Fernwartung

Übernehmen Sie in Sekunden jedes Gerät eines Kunden, ohne VPN und ohne die Person am anderen Ende um irgendetwas bitten zu müssen.

Der Zugriff ist unbeaufsichtigt: Der Techniker verbindet sich, wenn er es braucht, und niemand muss auf dem entfernten Gerät etwas annehmen. Genau das erlaubt Ihnen, um drei Uhr nachts einen Server zu reparieren, an dem niemand sitzt. Eben deshalb wird über die Konsole gesteuert, wer welches Gerät erreichen darf, und jeder Versuch wird aufgezeichnet.

Wo Sie es finden

Sie haben drei Stellen, an denen Sie auf Verbinden klicken können:

• Geräte, in der Zeile jedes Geräts in der Liste.
• Der Gerätedatensatz, in der Kopfzeile.
• Die Bildschirmwand, auf der Kachel jedes Bildschirms.

Auf dem Handy erscheint die Schaltfläche in der Liste nicht. Dort müssen Sie den Gerätedatensatz öffnen.

Was Sie vorher brauchen

• Die Berechtigung Fernwartung. Ohne sie wird die Schaltfläche nicht angezeigt.
• Den KairosLink-Viewer, installiert auf Ihrem PC. Sie installieren ihn einmal auf jedem Ihrer eigenen Rechner, nicht auf jedem Gerät des Kunden.
• Das Gerät muss online sein und seine Zugangsdaten haben. Fehlt eines von beidem, ist die Schaltfläche ausgegraut.
• Ein Gerät mit Windows oder macOS. Unter Linux gibt es keinen Remote-Desktop.

Wenn das Gerät ein Mac ist

macOS verlangt, dass der Benutzer des Macs drei Systemberechtigungen erteilt, bevor der Bildschirm zu sehen ist:

Erteilt werden sie unter Systemeinstellungen, Datenschutz & Sicherheit. Aus der Ferne lassen sie sich nicht erteilen: macOS behält diese Entscheidung demjenigen vor, der am Gerät sitzt. Der Agent der Sitzung fragt den Benutzer auf dem Mac danach.

Ohne sie wird das Gerät weiterhin verwaltet, der Bildschirm lässt sich aber nicht sehen. Ausführlich steht das in der Anleitung Den macOS-Agent installieren.

Zum ersten Mal verbinden

1. Gehen Sie auf Geräte.
2. Haben Sie den Viewer auf diesem PC noch nie installiert, verwenden Sie oben den Link Viewer installieren und führen Sie das Installationsprogramm aus.
3. Klicken Sie in der Zeile des Geräts auf Verbinden.
4. Die Schaltfläche wechselt auf Wird erstellt … und danach auf Viewer wird geöffnet ….
5. Der Viewer öffnet sich von selbst und die Sitzung beginnt.

War der Viewer nicht installiert, erhalten Sie nach zwei Sekunden den Hinweis Der Viewer ist nicht installiert, mit einer Schaltfläche zum Herunterladen.

Ein Detail, das Ihnen Ärger erspart: In diesem Hinweis steht ein Link "Installiert, Verbindung erneut versuchen". Verwenden Sie ihn nicht. Die Erlaubnis für die Verbindung gilt 60 Sekunden, und eine Installation dauert länger als das, der erneute Versuch geht also mit einer abgelaufenen Erlaubnis raus. Schließen Sie nach der Installation des Viewers den Hinweis und klicken Sie erneut auf Verbinden.

Wie die Verbindung läuft

Der Viewer probiert drei Wege in dieser Reihenfolge und behält den ersten, der funktioniert:

Es gibt nichts zu konfigurieren: Die Wahl läuft automatisch. Der Viewer zeigt Ihnen in seiner Leiste, auf welchem der drei Wege die Sitzung gelandet ist, damit Sie es selbst nachsehen können und uns nicht glauben müssen.

Der Rückfall auf das Relay ist normal und häufig in Privatkundennetzen in ganz Lateinamerika, wo der Anbieter direkte Verbindungen blockiert. Eine Sitzung über das Relay ist kein Fehlschlag.

Wer was erreichen darf

Standardmäßig darf jeder Techniker Ihrer Organisation jedes Gerät Ihrer Organisation erreichen. Das ist der permissive Modus, und so startet jedes neue Konto.

Wenn Sie das eingrenzen wollen, steht die Steuerung unter Einstellungen, Abschnitt Sicherheit, Kachel Gerätezugriff.

Die vier Befugnisse

Was Sie steuern, ist nicht "drin oder draußen", sondern was jeder Techniker auf jedem Gerät tun darf. Sie sind nach Risiko gruppiert:

Die zwei Modi

Permissiv. Ohne Regeln darf der Techniker alles. Verweigerungsregeln nehmen ihm Dinge wieder weg.

