DameWare Mini Remote Control (DMRC) 是系統管理員常用遠端管理工具，XP SP2 強化防火牆與安全性原則導致預設無法連線 (錯誤 10061)。以下五步驟完成完美連線，兼顧安全與便利。
前置條件
- 主控端與被控端皆為 Windows XP SP2/SP3。
- 雙方網路互通 (Ping 通、無隔離防火牆)。
- 具備被控端本機管理員帳密。
步驟 1：驗證帳號密碼與權限
- 被控端建立專用遠端管理帳號 (如 `dmrc_admin`) → 加入 `Administrators` 群組 → 設定強密碼。
- 主控端 DMRC 連線設定使用此帳號，測試本機 `runas /user:dmrc_admin cmd` 確認帳密正確。
步驟 2：啟用「Microsoft 網路的檔案和印表機共享」
DMRC 依賴 SMB (埠 445/139) 傳送代理程式至被控端。
- 控制台 →「網路連線」→ 右鍵「區域連線」→「內容」。
- 「一般」索引標籤 → 勾選「Microsoft 網路的檔案和印表機共享」→ 確定。
- 若提示安裝檔案共用服務，請插入 XP 光碟完成安裝。
步驟 3：關閉「使用簡單檔案共用」 (關鍵)
簡單檔案共用強制所有網路存取以 Guest 身分進行，DMRC 代理程式部署需管理員權限，必須關閉。
- 「我的電腦」→「工具」→「資料夾選項」→「檢視」索引標籤。
- 捲動至底部「進階設定」→ 取消勾選「使用簡單檔案共用 (建議)」→ 確定。
步驟 4：防火牆開放 DMRC 通訊埠 (TCP 6129)
DMRC 預設控制通道為 TCP 6129，需在雙向防火牆開放。
- 控制台 →「Windows 防火牆」→「例外狀況」索引標籤 →「新增連接埠」。
- 名稱：`DameWare MRC` / 連接埠號碼：`6129` / 協定：`TCP` → 確定。
- 「變更範圍」→ 選「自訂清單」→ 僅輸入主控端 IP / 管理網段 (如 `192.168.10.0/24`)，拒絕全網存取。
步驟 5：群組原則啟用「Windows 防火牆: 允許遠端管理例外」
此原則開放遠端管理 RPC (埠 135) 及 WMI 所需動態埠，讓 DMRC 服務控制功能 (服務管理、事件檢視器、登錄編輯) 正常運作。
- Win+R → `gpedit.msc`
- 「電腦設定」→「管理範本」→「網路」→「網路連線」→「Windows 防火牆」。
- 視網路類型選擇：
🔹 網域環境 →「網域設定檔」
🔹 工作群組/家用 →「標準設定檔」
- 雙擊「Windows 防火牆: 允許遠端管理例外」→「已啟用」→ 確定。
- 命令提示字元執行 `gpupdate /force` 強制套用。
驗證連線
- 主控端 DMRC →「連線」→ 輸入被控端 IP/主機名、帳號 `dmrc_admin`、密碼 → 連線。
- 成功指標：DMRC 主視窗出現被控端桌面、工具列可操作「服務」、「事件記錄」、「登錄」、「程序」等。
常見錯誤 10061 排查清單
[ ] 被控端「檔案和印表機共享」已勾選
[ ] 被控端「簡單檔案共用」已取消
[ ] 雙向防火牆 TCP 6129 已開放且限制來源 IP
[ ] 群組原則「允許遠端管理例外」已啟用並 gpupdate
[ ] 帳號為本機管理員群組成員，密碼正確
[ ] 網路層面無其他防火牆/ACL 攔截 (公司核心交換器、雲端安全群組)
安全性強化建議
- 防火牆規則來源 IP 僅限管理工作站/堡壘機 IP。
- DMRC 連線加密：工具列「選項」→「安全性」→ 勾選「要求加密」。
- 定期審核 DMRC 存取日誌 (`C:\Program Files\DameWare\DameWare Mini Remote Control\Logs`)。
- 考慮改用 RDP (Remote Desktop Protocol) + RD Gateway / VPN，原生支援、免額外授權、攻擊面更小。
