теоретически реально. придётся порты в инет держать открытые.

порты коллектора

это понятно. вопрос в том, где авторизацию городить. на условном промежуточном IIS или прям на порту 5986

на твоё усмотрение

аутентификацию потом делегировать ещё нужно.

а открытый порт защищать в любом случае

Я за туннель! :)

помимо штатного впна сделать еще автотуннель только до этого коллектора\сервиса?

чет без схемы не очень понятно. Но я категорически против коллектора который слушает логи на внешнем периметре портом открытым для всех. хотя бы на фаерволе сделать белый список IP для которых разрешены соединения  с виндовым коллектором.

ендпойнт может выйти с любым айпи (
штатный впн доступ может быть отобран, поэтому я и сказал об отдельном впн-туннеле, который будет автоподниматься только до коллекора, без остальной сети. порт на внешку открыт, но на нем авторизация по сертам. что будет? брут? гигабитный дудос? так и впн порт можно положить

Можно сделать скрипт, чтоб порт открывался только в некоторое время, отдавал логи и закрывался.
Это доп.мера, но все же

WinRM  умеет в HTTPS, попробуйте хотя бы на сертификатах аутентификацию собрать

Можно взять в аренду vpn, а в идеале дома взять у провайдера белый ip и поднять личный. Это и для работы полезло и для личных целей топово.

Там по другому (без сертификатов) не получится, если тачки не в домене.
И 5986 это и есть https

по-другому это как?

Вы же читали? https://docs.microsoft.com/en-us/windows/win32/wec/setting-up-a-source-initiated-subscription

Кому взять? Каждому пользователю? А из кафе с ноутбуком ходить на домашний vpn? Чтобы оттуда без vpn логи запулить в WEC? Вы как эту схему IT продавать будете?

о ней и идет речь)

кому интересно, мнение вендора
-делайте впн
-не выставляйте коллектор наружу
-не ставьте впереди iis, если уж выставляете ( не поддерживается решение )
-пусть у вас домен в квадрате, для авторизации по сертам надо делать вид , что домена нет, и маппить серты тачек на локального пользюка коллектора, пушто FAILBACK кербероса это NTLM (но внутри TLS , огого) и приоритетом тут не полечить и не поиграть.
-если на тачке окажется два серта с fqdn source, то возникнет проблем очка коллизионная, так как серт с, которым надо идти в коллектор нигде в явном виде не указывается.