如何开始无需安装的远程支持会话

你需要在对方的 Windows 电脑上发起一次支持会话。他们一听到“下载这个文件”这句话就沉默了。下面介绍如何在远端无需安装的情况下开始会话、哪些 Windows 工具可以实现、它们各自会在哪些地方出问题，以及我已确认的修复方案。

如果没有任何原生方式适用，HelpWire 是一款远程支持软件，具备在客户端免安装启动会话的功能。向客户发送一条专用链接以启动会话。他们通过运行一个便携式应用并授予你访问权限来加入，无需安装程序、无需账户、也无需凭据。

一旦在目标上启用了远程桌面，您就可以使用 mstsc.exe 启动原生会话，而且整个过程只需四个步骤，两端都无需安装任何东西。mstsc.exe 和 远程桌面服务 都已随 Windows 一同提供。

在目标计算机上，运行 SystemPropertiesRemote.exe 并选择 允许远程连接到此计算机，或者使用 设置、系统、远程桌面。注册表中的等效项是在 HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server 下将 fDenyTSConnections 设置为 0。
打开 services.msc 并确认 远程桌面服务 (服务名称为 TermService) 正在运行。
在提升权限的 PowerShell 提示符下启用防火墙组。微软官方关于连接失败的文章给出了这个 cmdlet：

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -Enabled True
在你的计算机上，确认侦听器有响应，然后连接：

Test-NetConnection -ComputerName PC01 -Port 3389

mstsc.exe /v:PC01

如果第 4 步返回错误代码 0x204，并显示 Remote access to the server is not enabled 文本，请在转向更具体的原因如 DNS、NLA 或 RD 网关之前，重新检查远程桌面是否已启用、TermService、防火墙规则以及基本的网络可达性。

本地用户会与交互式桌面断开连接。这一行为单独就使得纯 RDP 不适用于有人在场的支持，而且这是出于设计，而非配置错误。

工作原理： mstsc.exe 会在目标计算机上请求一个新的登录会话。Windows 桌面版一次只允许一个交互式会话。Windows 会锁定或断开控制台会话，本地显示会切换到锁屏界面。你的会话仅在你的客户端窗口中呈现。若用户在键盘上重新登录，你的会话则会被断开。

在 Microsoft Learn 的一个讨论帖中，一位回复者直截了当地说明：RDP 会在远程主机上启动其自己的会话，只显示在你的客户端中，不同于 VNC 风格的工具，那里一切都是共享的。提问者证实本地用户已被注销，并将这种行为描述为互斥。当两个人争用同一台机器时，其中一方会看到 Another user is signed in. If you continue, they’ll be disconnected. Do you want to sign in anyway?

RDP 解决的是远程访问，而不是远程协助。这是两个有着不同要求的问题，而这一差异在支持工作中会立刻显现。

限制：

• 家庭版无法作为主机。 微软文档说明，入站 RDP 托管仅限于 专业版、企业版, 和 教育版。
• 仅支持一个交互会话。你一连接，控制台用户就会被断开。
• 无共享视图。你无法看到用户所描述的错误对话框，因为你看到的是不同的桌面。
• 无同意提示。标准 RDP 通过身份验证和授权来控制访问，而不是向键盘前的人请求批准。
• 无法穿透 NAT。端口 3389 需要 VPN 或端口转发，而将 3389 转发到家用电脑会使其暴露于自动化扫描和密码攻击。
• 无聊天功能，也无法把控制权交还。你仍然需要同时保持电话沟通。

五种变通方法在论坛帖子中占据主导地位，但没有一种能把 RDP 变成支持工具。

为并发会话修补终端服务是最流行的一种。它并不像人们期望的那样工作。在 GitHub 上 rdpwrap 仓库的问题 1141 中，一位运行 Windows 10 专业版内部版本 19041.264 的用户报告在 RDPConf 里每个指示灯都是绿色，但第二位用户仍然收到 Another user is signed in。