Restriktiv. Ohne Regeln darf der Techniker nichts. Erlaubnisregeln schalten Dinge frei.

Bevor Sie auf restriktiv umstellen, sagt Ihnen die Ansicht, wie viele Techniker sofort den Zugriff verlieren würden. Lesen Sie das: Die Änderung wirkt für alle augenblicklich.

Wie Regeln aufgelöst werden

Wenn mehrere Regeln für dasselbe Gerät gelten, gewinnen sie in dieser Reihenfolge:

1. Der Inhaber kommt immer durch. Regeln gelten nicht für ihn.
2. Verweigern schlägt Erlauben, wenn beide dieselbe Priorität haben.
3. Die spezifischste gewinnt: Gerät, dann AD-Gruppe, dann Organisationseinheit, dann Kunde, dann alle Geräte.
4. Unter Regeln mit demselben Geltungsbereich gewinnt die niedrigere Prioritätszahl.
5. Lässt sich die AD-Gruppe oder die Organisationseinheit des Geräts nicht ermitteln, gilt diese Regel nicht. Das System rät nicht.

Ein Administrator ist nicht ausgenommen. Anders als beim Inhaber gelten Regeln für einen Admin sehr wohl. Die Ansicht sagt das, es lohnt sich aber, es beim Entwurf Ihres Schemas im Kopf zu behalten.

Einen Techniker auf bestimmte Geräte beschränken

Mit der Organisation im permissiven Modus:

1. Einstellungen, Abschnitt Sicherheit, Gerätezugriff.
2. In der Tabelle der Techniker, Menü mit den drei Punkten, Regeln ansehen.
3. Fügen Sie eine Regel Verweigern mit dem Geltungsbereich Alle Geräte hinzu und haken Sie die Befugnisse ab, die Sie schließen wollen.
4. Fügen Sie eine Regel Erlauben für jedes Gerät hinzu, das er erreichen soll.

Die spezifischste gewinnt, die Erlaubnisregeln setzen sich also gegen die allgemeine Verweigerung durch.

Jeder Moduswechsel und jede hinzugefügte oder gelöschte Regel wird im Audit-Log für Sicherheit festgehalten, samt Techniker und Zeitpunkt.

Ein Techniker sieht ein Gerät nicht, das er sehen sollte

Zuerst etwas Wichtiges: Ein Gerät, über das der Techniker keine Befugnis hat, erscheint in seiner Liste überhaupt nicht. Nicht durchgestrichen, nicht deaktiviert: abwesend. Und die automatische Aktualisierung wendet denselben Filter an, es lässt sich also auch nicht über die Browser-Konsole aufspüren.

Prüfen Sie das in dieser Reihenfolge, die der Reihenfolge entspricht, in der das System entscheidet:

1. Ist er der Inhaber? Dann gibt es nichts zu untersuchen, er kommt immer durch.
2. Hat er die Berechtigung Fernwartung? Ohne sie gibt es keine Verbindung, selbst wenn die Regeln sie erlauben.
3. In welchem Modus ist die Organisation? Im restriktiven Modus ohne Regeln sieht der Techniker nichts. Das ist so vorgesehen.
4. Welche Regeln hat er? Öffnen Sie seine Regeln und lesen Sie sie mit den Kriterien von oben.
5. Gibt es Regeln für AD-Gruppen oder Organisationseinheiten? Ist das Gerät keinem Active-Directory-Objekt zugeordnet, werden diese Regeln übersprungen und das Ergebnis ändert sich.
6. Sehen Sie im Audit nach, gefiltert nach diesem Techniker und dem Status Verweigert. Jeder blockierte Versuch hinterlässt eine Zeile.

Ist das Gerät sichtbar, die Schaltfläche Verbinden aber ausgegraut, ist das kein Problem der Berechtigungen, sondern eines des Geräts. Es ist offline oder es fehlen ihm seine Zugangsdaten.

Nachsehen, wer sich mit was verbunden hat

Seitenmenü, Sicherheit, Remote-Sitzungen. Erfordert die Berechtigung Geräte verwalten.

Die Ansicht zeigt Ihnen, wer sich wann mit welchem Gerät welches Kunden verbunden hat, mit Filtern nach Zeitraum, Techniker, Kunde, Gerät und Status. CSV exportieren lädt den gesamten Filter herunter, nicht nur die Seite, die Sie gerade ansehen.

Jeder Gerätedatensatz zeigt außerdem seine letzten Sitzungen, mit einem Link in das Audit, bereits auf dieses Gerät gefiltert.

Die Status

Fehler und Verweigert werden bewusst getrennt gehalten und sind unterschiedlich eingefärbt: Verweigert ist rot. Ein Administrator, der "verweigert" sieht, muss sofort verstehen, dass jemand versucht hat, irgendwohin zu kommen, wo er nichts zu suchen hat, und darf das nicht mit einem schlecht registrierten Gerät verwechseln.

