Что было. Сервер на Windows Server 2022 в режиме Core (без рабочего стола), администрируется удалённо. Все стандартные группы правил удалённого управления включены, но при попытке настроить теневые копии тома из консоли управления на другой машине: 0x800706ba: The RPC server is unavailable. С выключенным брандмауэром работает.
Причина. Удалённое управление службой теневого копирования (VSS) идёт через RPC к процессу vssvc.exe, а готового правила брандмауэра для него в наборе «Удалённое управление томами» нет. Автор создал правило и подтвердил, что после этого управление заработало.
Правило (PowerShell на управляемом сервере):
New-NetFirewallRule -Name 'Remote-VSS-In-TCP' -DisplayName 'Remote VSS Remote Management (RPC)' `
-Description 'Inbound rule for Shadow Copies and other VSS writers to be managed remotely' `
-Profile Any -Direction Inbound -Action Allow -EdgeTraversalPolicy Block `
-Program '%SystemRoot%\System32\vssvc.exe' -Service 'VSS' -Protocol TCP -LocalPort RPC
Вместе с ним должны быть включены группы «Удалённое управление томами» (Remote Volume Management) и «Удалённое управление событиями», а также правило для сопоставителя конечных точек RPC (порт 135), иначе клиент не узнает динамический порт службы.
Общая схема для любого «RPC-сервер недоступен» между двумя машинами.
Test-NetConnection сервер -Port 135: если закрыт, сначала брандмауэр или сеть.- Служба на целевой машине запущена (
Get-Service VSS,RpcSs,RpcEptMapper). - Динамические порты RPC (по умолчанию 49152–65535) пропускаются брандмауэром между машинами; правила «по программе/службе» решают это без открытия диапазона вручную.
- Имя целевой машины резолвится в правильный адрес и обратно (RPC чувствителен к DNS).
- Учётная запись, от которой запущена консоль, имеет права администратора на целевой машине; вне домена включён
LocalAccountTokenFilterPolicy = 1.
Про Server Core. Для него типичен именно такой класс проблем: оснастки на другой машине ждут правил, которые на сервере с рабочим столом включаются вместе с ролями. Список полезных групп для удалённого администрирования Core: Windows Remote Management, Remote Event Log Management, Remote Service Management, Remote Volume Management, File and Printer Sharing, Windows Defender Firewall Remote Management, Performance Logs and Alerts. Включать Enable-NetFirewallRule -DisplayGroup "…" по мере необходимости, а не все сразу.
Альтернатива, которая обходит RPC целиком: vssadmin и Get-/New-CimInstance через PowerShell Remoting (WinRM, один порт 5985/5986).
Управление Server Core описано в документации Microsoft.