如何使用组策略禁用/启用远程连接管理远程协助

Answer 1

首先来完全了解下远程协助吧!远程控制是在网络上由一台电脑(主控端Remote/客户端)远距离去控制另一台电脑(被控端Host/服务器端)的技术。电脑中的远程控制技术，始于DOS时代。远程控制一般支持下面的这些网络方式：LAN、WAN、拨号方式、互联网方式。此外，有的远程控制软件还支持通过串口、并口、红外端口来对远程机进行控制(不过，这里说的远程电脑，只能是有限距离范围内的电脑了)。

远程协助在默认情况下我们没有启用它，主要是考虑到安全性的问题，其实运用Windows xp系统本身的禁止/启用远程协助，就能彻底解决这一问题。组策略的设置就是用来修改注册表中的配置，那么如何用组策略来管理远程协助呢?

我们来简单了解下什么是组策略吧!组策略(Group Policy)是管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。通过使用组策略可以设置各种软件、计算机和用户策略。

其实简单地说，组策略设置就是在修改注册表中的配置。当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。

   工具/原料

组策略，远程协助

步骤/方法

其实组策略的设置过程都差不多，和我前面的几篇文章一样，首先打开「开始」菜单，在“搜索程序和文件”搜索框中输入"gpedit.msc"并回车，打开组策略对象编辑器。

   在组策略对象编辑器窗格左侧的树形图中依次展开"计算机配置→管理模板→系统;如下图所示:

   接下来在右侧窗格中双击远程协助，然后会出现设置界面:如下图所示:

   然后双击点开请求远程协助:来到属性界面:

   现在先来看下系统对于"请求的远程协助"的说明吧:

指定用户是否能通过“远程协助”请求其他用户的协助。

如果启用此策略设置，用户可以向另一台计算机的用户(“专家”)发送一个“远程协助”邀请。如果获得用户随后的允许，此专家可以使用此邀请查看用户即时的屏幕、鼠标和键盘活动。

“允许远程控制此计算机”选项指定不同计算机上的用户能否控制此计算机。如果用户邀请专家连接到此计算机并授予权限，此专家可以控制此计算机。在远程协助会话期间，此专家只能发出进行控制的请求。用户可以随时停止远程控制。

“最大票证时间”设置设置远程协助邀请持续时间的限制。

“发送电子邮件邀请的方法”选项指定发送远程协助邀请的电子邮件的标准。根据不同的电子邮件程序，您可以使用 Mailto (邀请收件人通过 Internet 链接连接) 或 SMAPI (简单 MAPI)标准(邀请附在电子邮件上)。电子邮件程序必须支持所选的电子邮件标准。此选项只适用 Windows Server 2003。

如果禁用此策略设置，用户将无法请求远程协助，此计算机也将无法从另一台计算机进行控制。

我们还需要将远程协助栏的“提供远程协助”打开:

   现在来看下官方对于“提供远程协助”的说明:

请使用此策略设置来决定支持人员或 IT 管理员(此处被称为“专家”)在用户未通过某一渠道、电子邮件或即时消息首先请求的情况下就可以向此计算机提供远程协助。

使用此策略设置，专家能向此计算机提供远程协助。

此专家无法连接到未公布的计算机或未经用户允许进行控制。当专家尝试连接时，用户仍然有机会接受或拒绝连接(只提供专家查看用户桌面的权限)，因此，如果启用了远程控制，用户在单击一个按钮后，专家才能远程控制桌面。

如果启用此策略设置，远程协助将提供给登录到此计算机的用户。您有两个选项让协助人员提供远程协助: “只允许协助人员查看计算机”或“允许协助人员远程控制计算机。” 除了这两个选择外，在配置此策略设置时，您还可以指定可以提供远程协助的用户或用户组列表。这些人员称为“协助人员”。

要配置协助人员列表，请单击“显示”。这将打开一个新的窗口，以输入协助人员的名字。请逐个添加用户或组。输入协助人员用户或用户组的名称时，请使用以下格式:

域名/用户名 或

域名/组名

如果禁用或不配置此策略设置，用户或组将无法向此计算机提供未经请求的远程协助。

如果您使用 Windows 防火墙，您需要将以下例外添加到 Windows 防火墙本地或组策略设置，这样才能使用未经请求的协助。

请将以下项目添加到 Windows 防火墙端口例外:

TCP 端口135

请将以下项目添加到 Windows 防火墙程序例外:

%WINDIR%/SYSTEM32/Sessmgr.exe

%WINDIR%/PCHealth/HelpCtr/Binaries/Helpsvc.exe

%WINDIR%/PCHealth/HelpCtr/Binaries/Helpsvc.exe

END