Funkcionalitu brány Firewall poskytuje ve Windows jediná služba (zobrazovaný název „Windows Defender Firewall“, název služby MpsSvc). Všechna rozhraní – Zabezpečení Windows, Ovládací panely, konzola WFAS, PowerShell, netsh, GPO i Intune – pracují se stejnou službou a jedinou databází pravidel, liší se jen komplexností pravidel, která umí zobrazit a vytvořit. Microsoft firewall nedoporučuje vypínat; pokud je to nutné, vypíná se profil (Set-NetFirewallProfile -Enabled False), nikdy zastavením služby MpsSvc – to není podporováno a rozbíjí Start, instalaci aplikací ze Store i aktivaci. Ve Windows 11 se název „Windows Defender Firewall“ stále zobrazuje v Ovládacích panelech, v konzole wf.msc a u služby; v aplikaci Zabezpečení Windows je stránka „Firewall a ochrana sítě“. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/ Zdroj (přejmenování na Windows Defender Firewall ve verzi 1709): https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/whats-new/whats-new-windows-10-version-1709

Ochrana proti útokům na konkrétní verzi Windows je velmi důležitá, jelikož pokud útočník získá informace o verzi Windows, jenž běží na cílovém počítači, může použít útoky cílené na danou verzi Windows – primárně útoky využívající známé díry v dané verzi. Stealth, boot time filtering i Windows Service Hardening jsou důvody, proč Microsoft nedoporučuje firewall vypínat ani při použití firewallu třetí strany – ten má vypnout jen kategorie pravidel, které potřebuje (programově přes API). Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/

Hyper-V firewall doplňuje hostitelský firewall o filtrování provozu virtuálních strojů/kontejnerů, které Windows hostují pro WSL nebo WSA – jejich síťový provoz jinak obchází pravidla hostitele. Pokud jsou pravidla hostitele nastavena přes GPO a Hyper-V firewall není nastaven přes CSP, zrcadlí se nastavení z GPO automaticky. WSL má VMCreatorId {40E0AC32-46A5-438A-A0B2-2B479E8F2E90}. Dynamická klíčová slova řeší pravidla pro služby s měnícími se IP adresami (cloud). FQDN pravidlo se vyhodnocuje až po DNS dotazu aplikace – Windows neprovádí periodické DNS dotazy; příchozí FQDN pravidla nejsou nativně podporována. Nutný Defender AV platform 4.18.2209.7+, network protection v režimu block/audit a vypnuté DNS over HTTPS. Intune: firewall se spravuje jako „Endpoint security policy“; profily Windows Firewall řeší chování profilů, Windows Firewall rules jednotlivá pravidla (150 na profil, více profilů se slučuje). Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/hyper-v-firewall Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/dynamic-keywords Zdroj: https://learn.microsoft.com/en-us/intune/intune-service/protect/endpoint-security-firewall-policy

Ve Windows 11 je primárním rozhraním aplikace Zabezpečení Windows (Nastavení > Ochrana osobních údajů a zabezpečení > Zabezpečení Windows > Firewall a ochrana sítě). Klasický applet Ovládacích panelů zůstává a nabízí stejné volby: Povolit aplikaci nebo funkci průchod přes Firewall, Změnit nastavení oznámení, Zapnout nebo vypnout firewall, Obnovit výchozí, Upřesnit nastavení. U základního rozhraní jsou definovaná pravidla vždy příchozí pravidla. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/

Snímek je z Windows 11 24H2 (stanice W11-1 z E03 – aktivní je privátní i veřejný profil současně, protože LAN1 na Private1 má privátní a LAN0 na Default Switch veřejný profil): Doménová síť, Privátní síť, Veřejná síť, odkazy Povolit aplikaci v bráně firewall, Poradce při potížích se sítí a internetem, Nastavení oznámení firewallu, Upřesnit nastavení, Obnovit brány firewall na výchozí nastavení. Historie: applet se jmenoval „Brána Windows Firewall“, od Windows 10 1709 „Firewall v programu Windows Defender“.

Snímek: Windows 11 24H2 (W11-1) – aktivní privátní síť „Síť“ (LAN1) a veřejná síť „Network“ (LAN0). Klasický applet Ovládacích panelů (firewall.cpl) je ve Windows 11 stále k dispozici, i když Microsoft postupně přesouvá nastavení do aplikace Nastavení a Zabezpečení Windows. Ukázat stav profilů (Privátní sítě / Host nebo veřejné sítě), aktivní síť a stav oznámení.