二进制补丁更糟。有人发布了一个 TermsrvPatcher 字节模式，固定到内部版本 19044.1766 上的 termsrv.dll 版本 10.0.19041.1741，这意味着补丁会一直有效，直到下一次累积更新重写该 DLL。即使并发登录成功，你得到的也是两个独立的桌面，而不是共享桌面。

在两台机器上禁用防火墙是第二种。一位 Microsoft Q&A 发帖者在两台系统上关闭了所有 Windows 防火墙，并将其账户添加到目标的 Administrators 组，仍然遇到 Access denied。失败与凭据和 RPC 有关，因此移除数据包过滤并未改变任何结果。

打开 443 以及 RPC 端口范围是第三种。Windows OS Hub 主题中的一位读者在两台机器上开放了 443 和从 49152 到 65535 的端口，仍然收到 This computer name is invalid。

在命令中固定 RPC 端口是第四种。运行 Mstsc.exe /control /shadow:1 /v:remotepcname:56772 会返回同样的计算机名无效错误，且站点作者在评论中确认，目前没有已知的方法能为影子连接固定 RPC 端口。

通过“设置、应用、可选功能”重新安装 Quick Assist是第五种修复。这仅适用于 Quick Assist 仍是可选功能的系统版本。Microsoft 已退役内置应用并将其移至 Microsoft Store，因此在当前版本上此路径行不通。

影子会话会附加到用户的现有会话而不是替换它，这使其有别于标准的 mstsc 连接，并且自 Windows 8.1 和 Server 2012 R2 起一直可用。用户保留其桌面，会看到一个同意提示，并能看到你的光标移动。下面的步骤将微软文档中记录的影子控制与在 Microsoft Q&A、Windows OS Hub 评论区以及 tinyapps 上的可复现文章中被证实有效的配置相结合。

确认目标运行的是 Pro、Enterprise 或 Education，并按照上面原生 RDP 部分的步骤 1 到 3 启用远程桌面。会话影子依赖于 Remote Desktop Services 服务，因此当 TermService 已停止或不可用时，会话影子会失败。此情况下报告的一个错误是：The version of Windows running on this server does not support user shadowing。
在目标计算机上为你的账户授予本地管理员权限，除非你已明确改为委派远程桌面服务权限。若两者都没有，第 6 步中的会话查询会在到达mstsc之前失败。
设置影子策略。通过组策略：计算机配置、管理模板、Windows 组件、远程桌面服务、远程桌面会话主机、连接，Set rules for remote control of Remote Desktop Services user sessions。通过注册表：
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v Shadow /t REG_DWORD /d 1

值 0 禁用影子功能。1 表示在获得用户许可的情况下进行完全控制。2 表示在未经许可的情况下进行完全控制。3 表示在获得许可的情况下仅查看。4 表示在未经许可的情况下仅查看。对于有人值守的支持，请将该值显式设置为 1，而不要依赖计算机继承的设置。
在目标上允许远程 RPC，然后重启它。跳过重启是社区报告中导致第 6 步返回“拒绝访问”的最常见原因；在测试中，该值在计算机重新启动之前不会生效。

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v AllowRemoteRPC /t REG_DWORD /d 1
在目标上启用这两条防火墙规则。在此处测试的配置中，会话镜像需要启用 File and Printer Sharing (SMB-In) 和 Remote Desktop – Shadow (TCP-In) 规则，并允许 139/TCP、445/TCP 以及从 49152 到 65535 的动态 RPC 范围内的流量，而不仅仅是 3389 端口。需要开放多少 RPC 范围取决于两台计算机之间的网络，这也是为什么即使 mstsc 连接可用，也并不能证明会话镜像能够连接。

Enable-NetFirewallRule -DisplayName "File and Printer Sharing (SMB-In)"

Enable-NetFirewallRule -DisplayName "Remote Desktop - Shadow (TCP-In)"

