Quản lý từ xa không cần RDP: PowerShell

RDP thì tiện, nhưng nó cần băng thông, giao diện đồ họa và một cổng mở. Với những tác vụ thường ngày — cập nhật, khởi động lại dịch vụ, kiểm tra log — dòng lệnh nhanh và an toàn hơn: một dòng lệnh thay vì ba phút bấm chuột.

Cách một: PowerShell qua SSH

Windows Server 2022 và 2025 có sẵn máy chủ OpenSSH. Đây là cách đơn giản nhất, đặc biệt nếu bạn đã quen làm việc với key.

Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
Start-Service sshd
Set-Service sshd -StartupType Automatic
New-NetFirewallRule -DisplayName "SSH" -Direction Inbound -Protocol TCP -LocalPort 22 `
  -RemoteAddress 203.0.113.5 -Action Allow

Đặt PowerShell làm shell mặc định:

New-ItemProperty -Path "HKLM:\SOFTWARE\OpenSSH" -Name DefaultShell `
  -Value "C:\Program Files\PowerShell\7\pwsh.exe" -PropertyType String -Force

Key đăng nhập đặt vào C:\Users\<name>\.ssh\authorized_keys, còn với quản trị viên thì vào C:\ProgramData\ssh\administrators_authorized_keys với quyền chỉ dành cho SYSTEM và nhóm Administrators, nếu không máy chủ sẽ bỏ qua nó. Sau đó, tắt đăng nhập bằng mật khẩu trong C:\ProgramData\ssh\sshd_config (PasswordAuthentication no) và khởi động lại dịch vụ.

Kết nối theo cách thông thường:

ssh Administrator@YOUR_ADDRESS

Cách hai: WinRM

Cơ chế gốc của Windows. Cổng 5985 (HTTP) hoặc 5986 (HTTPS).

Enable-PSRemoting -Force
Set-NetFirewallRule -Name WINRM-HTTP-In-TCP -RemoteAddress 203.0.113.5

Tuyệt đối không để lộ 5985 không mã hóa ra internet. Cách đúng là dùng listener HTTPS với chứng chỉ:

$c = New-SelfSignedCertificate -DnsName "vds.example.ru" -CertStoreLocation Cert:\LocalMachine\My
New-Item -Path WSMan:\Localhost\Listener -Transport HTTPS -Address * -CertificateThumbPrint $c.Thumbprint -Force
New-NetFirewallRule -DisplayName "WinRM HTTPS" -Direction Inbound -Protocol TCP -LocalPort 5986 `
  -RemoteAddress 203.0.113.5 -Action Allow

Làm việc từ một máy Windows khác:

$s = New-PSSession -ComputerName vds.example.ru -UseSSL -Credential (Get-Credential)
Invoke-Command -Session $s { Get-Service | Where-Object Status -eq Running | Select-Object -First 10 }
Enter-PSSession $s

Những việc nên làm bằng lệnh

Restart-Service W3SVC                        # restart IIS
Get-WinEvent -LogName System -MaxEvents 20   # latest events
Get-Process | Sort-Object WS -Desc | Select-Object -First 10 Name, WS
Get-Volume | Select-Object DriveLetter, SizeRemaining
Restart-Computer -Force

Bạn cũng có thể cài bản cập nhật mà không cần giao diện đồ họa, xem Cập nhật Windows Server.

Truy cập khẩn cấp

Nếu RDP, SSH và WinRM đều không phản hồi, vẫn còn tab “Console” trong bảng điều khiển tại /hosting/vds/m/<id> ở chế độ “Screen” (VNC). Nó kết nối tới máy như một màn hình và hoạt động độc lập với cấu hình mạng bên trong hệ điều hành. Console văn bản qua cổng serial không có ý nghĩa với Windows.

Những lỗi thường gặp

• Mở 5985 ra toàn bộ internet. Đó là quản lý máy qua kênh không mã hóa. Hãy luôn giới hạn địa chỉ và ưu tiên HTTPS.
• Sai quyền trên administrators_authorized_keys. Máy chủ OpenSSH âm thầm bỏ qua tệp mà người khác có thể ghi vào. Cách sửa: dùng icacls với kế thừa bị tắt cho mọi đối tượng ngoại trừ SYSTEM và Administrators.
• Quy tắc được tạo nhầm profile mạng. Kiểm tra profile đang hoạt động: Get-NetConnectionProfile.
• Quên NLA và mật khẩu khi tắt RDP. Trước khi tắt RDP, hãy chắc chắn rằng cách truy cập thay thế đã hoạt động.

Hãy tạo thói quen ghi các lệnh cấu hình của bạn vào một tệp. Cài lại hệ điều hành trong tab “Access” chỉ mất vài phút, còn khôi phục cài đặt từ trí nhớ thì mất hàng giờ.