Čím se tento návod zabývá
RMMZit je bezplatný nástroj s otevřeným kódem (AGPLv3) pro vzdálené monitorování a správu (RMM). Vzdálený přístup je jeho součástí: každý počítač s agentem RMMZit otevřete z webové konzole pro relaci vzdálené plochy, terminál nebo správce souborů. Hostované nástroje pro vzdálenou podporu, jako TeamViewer nebo AnyDesk, provozují službu za vás; RMMZit si hostujete sami — konzole běží na vašem serveru a relace jdou mezi vaším serverem a vašimi agenty.
Co potřebujete
- Běžící server RMMZit — pokud ho ještě nemáte, viz návod k instalaci.
- Počítače s agentem RMMZit: Windows 10 / 11 nebo Windows Server 2016 a novější (64bitové), nebo Linux se systemd (x86-64 nebo ARM64).
- Účet s rolí Správce nebo Technik. Technik vidí jen zákazníky, které smí spravovat.
- Aktuální webový prohlížeč. Na počítač technika se nic neinstaluje.
Jak se relace dostane k počítači
Server má dva porty: konzoli (webové rozhraní a API, TCP 8443) a koncový bod pro agenty (TCP 8444). Agenti se připojují odchozím spojením na port pro agenty, takže spravované počítače nepotřebují žádné otevřené porty ani přesměrování portů. Vzdálená relace používá stejné spojení: vše jde přes šifrované spojení agenta a zapisuje se do protokolu auditu.
Při registraci si agent zapamatuje otisk certifikátu serveru, takže falešný server ho nemůže převzít. Každý příkaz z konzole server podepíše a agent ověří. Pro počítače mimo vaši síť otevřete TCP 8444 na firewallu a nastavte veřejnou adresu pro agenty v Nastavení → Síť a přístup; port konzole zůstává zavřený.
Spuštění relace vzdálené plochy
- Otevřete Zařízení a klikněte na počítač (hledání v záhlaví, Ctrl+K, ho najde podle názvu, uživatele, IP adresy a dalšího).
- Klikněte na Vzdálená plocha — na stránce zařízení nebo ve vlastním okně. Vidíte obrazovku a ovládáte ji myší a klávesnicí.
Prohlížeč relace má to, co podpora potřebuje:
- Klávesnice: klikněte na obrazovku a pište; klávesy jdou do vzdáleného počítače s jeho vlastním rozložením klávesnice. Odeslat Ctrl+Alt+Del a Odeslat text (napíše text, například dlouhé heslo) jsou na panelu nástrojů.
- Celá obrazovka: zkratky jako Ctrl+W nebo klávesa Windows jdou také do vzdáleného počítače; celou obrazovku opustíte podržením Esc.
- Kvalita: Rychlá, Vyvážená nebo Ostrá, podle spojení.
- Monitory: jeden monitor nebo Všechny monitory.
- Přihlašovací obrazovky a UAC se zobrazují a dají se ovládat, takže se můžete přihlásit a potvrdit dotazy správce.
Co vidí uživatel na druhé straně
Relace začne hned; uživatel ji nemusí přijmout. Ve výchozím nastavení vidí osoba u počítače nahoře na obrazovce lištu s vaším jménem, dokud jste připojeni. Vy tuto lištu v obraze nevidíte.
Správce může lištu vypnout v Nastavení → Vzdálená plocha (Zobrazit upozornění na vzdálené obrazovce, když je připojen technik). Každá relace se v každém případě zapíše do protokolu auditu. Bezpečnostní doporučení RMMZit radí nechat ho zapnuté, aby uživatelé věděli, kdy je někdo připojen.
Vysvětlete uživatelům a zákazníkům, jak u vás vzdálená podpora funguje — že se technik může připojit a lišta ukazuje, kdo to je. Zda potřebujete víc, například písemnou dohodu se zákazníkem, závisí na vašich smlouvách a místních předpisech.
Schránka a kopírování souborů
Na počítačích s Windows jde zkopírovaný text oběma směry pomocí Ctrl+C a Ctrl+V. Soubory zkopírované ve vašem Průzkumníku vložíte na vzdálený počítač pomocí Ctrl+V. Soubory zkopírované na vzdáleném počítači se nabídnou ke stažení (Stáhnout zkopírované soubory), protože prohlížeč nemůže vložit soubory do vaší schránky. Kopírování souborů přes schránku vyžaduje přihlášeného uživatele na počítači s Windows.
Výměnu přes schránku lze vypnout v Nastavení → Vzdálená plocha.
Vzdálený terminál: PowerShell a root shell
Terminál otevře shell zařízení v prohlížeči, bez připojení k obrazovce — hodí se pro servery a rychlé opravy, zatímco uživatel dál pracuje.
- Linux: root shell.
- Windows: Windows PowerShell běžící jako SYSTEM na pseudokonzoli. Vyžaduje agenta 0.12 nebo novějšího a Windows 10 1809 / Windows Server 2019 nebo novější.
Klikněte do terminálu a pište; kopírujete označením textu, vkládáte pomocí Ctrl+Shift+V nebo Odeslat text. Opuštěním stránky skončí shell i všechny programy, které spustil. Začátek a konec relace se zapíší do protokolu auditu.
