zusätzlich die Anmeldedaten eines anderen Users mitgeben sowie eine Domäne spezifizieren kann. Darüber hinaus lässt sich der WMI-Namespace wählen und der Port für den DCOM-RPC anpassen.

Beim Versuch einer der WMI-Abfrage eines entfernten Rechners scheitert gerne mit der Fehlermeldung, dass der RPC-Server nicht erreichbar sei. Wie beim Zugriff auf andere Windows-Dienste liegt das Problem hier meistens an einer nicht korrekt konfigurierten Firewall am Zielrechner, so dass diese keinen Zugriff erlaubt.

Firewall-Regeln für WMI aktivieren

Im Fall von WMI muss man die dafür vordefinierte Regelgruppe in der Firewall aktivieren, um Anfragen von anderen Rechnern durchzulassen. Am schnellsten geht das mit Hilfe von netsh:

netsh advfirewall firewall set rule group="Windows-Verwaltungsinstrumentation (WMI)" new enable=yes

Wenn man die Firewall auf vielen Windows-PCs in einer Domäne für entfernte WMI-Abfragen öffnen möchte, dann kann man diese über die Gruppenrichtlinie Windows Firewall: eingehende Remoteverwaltungsausnahme zulassen tun. Sie findet sich unter Computerkonfiguration => Administrative Vorlagen => Netzwerk => Netzwerkverbindungen => Windows-Firewall.

Wie der Name schon besagt, schaltet dieses GPO allerdings nicht nur WMI-Anfragen frei, sondern öffnet u.a. auch Ports für die Fernwartung mit MMC. Störend ist zudem, dass die administrativen Vorlagen von Windows Server 2008 R2 nur die XP-Profile Standard und Domäne für Firewall-Regeln kennen, während es unter Windows 7 deren 3, nämlich Domäne, privat und öffentlich gibt.

Fehlersuche mit dem WMI Diagnosis Utility

Für WMI-Probleme können jedoch nicht nur Schwierigkeiten mit der Verbindung verantwortlich sein, vielmehr gibt es dafür zahlreiche Ursachen. Dazu zählen beispielsweise ein beschädigtes Repository, fehlende Rechte für den Zugriff auf Namespaces oder Probleme mit WMI-Providern. Um in solchen Fällen den Ursachen auf die Schliche zu kommen, bedarf es eines entsprechenden Diagnose-Tools.

Microsoft stellt mit dem WMI Diagnosis Utility ein solches Werkzeug zur Verfügung. Es handelt sich dabei um ein vbs-Script, das lokal auf dem Ziel-Computer ausgeführt werden muss. Es untersucht alle erdenklichen Aspekte der WMI-Konfiguration und hilft auch mit Vorschlägen zur Problemlösung. So entdeckt es auch eine nicht korrekt eingestellte Firewall und zeigt den entsprechenden netsh-Aufruf an, mit dem die zuständigen Regeln aktivieren kann - allerdings in der englischen Version, die auf einem deutschen Windows fehlschlägt.