Czego dotyczy ten poradnik
RMMZit to darmowe narzędzie open source (AGPLv3) do zdalnego monitorowania i zarządzania (RMM). Zdalny dostęp jest jego częścią: każdy komputer z agentem RMMZit otworzysz z konsoli webowej w sesji pulpitu zdalnego, w terminalu lub w menedżerze plików. Hostowane narzędzia zdalnej pomocy, takie jak TeamViewer czy AnyDesk, prowadzą usługę za Ciebie; RMMZit hostujesz sam — konsola działa na Twoim serwerze, a sesje biegną między Twoim serwerem a Twoimi agentami.
Czego potrzebujesz
- Działającego serwera RMMZit — jeśli go jeszcze nie masz, zobacz poradnik instalacji.
- Komputerów z agentem RMMZit: Windows 10 / 11 lub Windows Server 2016 i nowsze (64-bit) albo Linux z systemd (x86-64 lub ARM64).
- Konta z rolą Administrator lub Technik. Technik widzi tylko klientów, którymi może zarządzać.
- Aktualnej przeglądarki. Na komputerze technika nic się nie instaluje.
Jak sesja dociera do komputera
Serwer ma dwa porty: konsolę (interfejs webowy i API, TCP 8443) i punkt dostępowy agentów (TCP 8444). Agenci łączą się wychodząco z portem agentów, więc zarządzane komputery nie potrzebują otwartych portów ani przekierowania portów. Sesja zdalna używa tego samego połączenia: wszystko idzie przez szyfrowane połączenie agenta i trafia do dziennika audytu.
Przy rejestracji agent zapamiętuje odcisk certyfikatu serwera, więc fałszywy serwer nie może go przejąć. Każde polecenie z konsoli jest podpisane przez serwer i sprawdzane przez agenta. Dla komputerów spoza Twojej sieci otwórz TCP 8444 na zaporze i ustaw publiczny adres agentów w Ustawienia → Sieć i dostęp; port konsoli pozostaje zamknięty.
Uruchamianie sesji pulpitu zdalnego
- Otwórz Urządzenia i kliknij komputer (wyszukiwarka w nagłówku, Ctrl+K, znajdzie go po nazwie, użytkowniku, adresie IP i nie tylko).
- Kliknij Pulpit zdalny — na stronie urządzenia albo we własnym oknie. Widzisz ekran i sterujesz nim myszą i klawiaturą.
Podgląd ma to, czego potrzeba przy wsparciu:
- Klawiatura: kliknij ekran, aby pisać; klawisze trafiają do zdalnego komputera z jego własnym układem klawiatury. Wyślij Ctrl+Alt+Del i Wyślij tekst (wpisuje tekst, na przykład długie hasło) są na pasku narzędzi.
- Pełny ekran: skróty takie jak Ctrl+W czy klawisz Windows także trafiają do zdalnego komputera; przytrzymaj Esc, aby wyjść z pełnego ekranu.
- Jakość: Szybka, Zrównoważona lub Ostra, zależnie od połączenia.
- Monitory: jeden monitor albo Wszystkie monitory.
- Ekrany logowania i UAC są pokazywane i można z nich korzystać, więc możesz się zalogować i potwierdzić monity administratora.
Co widzi użytkownik po drugiej stronie
Sesja zaczyna się od razu; użytkownik nie musi jej akceptować. Domyślnie osoba przy komputerze widzi u góry ekranu pasek z Twoim imieniem i nazwiskiem, dopóki jesteś połączony. Ty nie widzisz tego paska w obrazie.
Administrator może wyłączyć pasek w Ustawienia → Pulpit zdalny (Pokazuj powiadomienie na zdalnym ekranie, gdy technik jest połączony). Każda sesja i tak trafia do dziennika audytu. Dobre praktyki bezpieczeństwa RMMZit zalecają pozostawienie go włączonego, aby użytkownicy wiedzieli, kiedy ktoś jest połączony.
Wyjaśnij użytkownikom i klientom, jak w Twojej firmie działa zdalna pomoc — że technik może się połączyć, a pasek pokazuje, kto to jest. Czy potrzeba czegoś więcej, na przykład pisemnej umowy z klientem, zależy od Twoich umów i lokalnych przepisów.
Schowek i kopiowanie plików
Na komputerach z Windows skopiowany tekst przechodzi w obie strony przez Ctrl+C i Ctrl+V. Pliki skopiowane w Twoim Eksploratorze wklejasz na zdalnym komputerze przez Ctrl+V. Pliki skopiowane na zdalnym komputerze są oferowane do pobrania (Pobierz skopiowane pliki), bo przeglądarka nie może umieścić plików w Twoim schowku. Kopiowanie plików przez schowek wymaga zalogowanego użytkownika na komputerze z Windows.
Wymianę przez schowek można wyłączyć w Ustawienia → Pulpit zdalny.
Zdalny terminal: PowerShell i powłoka root
Terminal otwiera powłokę urządzenia w przeglądarce, bez łączenia z ekranem — przydatne dla serwerów i szybkich poprawek, gdy użytkownik dalej pracuje.
- Linux: powłoka root.
- Windows: Windows PowerShell działający jako SYSTEM w pseudokonsoli. Wymaga agenta 0.12 lub nowszego oraz Windows 10 1809 / Windows Server 2019 lub nowszego.
Kliknij w terminal, aby pisać; kopiuj, zaznaczając tekst, wklejaj przez Ctrl+Shift+V lub Wyślij tekst. Opuszczenie strony kończy powłokę i wszystkie uruchomione przez nią programy. Początek i koniec sesji trafiają do dziennika audytu.