Ukázat přidání nového pravidla přes Zabezpečení Windows -> Firewall a ochrana sítě -> Povolit aplikaci v bráně firewall (totéž: Ovládací panely -> Firewall v programu Windows Defender -> Povolit aplikaci nebo funkci průchod přes Firewall): 1) Sloupec Doména je zobrazen pouze pokud je počítač připojen v doméně. 2) Může obsahovat sloupec Zásady skupiny (group policy), jenž říká, zda bylo pravidlo přidáno přes zásady skupiny. Snímek: Windows 11 24H2 – dialog Zabezpečení Windows „Chcete veřejným a privátním sítím povolit přístup k této aplikaci?“ po spuštění programu EchoServer.exe, který začal naslouchat na TCP 5000. Odkaz Zobrazit víc rozbalí cestu k programu a volbu profilů, Povolit vytvoří příchozí pravidlo pro program, Zrušit vytvoří pravidlo blokující.

U základního rozhraní jsou definovaná pravidla vždy příchozí pravidla; ve WFAS lze vytvářet příchozí i odchozí pravidla, pravidla zabezpečení připojení a sledovat aktivní pravidla a asociace IPsec. Typ protokolu lze zadat i přes jeho identifikační číslo (0–255). Od Windows 8 lze filtrovat síťový provoz také na základě komunikující aplikace z Microsoft Store (balíčky AppX/MSIX). Vzdálené adresy lze zadat klíčovými slovy (Default gateway, DHCP servers, DNS servers, Local subnet, Intranet, Internet …) místo konkrétních IP. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/

Výchozí chování: blokovat všechen příchozí provoz, který není vyžádaný nebo neodpovídá pravidlu; povolit všechen odchozí provoz, který neodpovídá blokujícímu pravidlu. Změna výchozí akce pro odchozí provoz na Block se používá jen ve vysoce zabezpečených prostředích (nutná inventura aplikací); výchozí akce pro příchozí provoz se nikdy nemá měnit na Allow. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/configure-with-command-line

Od Windows 7 je profil vázán na síťové rozhraní – notebook připojený kabelem do domény a zároveň k veřejné Wi-Fi má na každém rozhraní jiný profil. Ve Windows Vista platil pro celý počítač profil nejméně důvěryhodné sítě. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/

Umístění v síti se určuje z části na základě nastavení výchozí brány; pokud není nastavena, nemusí být rozhraní přiřazen síťový profil a zůstává Veřejný (stává se např. u OpenVPN nebo u izolované laboratorní sítě bez brány – v E03 se proto profil na LAN1 přepíná PowerShellem). Historie: Windows 7/8 nabízely při připojení volby Domácí síť / Síť v zaměstnání / Veřejná síť, Windows 10 přepínač „Nastavit tento počítač jako zjistitelný“; Windows 11 má přímo přepínač typu profilu. Pro zařízení připojená do Microsoft Entra ID (bez AD domény) lze doménový profil detekovat pomocí zásad NetworkListManager Policy CSP (Intune). Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/

Přehled v konzole WFAS: pro každý profil stav firewallu, výchozí akce pro příchozí (blokována) a odchozí (povolena) připojení; aktivní profil je označen. Snímek: Windows 11 24H2 (W11-1) – konzola Firewall v programu Windows Defender s pokročilým zabezpečením (wf.msc), přehled profilů; na stanici jsou aktivní privátní (LAN1) i veřejný (LAN0) profil.

Edge traversal – např. spojení DirectAccess přes Teredo (v6 over v4). This option applies to only specific types of traffic that use encapsulation in order to successfully traverse a firewall or NAT. One example of a situation where the Edge traversal option matters is DirectAccess. If a DirectAccess client is located on a remote private network behind a NAT, the client uses a technology named Teredo to communicate with its corporate network over the Internet. Teredo encapsulates IPv6 inside IPv4 in such a way that it can pass through NATs. This DirectAccess client should be configured to allow unsolicited inbound traffic from management servers on the corporate network. The corresponding inbound rules should allow edge traversal. Přechodové technologie 6to4 (1607), ISATAP (1703) a Teredo (1803) jsou ve Windows 10/11 vypnuty; Microsoft doporučuje nativní IPv6. DirectAccess je deprecated od června 2024 s doporučenou migrací na Always On VPN (L11). Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features

Předdefinované skupiny pravidel (Základní síťové služby, Sdílení souborů a tiskáren, Vzdálená plocha, Vzdálená správa systému Windows, …) pokrývají DHCP, DNS, ICMPv6/Neighbor Discovery, IGMP atd. Skupinu lze povolit/zakázat najednou: Enable-NetFirewallRule -DisplayGroup "…". Snímek: Windows 11 24H2 – Odchozí pravidla seřazená podle názvu, skupina Základní síťové služby (ICMPv6 Neighbor Discovery a oznámení směrovače, DHCP, IGMP, IPHTTPS, Teredo…); seznam je ve Windows 11 delší než dřív (např. pravidla pro Hyper-V, Optimalizaci doručení, Rychlou pomoc).