第二条规则授予对 RdpSa.exe（镜像代理进程）的远程访问权限。这两条规则都依赖于配置文件。请在设置, 网络和 Internet 中检查目标的活动网络配置文件，并在假定 SMB 和 RPC 可达之前，确认已启用的规则涵盖正在使用的配置文件。
如果本地账户与目标账户不匹配，请先缓存凭据，然后读取会话 ID：

cmdkey /add:PC01 /user:PC01\admin /pass

qwinsta /server:PC01

坐在物理键盘前的用户其 SESSIONNAME 显示为 console，几乎总是 ID 为 1。
附加到会话：

mstsc.exe /shadow:1 /v:PC01 /control

用户会看到 PC01\admin is requesting to view your session remotely. Do you accept the request? 一旦他们接受，窗口标题会从 Viewing 变为 Controlling。

去掉 /control 以启动仅查看的会话。/noConsentPrompt 开关是存在的，并且需要 Shadow 值为 2 或 4；对于有人值守的工作，我保持其默认（不使用）因为同意提示是唯一能告诉用户有技术人员正在其屏幕上的提示。

在选择这些标志之前，有一种行为值得了解：未使用 /control 进行连接时，每当安全桌面上出现 UAC 提示时，镜像窗口会显示为带有暂停符号的黑屏，用户回应后会话继续。使用 /control 时，UAC 提示会在会话内呈现，因此你可以自己输入凭据。该标志决定了镜像在提权时是能处理还是会停滞。

这六条错误字符串涵盖了 Microsoft Q&A 和社区帖子中报告的几种常见遮蔽故障，并且每一条都有一个值得优先检查的可能原因。

错误字符串	常见原因	已确认的修复方法
`Shadow Error: This computer name is invalid`	Shadow 防火墙规则被禁用，或 RPC 不可达	启用 `File and Printer Sharing (SMB-In)` 和 `Remote Desktop - Shadow (TCP-In)`，开放动态 RPC `49152` 到 `65535`
`Shadow Error: Access is denied`	本地与远程凭据不一致	使用 `cmdkey` 缓存凭据，或添加 `/prompt` 到 `mstsc` 命令
`Shadow Error: The session identification does not specify a valid session`	传递给 `/shadow` 的会话 ID 错误：	重新读取该 ID，使用 query user 或 `qwinsta /server`
`Error [5]: Access is denied (returned by qwinsta)`	`qwinsta` 没有 `/prompt` 等效项，因此凭据必须已匹配	在运行查询之前使用 `cmdkey` 缓存凭据
`ERROR 1722 RPC server is unavailable`	`AllowRemoteRPC` 未设置，或 RPC 终结点被阻止	将 `AllowRemoteRPC` 设置为 `1`，重启，确认 `135` 和 `445` 可达
`The version of Windows running on this server does not support user shadowing`	`TermService` 已停止或已禁用，或者目标运行家庭版	启动远程桌面服务，如果目标是家庭版，则到此为止

当所有设置看起来都正确但连接仍然超时时，请执行一位 WOSHub 评论者发布并被数位他人证实的一套步骤：在设置中将远程桌面先关闭再开启，为当前网络配置文件启用文件和打印机共享，然后在 services.msc 中重启 远程桌面服务。这会清除陈旧的侦听器状态，只需三十秒。

快速协助是 Microsoft 目前用于通过互联网提供有人参与支持的原生工具，接受帮助的人无需登录。微软的文档确认，双方都不需要加入域，帮助方使用 Microsoft 帐户或Entra ID登录，不支持本地Active Directory身份验证。

在你的设备上，按 Ctrl + Windows + Q，或者从开始中搜索 快速协助，并登录。
点击 帮助他人 并将限时代码读给用户。
用户打开快速协助， 输入代码，并单击允许以开始屏幕共享。
单击 请求控制。在你可以输入之前，用户需要在第二个提示中进行批准。

它能够穿越防火墙的原因在于架构设计。Quick Assist 通过 443 端口基于 HTTPS 与 Microsoft 的 Remote Assistance Service 通信，内部承载 RDP，因此无需端口转发、无需 VPN，也无需编写入站规则。