Zur Dauer

In der Spalte für die Dauer steht Nicht bestätigt, und das ist zutreffend.

Die Konsole zeichnet den Beginn der Sitzung auf, nicht deren Ende. Den Beginn kennt sie mit Sicherheit, weil der Viewer die Konsole um die Erlaubnis bittet, anzufangen. Deshalb werden Sie keine Zahl sehen, und auch keinen Strich: Ein Strich läse sich wie eine Null.

Wir schätzen die Dauer weder über den Ablauf der Erlaubnis noch auf irgendeinem anderen Weg. In einem Audit ist eine erfundene Zahl schlimmer als eine fehlende.

Aus demselben Grund bedeutet eine Zeile in Gestartet nicht "Verbindung genau jetzt aktiv", sondern nur, dass sie begonnen hat. Ob sie noch offen ist, weiß die Konsole nicht.

Häufige Fehler

Die Schaltfläche Verbinden ist ausgegraut. Das Gerät ist offline oder es fehlen ihm seine Zugangsdaten. Das ist kein Problem der Berechtigungen.

"Der Viewer ist nicht installiert", aber er ist installiert. Die Erkennung ist eine Heuristik über zwei Sekunden und liegt manchmal daneben. Schließen Sie den Hinweis und klicken Sie erneut auf Verbinden.

Ich klicke auf Verbinden und es passiert nichts. Die Erlaubnis für die Verbindung gilt 60 Sekunden. Hat der Viewer zu lange zum Öffnen gebraucht, klicken Sie erneut auf Verbinden, um eine frische anzufordern.

Ich klicke auf der Bildschirmwand auf die Schaltfläche und es passiert nichts. Die Bildschirmwand meldet blockierte Zugriffe nicht. Wenn Sie das als Ursache vermuten, versuchen Sie es über die Liste Geräte, wo die Schaltfläche ausgegraut ist und der Grund sichtbar wird.

Ein Techniker sagt, ein Gerät sei "verschwunden". Es ist nicht verschwunden: Er hat die Befugnisse dafür verloren. Prüfen Sie seine Zugriffsregeln.

Ich verbinde mich mit einem Mac und der Bildschirm erscheint nicht, oder Tastatur und Maus reagieren nicht. Auf dem Gerät fehlen die Systemberechtigungen. Prüfen Sie alle drei unter Systemeinstellungen, Datenschutz & Sicherheit. Erteilt werden sie vom Benutzer des Macs, nicht von Ihnen.

Häufige Fragen

Welche Systeme kann ich per Fernwartung übernehmen? Windows und macOS. Unter Linux gibt es keinen Remote-Desktop.

Muss die Person am Gerät irgendetwas annehmen? Nein. Der Zugriff ist unbeaufsichtigt. Deshalb steuert die Konsole, wer was erreichen darf, und deshalb wird jeder Versuch auditiert. Auf einem Mac gibt es eine einmalige Ausnahme: Die drei Systemberechtigungen erteilt der Benutzer des Geräts vor der ersten Verbindung, nicht bei jeder Sitzung.

Wie lange gilt die Erlaubnis für die Verbindung? 60 Sekunden. Sie ist einmalig verwendbar.

Kann ich eine Sitzung aus der Konsole heraus trennen? Nein. Die Konsole hat keine Möglichkeit, eine laufende Sitzung zu schließen.

Kann ich sehen, ob gerade jetzt eine Sitzung offen ist? Nein. Die Konsole weiß, wann sie begonnen hat, nicht ob sie noch lebt.

Wie lange hat eine Sitzung gedauert? Die Dauer wird nicht aufgezeichnet. Siehe die Erklärung weiter oben.

Welchen Weg hat eine Sitzung genommen, LAN, Peer to Peer oder Relay? Der Weg der Verbindung ist im Viewer sichtbar, nicht im Audit: Der Viewer zeigt ihn in seiner Leiste, solange Sie verbunden sind.

Ich entziehe einem Techniker den Zugriff, während er verbunden ist. Wird er getrennt? Nein. Regeln werden ausgewertet, wenn die Erlaubnis für die Verbindung angefordert wird. Wer schon drin ist, bleibt drin, bis er das Fenster schließt.

Kann ich mich vom Handy aus verbinden? Nicht aus der Liste: In der mobilen Ansicht gibt es die Schaltfläche nicht. Öffnen Sie den Gerätedatensatz.

Lässt sich eine Zeile im Audit löschen? Nein. Sie ist ein Nachweis und wird bewusst nie gelöscht.

Wie viele Zeilen exportiert die CSV-Datei? Zwanzigtausend. Wenn Sie mehr brauchen, teilen Sie den Zeitraum auf.