Výchozí pravidlo brány Firewall je pravidlo s nejnižší prioritou odpovídající jakémukoliv datagramu. Authenticated bypass v PowerShellu: New-NetFirewallRule … -Authentication Required -OverrideBlockRules $true -RemoteMachine <SDDL skupiny počítačů>. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/configure-with-command-line

Všechny tři úrovně podporují všechny dnes podporované verze Windows (integrita od Vista, null encapsulation od Windows 7), historické poznámky o verzích byly vypuštěny. Odkaz na Step-by-Step Guide (.docx) byl ověřen 17. 9. 2026 – stále funguje (HTTP 200, 858 kB), popisuje ale prostředí Windows 7 / Server 2008 R2; jako primární zdroj slouží aktuální dokumentace Windows Firewall na Microsoft Learn (články Overview, Rules, Configure with command line, Windows Firewall deployment guide). Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/

Modul pro výměnu klíčů: AuthIP (výchozí, funguje s jakoukoliv dvoufázovou autentizací) nebo IKEv1/IKEv2 (od Windows 8). Výběr IKEv2 lze provést pouze z příkazové řádky nebo PowerShellu (New-NetIPsecRule … -KeyModule IKEv2), a to jen s ověřením certifikátem počítače bez druhé fáze. NTLM (všechny verze) je deprecated od června 2024 – volání NTLM má být nahrazeno Negotiate (Kerberos s fallbackem na NTLM). NTLMv1 je odstraněn ve Windows 11 24H2 a Windows Server 2025. Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/configure-with-command-line

Pravidla typu izolace se nejčastěji používají v doménách Active Directory v kombinaci s metodou ověřování Kerberos v5. Tato metoda se totiž používá při přihlašování uživatelů a počítačů do domén Active Directory a všichni uživatelé a počítače v doméně jsou tedy schopni se touto metodou se svými pověřeními pro přihlašování do domény autentizovat i vzdálenému počítači při ustavování zabezpečeného připojení (domain isolation). Výjimky z ověření se často používají pro DHCP a DNS servery. U pravidel typu server-to-server se pro autentizaci nejčastěji používají certifikáty. PowerShell: New-NetIPsecRule -DisplayName "Basic Domain Isolation Policy" -Profile Domain -Phase1AuthSet … -InboundSecurity Require -OutboundSecurity Request; tunel: -Mode Tunnel -LocalTunnelEndpoint/-RemoteTunnelEndpoint. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/configure-with-command-line

Dokumentace Windows Firewall (aktualizace 5/2026) uvádí u každého příkladu variantu PowerShell i netsh; netsh nemá odstraňovací datum, ale některé operace (dotazy na pravidla podle vlastností, skupiny pravidel, GPO cache, kopírování pravidel mezi úložišti) umí jen PowerShell. Příklad shodný s cvičením E03: netsh advfirewall firewall add rule name="A - Blokace Public Internetu" dir=out action=block protocol=TCP remoteport=80,443 profile=public Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/configure-with-command-line

-DisplayName je mandatory, ostatní volitelné. Příklad pravidla odpovídá Lab 02 v E03 (blokace TCP 80/443 pro profil Public), Set-NetFirewallRule -RemoteAddress odpovídá bodovanému úkolu 2 (povolit ICMP echo jen z W11-3). Podmínky pravidla (porty, adresy, program, služba) jsou samostatné objekty – filtry (Get-NetFirewallPortFilter, Get-NetFirewallAddressFilter, Get-NetFirewallApplicationFilter), Get-NetFirewallRule je přímo nezobrazí. Zobrazované názvy skupin a pravidel jsou lokalizované (na českých Windows „Vzdálená plocha“); jazykově nezávislý je parametr -Group s odkazem na zdroj řetězců, např. -Group "@FirewallAPI.dll,-28752" pro Vzdálenou plochu, nebo -Name. Parametr -PolicyStore umožňuje zapisovat přímo do GPO (domain.contoso.com\gpo_name), -CimSession spravovat vzdálený počítač přes WinRM. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/configure-with-command-line

