Benutzer Support / Helpdesk Remote Support Lösung mit Gruppenrichtlinien (GPO)

Remote Assistance Windows 7, Kostenlose Fernwartung

Mit Windows 7 kam auch eine neue Version von Remote Assistance auf den Markt. Dieses Built-In Feature (auf allen Windows 7 PCs installiert) ist sehr praktisch und macht kostenpflichtige Drittanbieter-Programme überflüssig. Folgendes Tutorial beschreibt, wie Sie diese Lösung implementieren können.

Remote Assistance vs. Remote Desktop

Remote Assistance und Remote Desktop sind Funktionen von Windows 7, die unterschiedlich verwendet werden. Remote Desktop ist ein Tool um sich Remote an einem Gerät anzumelden. Pro Anmeldung wird eine neue Benutzer Session wird eröffnet. Mit Remote Desktop kann man sich auch an Geräten anmelden, die keine aktive Session geöffnet haben.

Remote Assistance auf der anderen Seite ist ein Tool um den Benutzern interaktiven Support anzubieten. Damit eine Remote Assistance Verbindung zustande kommt, müssen der Benutzer und auch der Helpdesk Mitarbeiter am Computer präsent sein. Nach erfolgter Verbindung sehen beide Teilnehmer denselben Bildschirm und der Helpdesk Mitarbeiter kann aktiv ins Geschehen eingreifen.

Verbesserte Version von Remote Assistance in Windows 7

  • Verbindungsverbesserung durch transparentes NAT mittels Toredo und IPv6
  • Verbessertes Benutzer-Interface, zur einfachen Bedienung
  • Verbesserter Footprint durch Bandbreiten optimierte Darstellung mittels RDP
  • Volle Kompatibilität mit den neuen Sicherheitsfunktionen von Win 7 (UAC)
  • Gruppenverwaltungsrichtlinien zur zentralen Verwaltung der Funktionen
  • Abwärtskompatibilität, somit auch für Windows XP anwendbar

Remote Assistance IP Ports und Windows Firewall

In einem internen Netzwerk mit deaktivierter Windows Firewall gibt es keine Verbindungs-Probleme.

Bei Verwendung des Windows 7 Default Domain Profil, ist die Standard Firewall Konfiguration bereits richtig gesetzt und die Option Fernwartung aktiv.

Verwendete Ports, falls über die Firmen-Firewall zugegriffen werden soll: (Wird in diesem Dokument nicht weiter behandelt):
Windows 7 to XP or Windows Vista to Windows XP Port 3389 TCP (local/remote) Für DCOM Verbindungen Port 135 (TCP) Mehr dazu: KB Microsoft

Abwärtskompatibilität

Mit Windows Vista Clients
Remote Assistance ist voll abwärtskompatibel

Mit Windows XP Clients
Remote Assistance von Windows 7 ist abwärtskompatibel mit der Remote Assistance aus Windows XP, jedoch gibt es einige Einschränkungen. Das GUI auf dem Windows XP Rechner ist nicht dasselbe wie bei Windows 7 und die benutzerdefinierten Meldungen, die per GPO festgelegt werden, können nicht dargestellt werden. Mit XP kann man aber keine Remote Assistance für Windows 7 Geräte geben. Dies bedeutet, dass die Helpdesk Mitarbeiter mit Windows 7 Clients arbeiten müssen.

Implementierungs-Vorschlag

Das Programm MSRA.exe ist standardmässig auf allen Windows 7 Clients installiert.;

Für Helpdesk Mitarbeiter muss daher nur eine Verknüpfung erstellt werden. Alternativ kann es auch über die Command-Line aufgerufen werden: msra.exe /offerRA

Group Policy Einstellungen

Damit die Clients den Zugriff erlauben, müssen einige Group Policy Einstellungen gemacht werden.

Wichtig: Die Gruppenrichtlinie muss für Computer (Computer Configuration) gesetzt werden. GPO muss auf ein Computer Objekt angewendet werden.


Policy Name: RemoteAssistance
Pfad: Computer Configuration -> Administrative Templates -> System -> Remote Assistance

1. Turn on session logging auf Enable
Für jede Session gibt es ein Log auf dem PC des Helpdesk Mitarbeiters unter: Users\user_name\Documents\Remote Assistance Logs

2. Turn on bandwidth optimization

turn_on_bandwith_optimization_properties

3. Customize Warning Messages

customize_warning_messages_properties

4. Solicited Remote Assistance auf Disable

5. Offer Remote Assistance

offer_remote_assistance_properties

Hier definieren Sie die Gruppen, welche Remote Assistance anbieten dürfen.

windows_7_remote_assistance

Es kann sein, dass folgende Fehlermeldung beim Herstellen der Verbindung auftritt:

Das Unterstützungsangebot konnte nicht gesendet werden

Überprüfen Sie Folgendes:

  • Besitzen Sie die richtigen Berechtigungen für den Remotecomputer?
  • Ist der Remotecomputer eingeschaltet und mit dem Netzwerk verbunden?
  • Liegt ein Netzwerkproblem vor?
unterstuezungsangebot_konnte_nicht_gesendet_werden

Folgende Lokale Gruppe müssen Sie noch berechtigen.
Unter: Computer Configuration/Preferences/Control Panel Settings/Local Users and Groups
Add Local Group

remoteunterstuetzungsanbieter

Dieser Lokalen Gruppe müssen Sie nun eine Benutzergruppe zuweisen, in der sich die Benutzer die Remote Assistance anbieten befinden.
Für Englische Betriebssysteme müssen Sie folgender Gruppe Gruppenberechtigungen hinzufügen: "Offer Remote Assistance Helpers"

Verbindungs-Aufbau Remote Assistance / Anwendungsbeispiel

1. Der Helpdesk Mitarbeiter führt durch Klicken auf den Shortcut oder Ausführen von MSRA /offerRA, die Remote Assistance Anwendung aus und es erscheint folgendes GUI:

remote-assistance_anbieten

2. Ist der Ziel Computer am Netz und ein Benutzer angemeldet, wird die Verbindung aufgebaut:

remoteunterstuetzung_anbieten

3. Beim Benutzer auf dem Desktop erscheint nun folgende Meldung:

windows-remoteunterstuetzung_freigeben

4. Nun zeigt es dem Benutzer an, dass die Verbindung erfolgreich zustande gekommen ist. Zudem wird zur Performance Optimierung Windows Aero ausgeschalten, die Farb-Tiefe auf 16 Bit reduziert und das Hintergrund Bild wird deaktiviert:

performance_optimierung_windows_aero_ausschalten

5. Der Helpdesk Mitarbeiter hat nun "Desktop Einsicht", kann jedoch nicht interagieren:

windows-remoteunterstuetzung_beobachter-modus

6. Um die Kontrolle zu übernehmen muss der Helpdesk Mitarbeiter auf "Steuerung anfordern" klicken:

windows-remoteunterstuetzung_steuerung_anfordern

7. Der Benutzer muss nun diese Aktion erneut bestätigen. Es kommt folgende Meldung:

windows-remoteunterstuetzung_freigeben

Danach kann der Helpdesk Mitarbeiter das Gerät fernsteuern.

Durch schliessen des Fensters (Benutzer und Helpdesk Mitarbeiter seitig) wird die Fernwartung beendet.