Maciej Egermeier blog

Opiszę możliwość użycia mechanizmu „Pomoc zdalna” w Windows XP do administrowania komputerami pracowników mobilnych z laptopami.
Szczegółowa procedura uzyskiwania Pomocy zdalnej jest opisana tutaj.
Procedura w skrócie:

1. Użytkownik generuje pozwolenie na połączenie poprzez Windows Messenger lub email. Zwykle emailem administrator dostaje plik. Pozwolenie jest czasowe np. 1 godzina.

2. Administrator uruchamiając plik zestawia połączenie z komputerem.

Może się przytrafić, że trzeba pomóc pracownikowi poza biurem. Dość skuteczną metodą może być właśnie użycie mechanizmu Pomocy zdalnej. Jeśli laptop pracownika mobilnego jest podłączony do sieci w firmie X oddzielonej od Internetu firewallem, to pojawia się problem. Ta sama sytuacja występuje jeśli na laptopie jest zainstalowany personal firewall, który blokuje port 38860. W pozwoleniu przesłanym emailem jest zaszyty adres IP, jednak z filtrowaniem portu sobie już nie poradzimy. Oczywiście zestawienie tego połączenia przy pomocy Windows Messenger rozwiązuje problem. Ponieważ stosowanie tego komunikatora nie jest zbyt powszechne, należy rozważać opcję z przesłaniem zezwolenia emailem. Rozwiązaniem problemu mógłby być jakiś serwer pośredniczący, jednak ta technologia Microsoftu nie jest aż tak rozwinięta. Co zatem zrobić? Rozwiązaniem jest zestawienie połączenia VPN z firmą. Najlepiej w tym wypadku użyć VPN PPTP z serwerem Windows 2003. Wtedy możemy uruchomić zezwolenie na połączenie na serwerze (np. przez zdalny pulpit). Ruch związany z pomocą zdalną pójdzie przez tunel VPN i ominie ewentualne firewalle. Jest jedno zastrzeżenie: użytkownik musi wygenerować pozwolenie na połączenie „Pomocy zdalnej”, kiedy ma aktywne połączenie VPN. W innym wypadku w zezwoleniu nie zostanie zapisany adres IP połączenia VPN.

Można oczywiście wymyślać różne scenariusze, np.: użytkownik zamiast wysyłać pozwolenie emailem, zapisuje je na swoim pulpicie, a administrator (aktywne jest połączenie VPN laptopa z serwerem) pobiera ten plik poprzez CIFS, uprzednio się logując.

Został opisany przypadek, w którym pracownik łączy się z siecią firmową poprzez serwer windowsowy i PPTP. Jednak nie ma przeszkód, aby metoda sprawdziła się także z połączeniami np. IPsec. Pod warunkiem, że administrator miał komunikację z adresem IP, który laptop otrzymał podczas tworzenia tunelu VPN.
Ktoś może powiedzieć: „Przecież można uaktywnić w laptopie Pulpit zdalny i się połączyć bezpośrednio jako administrator, skoro już jest
połączenie VPN”. No tak, ale w takim wypadku użytkownik zostanie rozłączony ze swoją sesją. Bardzo możliwe, że w tym momencie problemem, z którym się do nas zgłosił będzie już nieaktualny. Zaletą zastosowania pomocy zdalnej jest to, że uzyskujemy sesję użytkownika i możemy pomóc w tym, z czym akurat zmierza się użytkownik. Nie mówiąc już o tym, że ma komfort czuwania nad poczynaniami „wścibskiego administratora”.

Podziel się!