Ověřování na úrovni sítě (NLA) vyžaduje autentizaci uživatele před vytvořením vzdálené relace (session). Dříve se nejprve vytvořila vzdálená relace a pak se přihlásil uživatel, což vedlo k zbytečnému plýtvání prostředků serveru (uživateli se nemuselo podařit se vůbec přihlásit) a zvyšovalo riziko DoS útoků (útočník mohl vytvořit tisíce relací, aniž by se musel přihlásit). NLA je podporováno od RDC 6.0 (Windows Vista) a systém musí podporovat protokol CredSSP (poskytuje SSO). Ve všech dnes podporovaných verzích Windows je NLA k dispozici a standardně vyžadováno; vypnout je nutné jen pro staré klienty třetích stran. Historie: Windows XP SP3 uměl NLA jen po ruční konfiguraci (CredSSP se musel zapnout v registru). Microsoft: „Windows Home editions can't serve as Remote Desktop hosts, though they can be used as clients.“ Povolení vzdálené plochy otevírá port do místní sítě – povolovat jen v důvěryhodných sítích; pro přístup zvenčí VPN nebo RD Gateway (L11). Zdroj: https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/remote-desktop-allow-access

Postup odpovídá Lab 04 v E03 (Settings > System > Remote Desktop; klasický dialog SystemPropertiesRemote.exe; klient mstsc.exe). Přesné české řetězce přepínačů v Nastavení se mezi verzemi mírně liší – anglicky „Enable Remote Desktop“, „Require devices to use Network Level Authentication to connect (Recommended)“, „Remote Desktop users“. Klíč fDenyTSConnections = 0 povoluje připojení; NLA řídí hodnota UserAuthentication v HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. Na českých Windows se skupina pravidel jmenuje „Vzdálená plocha“ (jazykově nezávisle -Group "@FirewallAPI.dll,-28752"). Zdroj: https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/remote-desktop-allow-access

Microsoft (Windows App overview, 7/2026): „Remote PC connections are in preview on Windows. To connect to a remote PC using a generally available application, continue to use the Remote Desktop Connection app that comes with Windows (also known as MSTSC).“ Pro Remote Desktop Services na Windows se dál používá klient Remote Desktop (MSI). Přihlášení do Windows App vyžaduje pracovní/školní účet; k vzdálenému PC se lze připojit i bez přihlášení. Aplikace „Remote Desktop“ z Microsoft Store přestala být podporována 27. 5. 2025 (připojení k Windows 365/AVD/Dev Box z ní jsou blokována). Konec podpory samostatného klienta Remote Desktop (MSRDC, MSI) 27. 3. 2026 podle blogu Windows IT Pro „Prepare for the Remote Desktop client for Windows end of support“. Zdroj: https://techcommunity.microsoft.com/blog/windows-itpro-blog/prepare-for-the-remote-desktop-client-for-windows-end-of-support/4397724 Bez Entra ověření lze k Entra-joined počítači přistupovat i heslem ve tvaru AzureAD\uzivatel@domena (klient Windows 10 1607+ ve stejném tenantu). Uzamčení relace s Entra tokenem relaci odpojí (zámek obrazovky nepodporuje Entra ověření). Zdroj: https://learn.microsoft.com/en-us/windows-app/overview Zdroj: https://learn.microsoft.com/en-us/windows/client-management/client-tools/connect-to-remote-aadj-pc Zdroj: https://techcommunity.microsoft.com/blog/windows-itpro-blog/windows-app-to-replace-remote-desktop-app-for-windows/4390893

Vlevo klient Připojení ke vzdálené ploše (mstsc.exe) na W11-1 s rozbalenými možnostmi (Zobrazit možnosti) a cílem W11-2 – karty Obecné, Obrazovka, Místní prostředky, Výkon, Upřesnit (zde ověřování serveru, RD Gateway a přihlášení webovým účtem Entra ID; karta Programy z Windows 8 už není). Vpravo klasický dialog Vlastnosti systému > Vzdálený přístup (SystemPropertiesRemote.exe) na W11-2 po povolení Vzdálené plochy s ověřováním na úrovni sítě (E03, Lab 04) – části Vzdálená pomoc a Vzdálená plocha. Oba snímky jsou z Windows 11 24H2. Historie: Windows 8 přinesl vedle mstsc i dotykového klienta pro Modern UI, Windows 10 aplikaci Vzdálená plocha ze Store (ukončena 2025) – nástupcem je Windows App.