Pro příkazy, které spouštíte často nebo na mnoha počítačích najednou, použijte raději Skripty: PowerShell, cmd, bash nebo sh, jako SYSTEM nebo root, na jednom zařízení, na mnoha nebo podle plánu, s uloženým výstupem každého spuštění.
Soubory, procesy, služby, registr a úlohy
Mnoho úkolů podpory obrazovku vůbec nepotřebuje. Stránka zařízení pro ně má karty:
- Soubory prochází disky počítače: nahrávání souborů (do 4 GB), stahování souborů, stažení složky nebo výběru jako ZIP, vytváření složek, přejmenování a mazání. Agent provádí každou operaci se soubory jako SYSTEM (Windows) nebo root (Linux).
- Procesy ukazuje běžící programy s pamětí, vlákny a relací a ukončí proces.
- Služby ukazuje služby Windows nebo jednotky systemd a spouští, zastavuje nebo restartuje je. Agent RMMZit chrání sám sebe: z konzole ho nelze zastavit ani ukončit.
- Registr (Windows, agenti 0.12 a novější) otevře klíč podle cesty nebo od kořenů HKLM, HKU, HKCR a HKCC; hodnoty a klíče lze přidávat, měnit a mazat. Kořeny, klíče přímo pod nimi a vlastní větve systému jsou chráněné. Registry uživatelů jsou pod HKU (podle jejich SID).
- Naplánované úlohy (Windows, agenti 0.12 a novější) ukazuje úlohy Plánovače úloh; úlohu lze spustit, ukončit, povolit, zakázat a smazat.
Tlačítka napájení na stránce zařízení restartují nebo vypnou počítač, hned nebo se zpožděním, s volitelnou zprávou pro přihlášeného uživatele.
Kdo se smí připojit a co se zaznamenává
Každý se přihlašuje vlastním účtem a dvoufázovým přihlášením. Role určují, co kdo smí:
- Správce — vše, včetně uživatelů a nastavení (například upozornění a schránky); vždy vidí všechny zákazníky.
- Technik — spravuje zařízení povolených zákazníků: vzdálený přístup, skripty, aktualizace, programy, upozornění.
- Jen pro čtení — jen prohlíží povolené zákazníky; bez vzdáleného přístupu a bez skriptů.
Technici a uživatelé jen pro čtení mají přístup ke všem zákazníkům nebo jen k některým. Účty přidáte v Uživatelé, nebo přicházejí z Active Directory / LDAP či jednotného přihlášení.
Protokol auditu ukazuje každou změnu a každou vzdálenou akci s uživatelem, cílem a adresou: relace vzdálené plochy, relace terminálu (začátek a konec), každou operaci se soubory s vaším jménem, každou změnu registru s nahrazenou hodnotou, každou akci s naplánovanou úlohou. Záznamy jsou zřetězené hashem; konzole řetězec kontroluje při každém zobrazení a ohlásí, pokud byl záznam změněn nebo smazán. Zprávy pro zákazníky ukazují práci techniků z protokolu auditu — relace vzdálené plochy a terminálu, spuštěné skripty a operace se soubory.
Síť a bezpečnost
- Konzoli zpřístupněte jen z vašich správcovských sítí; pro přístup zvenčí použijte VPN (například WireGuard) místo otevření portu konzole.
- Port pro agenty otevřete jen tam, kde jsou agenti, a nastavte sítě agentů, pokud všichni přicházejí ze známých adres.
- Každé osobě dejte vlastní účet s nejnižší rolí a jen zákazníky, které potřebuje; účty lidí, kteří odejdou, zakažte.
- Používejte certifikát, kterému prohlížeče důvěřují (Let's Encrypt nebo vlastní CA), v Nastavení → Certifikát.
- Nechte upozornění na vzdálené obrazovce zapnuté a občas se podívejte do protokolu auditu.
Terminál, skript nebo operace se soubory běží s plnými právy (SYSTEM nebo root). Kdo se může přihlásit jako technik, může tyto počítače měnit — podle toho účty chraňte.
Omezení
- Linuxové plochy: vzdálená plocha funguje s X11 (Xorg). Wayland nedovolí službě na pozadí vidět ani ovládat obrazovku: přihlaste se tam do relace X11, nebo použijte terminál. Bez grafické plochy použijte terminál.
- Schránka a kopírování souborů ve vzdálené ploše fungují s počítači s Windows.
- Terminál ve Windows: agent 0.12 nebo novější a Windows 10 1809 / Windows Server 2019 nebo novější.
- Registr a naplánované úlohy: jen Windows, agenti 0.12 a novější.
- Nahrávání ve správci souborů: do 4 GB na soubor.
Vše, co RMMZit umí, je na stránce funkcí; stáhnete ho na stránce ke stažení, úplným popisem je dokumentace a stránka o bezpečnosti. Pro instalaci serveru a prvních agentů postupujte podle návodu k instalaci. Dotazy jsou vítány v GitHub Discussions. Firmy mohou získat komerční podporu od MaxZit (pouze v angličtině).