远程IT支持：哪些能远程解决，哪些要上门

简短回答：大部分软件、账号和配置问题都能远程解决。凡是物理层面的问题都要有人到场：布线、供电、更换硬件、上架，以及完全连不上网络的设备。远程支持的安全程度取决于背后的工具，所以要限制谁能发起会话，要求用组织账号登录，并保留审计记录。

本文写给正在决定"哪些交给远程团队、哪些留给上门"的中小企业，也写给需要审批远程支持工具的人。读完后你会得到一份分工清单和一份安全清单，可以直接套用到现在使用的工具上。

哪些问题通常可以远程解决？

只要设备开着并能连上互联网，下面大多数都可以远程做。

账号：重置密码、解锁、重新登记 MFA、组成员、许可证分配。
Microsoft 365：邮箱规则和权限、Outlook 配置文件修复、Teams 和 OneDrive 问题、共享邮箱设置。
软件：安装、修复、卸载已批准的应用，推送更新，清理失败的更新。
设备设置与策略：Wi-Fi 配置、VPN 客户端、打印机、安全设置、设备管理注册检查。
性能与崩溃：启动项、磁盘空间、驱动更新、事件日志检查。
由监控触发的处理：重启停止的服务、清理已满的磁盘、重跑失败的备份任务。
网络与云端变更：防火墙规则、DNS 记录、云管理控制台，以及有管理入口的交换机或无线接入点设置。

哪些问题通常需要有人到场？

物理故障：屏幕破裂、磁盘损坏、风扇、电池、接口。
供电与布线：插座无电、跳线松动或损坏、UPS 问题。
离线的网络设备：交换机或路由器无法开机时，没人能远程连上。
没有网络或无法启动的设备：它加入不了远程会话。
安装类工作：新办公室开通、上架、搬迁设备。参见由派遣工程师完成的上架等现场工作。
需要动手确认的事：在配线柜里辨认线缆、确认设备型号无误、安全报废。
必须有人在场的事：交付笔记本、收回离职员工的设备。

怎样决定：远程还是上门？

按顺序用下面的规则。

设备或服务现在能连上吗？不能，远程就无法开始；派人去，或者请现场同事按指导做基础操作（重启、重新插线）。
是物理故障吗？上门。
修复方式是设置、账号、软件或策略吗？远程。
修复有数据丢失风险，或会让设备长时间停用吗？可以远程，但先取得用户同意并备份。
远程尝试已失败两次？按经验法则，上门，不要再开第三次很长的远程会话。

合理的模式是"远程优先，例外上门"。更完整的比较请看上门与远程 IT 支持。各支持级别分别处理什么，见L1、L2、L3 支持分级。

远程支持工具的安全设置清单

远程工具功能强大，因此既是攻击者的目标，也是冒充 IT 的骗子常用的手段。无论用哪种工具都可以套用下面的清单。这里以微软关于 Quick Assist 和 Remote Help 的说明作参考（已对照 Microsoft Learn 核对，2026 年 10 月 28 日）。

只批准一种工具。列出允许的工具（例如 Intune Remote Help，或服务商自己的工具），其他的屏蔽或移除。先确认租户限制：微软说明 Remote Help 会话不能跨租户，协助方、用户和设备必须在同一租户。如果服务商用自己的租户，要问清楚它怎样连到你的设备；微软建议的变通办法是给服务台配发加入你租户的设备，或你租户里的 Windows 365 或 Azure Virtual Desktop 设备。微软建议：如果已使用其他远程支持工具而不用 Quick Assist，就停用或移除它。
支持人员用组织账号登录。微软说明，Remote Help 要求协助方和被协助方都用组织的 Microsoft Entra 账号登录，因此协助方不能帮助租户之外的用户。
支持人员账号启用 MFA。可以用条件访问（Conditional Access）要求 Remote Help 协助方使用 MFA，或限定特定位置、合规设备（适用于由最终用户接受的会话）。
限制谁能协助、能做到什么程度。Remote Help 支持基于角色的访问控制，包括谁只能查看设备、谁可以请求完全控制或执行提升权限的操作。
有人值守的会话必须用户同意。会话由用户发起或批准。用 Quick Assist 时，协助方得到限时的安全代码，用户必须允许屏幕共享；要控制还需要第二次批准。
员工规则：只接受自己发起的会话。微软提醒，除非是你主动联系的，否则永远不要允许自称"IT 支持"的人连接你的设备。把这条写进员工须知，并反复提醒。
无人值守访问要单独、更严格。如果服务商在用户不在场时连接，要问清楚谁有权这样做、怎样记录、是否只限公司管理的设备。
审计记录。在 Microsoft Intune admin center 可以查看 Remote Help 会话报告，审计日志在 Tenant administration（租户管理）> Audit logs（审计日志）。Remote Help 默认没有启用，使用前必须在 Intune 里为租户整体开启。其他工具请向厂商询问对应功能。
网络允许列表。Quick Assist 使用 443 端口和一组固定的微软终结点。开放防火墙规则前，先弄清你的工具需要什么。
离场处理。支持人员离开或服务商合同结束时，当天就移除其访问权限。

如果你使用别的工具，想在设备上停用 Quick Assist，微软文档给出两种办法：阻止到 https://remoteassistance.support.services.microsoft.com 的流量（这也会影响依赖同一终结点的 Remote Help），或者卸载该应用。

# 以管理员身份运行。来源：Microsoft Learn, Quick Assist（2026-10-28 核对）
Get-AppxPackage -Name MicrosoftCorporationII.QuickAssist | Remove-AppxPackage -AllUsers

微软的 Remote Help 规划页面（2026 年 10 月 28 日核对）写明：使用该服务的每个人，包括协助方和用户，都需要 Remote Help 许可证，并且这是在 Intune Plan 1 或 Plan 2 之外的另一项订阅。依赖它之前，请核对现行的许可选项。另见我们对Microsoft Intune 方案的说明。

常见错误

在员工笔记本上留着所有消费级远程工具。工具越多，攻击路径越多；保留一种批准的工具。
谁拿到代码都能加入。代码应当限时，并且只在核实对方身份后才提供。
没有会话记录。出了问题，无法说明谁、什么时候、连了什么。
只有远程方案，没有上门兜底。交换机坏了或磁盘损坏，就得等预约。提前约定好派遣条款。
把上门当成失败。有些任务本来就是物理的，提前计划。

怎样检查是否有效

请一位支持人员对测试设备发起会话。确认用户被询问是否同意，且控制需要单独批准。
确认该会话出现在工具的会话报告或审计日志里。
在测试设备上确认未批准的工具已被阻止或移除：如果已移除 Quick Assist，运行 Get-AppxPackage -AllUsers -Name MicrosoftCorporationII.QuickAssist，应当没有返回结果。
用一个没有登记 MFA 的非管理员协助方账号测试 MFA 要求；你的条件访问策略应当对该登录发起质询。注意：微软仅在 Windows 和 macOS 上支持对 Remote Help 使用条件访问。
给员工发一条测试通知："IT 不会向你索要密码，也不会突然要求远程连接。"检查他们知道该打给谁。