Do poleceń, które uruchamiasz często albo na wielu komputerach naraz, używaj raczej Skrypty: PowerShell, cmd, bash lub sh, jako SYSTEM lub root, na jednym urządzeniu, na wielu lub według harmonogramu, z zachowanym wynikiem każdego uruchomienia.
Pliki, procesy, usługi, rejestr i zadania
Wiele zadań wsparcia w ogóle nie wymaga ekranu. Strona urządzenia ma dla nich karty:
- Pliki przegląda dyski komputera: wysyłanie plików (do 4 GB), pobieranie plików, pobieranie folderu lub zaznaczenia jako ZIP, tworzenie folderów, zmiana nazw i usuwanie. Agent wykonuje każdą operację na plikach jako SYSTEM (Windows) lub root (Linux).
- Procesy pokazuje uruchomione programy z pamięcią, wątkami i sesją oraz kończy proces.
- Usługi pokazuje usługi Windows lub jednostki systemd i uruchamia, zatrzymuje lub restartuje je. Agent RMMZit chroni sam siebie: nie można go zatrzymać ani zakończyć z konsoli.
- Rejestr (Windows, agenci 0.12 i nowsi) otwiera klucz po ścieżce lub od korzeni HKLM, HKU, HKCR i HKCC; wartości i klucze można dodawać, zmieniać i usuwać. Korzenie, klucze bezpośrednio pod nimi i gałęzie samego systemu są chronione. Rejestry użytkowników są pod HKU (według ich SID).
- Zaplanowane zadania (Windows, agenci 0.12 i nowsi) pokazuje zadania Harmonogramu zadań; zadanie można uruchomić, zakończyć, włączyć, wyłączyć i usunąć.
Przyciski zasilania na stronie urządzenia restartują lub wyłączają komputer, od razu lub z opóźnieniem, z opcjonalną wiadomością dla zalogowanego użytkownika.
Kto może się połączyć i co jest rejestrowane
Każdy loguje się własnym kontem i logowaniem dwuskładnikowym. Role decydują, co komu wolno:
- Administrator — wszystko, łącznie z użytkownikami i ustawieniami (np. powiadomieniem i schowkiem); zawsze widzi wszystkich klientów.
- Technik — zarządza urządzeniami dozwolonych klientów: zdalny dostęp, skrypty, aktualizacje, programy, alerty.
- Tylko odczyt — tylko przegląda dozwolonych klientów; bez zdalnego dostępu i bez skryptów.
Technicy i użytkownicy z rolą tylko do odczytu mają dostęp do wszystkich klientów albo tylko do niektórych. Konta dodaje się w Użytkownicy albo pochodzą z Active Directory / LDAP lub logowania jednokrotnego.
Dziennik audytu pokazuje każdą zmianę i każdą zdalną czynność z użytkownikiem, celem i adresem: sesje pulpitu zdalnego, sesje terminala (początek i koniec), każdą operację na plikach z Twoim nazwiskiem, każdą zmianę rejestru z zastąpioną wartością, każdą czynność na zaplanowanym zadaniu. Wpisy są powiązane łańcuchem skrótów; konsola sprawdza łańcuch przy każdym wyświetleniu i zgłasza, jeśli wpis został zmieniony lub usunięty. Raporty dla klientów pokazują pracę techników z dziennika audytu — sesje pulpitu zdalnego i terminala, uruchomione skrypty i operacje na plikach.
Sieć i bezpieczeństwo
- Udostępniaj konsolę tylko z sieci administracyjnych; do dostępu z zewnątrz używaj VPN (np. WireGuard) zamiast otwierać port konsoli.
- Otwieraj port agentów tylko tam, gdzie są agenci, i ustaw sieci agentów, jeśli wszyscy łączą się ze znanych adresów.
- Daj każdej osobie własne konto z najniższą rolą i tylko potrzebnymi klientami; wyłączaj konta osób, które odchodzą.
- Używaj certyfikatu zaufanego przez przeglądarki (Let's Encrypt lub własne CA) w Ustawienia → Certyfikat.
- Zostaw włączone powiadomienie na zdalnym ekranie i co jakiś czas przeglądaj dziennik audytu.
Terminal, skrypt lub operacja na plikach działa z pełnymi uprawnieniami (SYSTEM lub root). Kto może zalogować się jako technik, może zmieniać te komputery — chroń konta odpowiednio.
Ograniczenia
- Pulpity Linux: pulpit zdalny działa z X11 (Xorg). Wayland nie pozwala usłudze w tle widzieć ani sterować ekranem: zaloguj się tam w sesji X11 albo użyj terminala. Bez pulpitu graficznego użyj terminala.
- Schowek i kopiowanie plików w pulpicie zdalnym działają z komputerami z Windows.
- Terminal w Windows: agent 0.12 lub nowszy oraz Windows 10 1809 / Windows Server 2019 lub nowszy.
- Rejestr i zaplanowane zadania: tylko Windows, agenci 0.12 i nowsi.
- Wysyłanie w menedżerze plików: do 4 GB na plik.
Wszystko, co robi RMMZit, jest na stronie funkcji; pobierzesz go ze strony pobierania, a pełnym opisem jest dokumentacja i strona o bezpieczeństwie. Aby zainstalować serwer i pierwszych agentów, skorzystaj z poradnika instalacji. Pytania mile widziane w GitHub Discussions. Firmy mogą skorzystać z płatnego wsparcia MaxZit (tylko po angielsku).