限制：

• 在受管设备上，组织策略可能会阻止商店下载，Microsoft 在安装页面对此有说明。
• 需要 Microsoft Edge WebView2。Windows 11 已内置；在 Windows 10 上，商店应用会在启动时检测并安装它，除非有东西阻止安装。
• 协助方需要 Microsoft 或 Entra 帐户。仅使用本地帐户工作的技术人员将无法进入。
• 提权会切换到安全桌面。当 UAC 凭据提示在其上出现时，协助方可能看不到该提示，也无法在其中输入，从而使会话陷入停滞。一位 Microsoft Q&A 发帖者描述了这种情况：所有用户默认为标准用户，在管理员提示处屏幕变黑，无法远程完成安装。
• 不提供通用的 macOS 支持。确实存在 macOS 版本，但 Microsoft 将其限制为与 Microsoft Support 的交互，因此不能用于你自己的会话。

Windows 远程协助 仍以 msra.exe 的形式提供，并未出现在 Microsoft 面向 Windows 客户端的已弃用功能列表中，不过未在列表中并不代表会无限期支持该工作流程。在最近的版本中，提供帮助”路径已被证明不够可靠，足以将其排除为主要工具。

管理员报告在 Windows 10 22H2 和 Windows 11 24H2 上出现 Your offer to help could not be sent 故障，同时伴随来自 Microsoft-Windows-DistributedCOM: DCOM got error "2147746132" when attempting to activate the server {833E4010-AFF7-4AC3-AAC2-9F24C1457BCE} 的 Event ID 10006。在 Microsoft Q&A 上提交问题的工程师已经确认已启用 Remote Assistance 防火墙规则、已启用 DCOM、通过 GPO 应用了启动和激活权限、端口 135 有响应、已安装 KB5030211，且在同一两台主机之间普通 RDP 正常工作。它在一些设备上失败，而在具有相同配置的其他设备上则工作正常。该问题一直没有被接受的答案。

Windows 论坛上流传的部分修复是一项 DCOM 权限修改。运行 dcomcnfg，展开 组件服务、计算机、我的电脑、DCOM 配置，找到上面的 CLSID，打开属性、安全，然后编辑 启动和激活 权限，并为该帐户授予 本地启动 和 本地激活。在 24H2 上结果不一致。

另一种流传的变通方法是在 HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DCOM 下将 EnableAuthEpResolution 设置为 0。请跳过它，并留意随之附带的理由。论坛帖子常将该键与来自 CVE-2021-26414 的 DCOM 强化联系起来，但这种归因是错误的。Microsoft 针对 CVE-2021-26414 强化的开关是位于 HKLM\SOFTWARE\Microsoft\Ole\AppCompat 下的 RequireIntegrityActivationAuthenticationLevel，见 KB5004442 文档说明，并且自 2023 年 3 月 14 日起不再是可选项。EnableAuthEpResolution 是一个独立且更早的 RPC 设置，用于控制客户端是否对端点映射器进行身份验证。将其关闭会在整个计算机范围内削弱 RPC 身份验证，只是为了复活一个 Microsoft 已经替换的屏幕共享工具。

每个选项都有代价，更值得问的是哪些成本会落在你所帮助的人身上。免费的无需安装软件的远程桌面确实是一个类别，而且它可分为两个值得区分的分支。

选项	客户端操作	成本
RDP 通过 `mstsc.exe`	无	用户的会话会被切换到锁屏界面
RDP 影子	无	Pro 版本、本地管理员权限、RPC 可达性、局域网或 VPN
快速协助	输入代码，单击允许	如未安装则从商店安装，协助者需要 MSA，安全桌面 UAC 可能会阻止远程可见性和控制
Windows 远程协助	打开邀请	DCOM 激活失败在 `22H2` 和 `24H2`
Microsoft Intune 远程帮助	安装应用并登录，或通过共享者 Web 应用分享仅查看	协助者和共享者都需要许可证，双方必须在同一 Entra 租户，完全控制和提升权限需要原生应用
仅限浏览器的工具	打开链接	实际控制能力受限，而市场宣传很少说明限制在哪里
仅运行版支持应用	运行已下载的文件，单击同意按钮	一个二进制文件会出现在 Downloads，没有安装程序且无法提升权限

值得坚持的区分在于是否会触及系统。安装程序会写入 Program Files，注册服务，并需要管理员密码。便携式可执行文件在用户自己的令牌下从 Downloads 文件夹运行，并且在会话结束时就不再产生影响。

对于需要超出 Quick Assist 的团队，Microsoft 自家的方案是 Intune Remote Help，作为独立附加组件按每用户每月 3.50 美元销售，或通过 Intune Suite 提供。Microsoft 自 2026 年 7 月起将 Intune 的高级功能并入 Microsoft 365 E3 和 E5，因此在购买席位前请先检查你的租户已包含哪些内容，并注意，符合条件的许可证本身并不会自动启用该服务。

Microsoft 的规划文档对席位问题给出了定论：Remote Help 许可证应分配给计划使用该服务的所有人—包括帮助者和共享者—并且需要在 Intune Plan 1 或 Plan 2 之上。其 Quick Assist 页面现在将单租户组织引导至 Remote Help，以获得审计跟踪和条件访问控制。

对于为外部客户提供支持的任何人，有一道重要边界：Remote Help 专为组织内支持而构建，帮助者和共享者必须属于同一 Microsoft Entra 租户，因此不支持跨租户会话。若共享者无法安装原生应用，Microsoft 提供了 Web 应用，并且它仅向帮助者提供查看权限而非控制权限。

HelpWire 可通过链接启动一场有人值守的会话，客户端的设置只需下载、双击并点击一次同意按钮，无需安装程序、无需管理员权限，也无需创建账户。下面的流程是 Quick Connect 路径，你这边也无需账户。

下载 HelpWire Quick Connect 并在您的计算机上启动它。
从应用中复制连接链接，并通过电子邮件、消息应用、短信或帮助台工单发送。
客户端打开链接。系统会自动检测其操作系统，并开始下载。客户端应用默认是便携式的，因此他们双击下载的文件即可运行。
一旦他们打开应用，访问请求会自动发送给他们。当您的客户启动应用后，您也可以通过内置聊天与他们沟通。
客户端点击授予访问权限。
您可通过 HelpWire 界面控制该工作站。客户可以随时点击 撤销权限，您的访问将立即结束。
点击断开连接以完成。客户的链接会过期，他们的应用会变为非活动状态。新的会话需要新的链接。

快速连接适用于一次性会话。无人值守访问可申请以便在客户不在场的情况下稍后重新连接。

合适的工具取决于你是否管理这台机器，而这种划分比功能列表所暗示的更为鲜明。

场景	RDP 和会话镜像	HelpWire
亲戚使用 Windows 11 家庭版，在不同城市	完全无法承载 RDP，因此会话镜像不可用。	链接加便携式客户端应用，无版本要求
标准用户需要安装驱动程序	使用 `/control` 进行会话镜像会在会话内呈现 UAC 提示，从而可以输入凭据，但仅在完成全部镜像设置且网络可达之后。 Quick Assist 可能在该提示处失去可见性。	请求管理员访问，客户端批准 UAC，会话以提升权限继续
同一局域网内的域工作站	在预先配置好 GPO、RPC 和防火墙规则后运行良好。	无需在端点上预先配置任何内容即可工作
客户端在另一个国家，位于 CGNAT 后面	需要 VPN 或暴露 `3389` 端口，这两者都得由你自己负责。	基于链接的会话，无需端口转发
与陌生人电脑的一次性会话	无同意提示、无聊天、无干净的结束状态。	有同意提示、聊天，断开后链接即失效

查找 RdpSa.exe 进程并读取终端服务连接日志。RdpSa.exe 仅在影子会话处于活动状态时运行，因此在任务管理器中出现它是一个实时指标。要查看历史记录，请打开 Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational。查看会话日志，20508 表示已授予权限，20503 表示已启动，和 20504 表示已停止。使用 /control 打开的会话则会记录 20506 和 20507，因此请同时查询这两组，否则你将错过正是本文所设置的那类会话。

Get-WinEvent -FilterHashTable @{LogName='Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational';ID=20503,20504,20506,20507,20508}

常见原因包括损坏的快速协助安装、VPN 或代理干扰，以及被阻止的 Microsoft 服务终结点。请按此顺序逐一排查。打开 设置, 应用, 已安装的应用, 快速协助, 高级选项，并先使用修复，再使用重置。断开任何 VPN 客户端，因为在 Microsoft Q&A 上，相关的 Session ended 错误多次被追溯到 VPN 连接。然后尝试从开始菜单以管理员身份启动快速协助。如果仍卡在 Connecting，那么阻止终结点的很可能是代理或内容过滤器，而不是此设备上的问题。

先阻止该终结点，然后移除应用。Microsoft 记录在案的方法是阻止到 remoteassistance.support.services.microsoft.com 的流量，这是 快速协助 用于建立会话的主要终结点。一旦被阻止，该应用既无法获得帮助，也无法为他人提供帮助。Microsoft 警告称，阻止此终结点也会中断 Intune 远程 帮助，因此在广泛应用此阻止之前请先测试其影响。要移除应用本身，请以管理员身份运行以下命令：

Get-AppxPackage -Name MicrosoftCorporationII.QuickAssist | Remove-AppxPackage -AllUsers

你也可以通过 设置、应用、已安装的应用、快速协助，然后点击省略号并选择卸载来卸载。Microsoft 建议在你的组织已标准化使用其他支持工具的情况下，直接将其移除，因为将其保留在系统中会为外部人员提供一条可用的途径进入你的终结点。

是的，而且两个远程显示器总是会出现在你的本地计算机的单个显示器上。这是按设计实现的，而不是一个错误，因此影子视图不会跨越到你自己的第二个显示器。/span 和 /multimon 开关适用于标准 RDP 会话，对影子连接不起作用。

在台式 Windows 计算机上按下 Alt 和星号键，或者在 RDS 会话主机上按下 Ctrl 和星号键。Ctrl + Alt + Break 会将影子窗口调整为充满你的屏幕，这是你在首次会话前值得记住的另一个快捷键。

在文档中没有任何方式。微软在其 IT 文档中将 Quick Assist 的适用范围限定为 Windows 10 和 Windows 11，没有列出任何 Windows Server 版本，并且文档注明在 Windows Server 2008 R2 上不可用。对于服务器会话，可通过主机上的管理员会话对其进行影子，或者使用文档明确支持服务器的支持工具。运行 Remote Desktop Session Hosts 的团队也正因这一原因最终会采用影子方式。

今天就把你的设备分成两组，然后分别做好准备。在你管理的终端上，现在通过 GPO 下发 Shadow、AllowRemoteRPC 以及两个 shadow 防火墙规则，这样实时会话只需要会话 ID 和一次点击同意即可。对于不在你控制之内的一切，准备好一个基于链接的会话，并在需要之前，使用一个真实的标准用户账户测试一次提权路径。等到通话中途才发现你的工具无法通过 UAC 提示，所付出的代价会比提前完成全部设置要大得多。

如何在远端无需安装的情况下开始远程支持会话

如何通过原生 RDP 启动远程支持会话

当你通过 RDP 连接时，用户的屏幕上会发生什么？

RDP 在远程支持中的限制

大多数人首先尝试的是什么，以及它为何会失败

已确认修复 1：您管理的计算机的 RDP 会话监视

RDP 会话监视错误消息及修复方法

已确认的修复 2：非您管理的设备的快速协助

已确认的修复 3：Windows 远程协助以及我为何不再使用它

无需安装软件的免费远程桌面：每种选项的代价

HelpWire: 以最少的客户端配置启动远程支持会话

RDP 与 HelpWire 在真实场景中的免安装远程支持对比

常见问题

专业提示：在调用之前预先准备免安装路径，而不是在调用期间。