Vzdálené přihlášení (přihlášení na daný počítač z jiného počítače nebo zařízení) je možné pouze u edicí Pro a vyšších, ale přihlašovat se lze z jakékoliv edice. Klient vzdálené plochy je k dispozici ve všech edicích Windows, ovšem server vzdálené plochy (potřebný pro vzdálené přihlášení) chybí v edici Home. Uživatelé vzdálené plochy (Remote Desktop Users) se mohou vzdáleně přihlašovat, jelikož mají přiřazeno uživatelské právo „Povolit přihlášení prostřednictvím Vzdálené plochy“ v zásadách zabezpečení. Zákaz prázdných hesel vychází ze zásady „Účty: Omezit používání prázdných hesel místních účtů jen na přihlášení ke konzole“ (výchozí Povoleno). Přihlášení bez hesla přes RDP je možné jen s Windows Hello for Business (certificate trust, nebo key trust s certifikátem pro RDP) či čipovou kartou. Skupina Entra ID přidaná do Remote Desktop Users není při RDP přihlášení respektována – nutno přidat konkrétní uživatele, nebo řešit zásadou. Zdroj: https://learn.microsoft.com/en-us/windows/client-management/client-tools/connect-to-remote-aadj-pc Zdroj: https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/remote-desktop-allow-access

Aktuálně přihlášený uživatel má 30 sekund na povolení nebo zamítnutí vzdáleného připojení, po 30 sekundách je vzdálené připojení automaticky povoleno. Chování je ve Windows 11 stejné jako v předchozích verzích (Lab 04 v E03: po připojení z W11-2 je relace na W11-1 přerušena).

Nastavení v mstsc na záložce Místní prostředky (Vzdálený zvuk, Klávesnice, Místní zařízení a prostředky > Další…). Přesměrování lze na hostiteli omezit zásadami (Služba Vzdálená plocha > Hostitel relace > Přesměrování zařízení a prostředků) nebo v Intune; ve Windows App je matice podporovaných přesměrování podle platformy v dokumentaci. Zdroj: https://learn.microsoft.com/en-us/windows-app/compare-platforms-features

Remote Credential Guard: „Credentials aren't sent to the remote host“, útočník na kompromitovaném hostiteli může jednat jménem uživatele jen po dobu relace. Vyžaduje Kerberos (bez NTLM fallbacku), hostitele v doméně AD (ne Entra-joined) a zásadu „Remote host allows delegation of nonexportable credentials“ na hostiteli. Pro helpdesk Microsoft doporučuje Restricted Admin (/RestrictedAdmin), protože RDP relace na už kompromitovaného klienta by útočníkovi umožnila zneužít otevřený kanál. Podmíněný přístup Entra ID se aplikuje na aplikaci Microsoft Remote Desktop (a4a365df-50f1-4397-bc59-1a1564b8bb9c). Zdroj: https://learn.microsoft.com/en-us/windows/security/identity-protection/remote-credential-guard Zdroj: https://learn.microsoft.com/en-us/windows/client-management/client-tools/connect-to-remote-aadj-pc

Vzdálená pomoc systému Windows není v oficiálním seznamu zastaralých ani odstraněných funkcí (stav 8/2026), ale Microsoft ji od Windows 10 1607 skryl z nabídky Start a pro běžnou podporu doporučuje Rychlou pomoc; ve firemním prostředí Remote Help. V E03 (Lab 05) se msra stále používá – na Windows 11 24H2 se objevily hlášené problémy s DCOM (událost 10006) mezi doménovými počítači bez oficiální opravy. Snadné připojení stavělo na protokolu PNRP; cloudová služba PNRP byla vypnuta ve Windows 10 1809 a odpovídající API odstraněna ve Windows 11 24H2 (náhrada pro discovery: DNS-SD, mDNS). Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/removed-features Zdroj: https://learn.microsoft.com/en-us/windows/client-management/client-tools/quick-assist Zdroj: https://learn.microsoft.com/en-us/answers/questions/4374902/remote-assistance-(msra)-fails-after-upgrade-to-wi

Vzdálená pomoc je legacy nástroj – na Windows 11 funguje, ale není v nabídce Start (spouští se msra.exe nebo hledáním „Vzdálená pomoc“). V doméně lze zásadami skupiny povolit nabízenou pomoc (Offer Remote Assistance) bez pozvánky – nad relací má stále kontrolu uživatel. Pozvánka je XML soubor .msrcIncident chráněný 12místným heslem (Lab 05 v E03). Přepínače: msra /novice (žádost o pomoc), msra /expert (nabídnutí pomoci), msra /offerRA <počítač>, msra /saveasfile <soubor> <heslo>. Pro pomoc přes internet a pro počítače mimo doménu použít Rychlou pomoc. Od Windows Vista/7 si msra otevírá posluchač na náhodném portu z dynamického rozsahu (49152–65535); port nelze nastavit a v pozvánce .msrcIncident je v RCTICKET dvojice IP:port. Firewall proto řeší skupina pravidel Vzdálená pomoc (program msra.exe), ne otevření 3389. Zdroj: https://learn.microsoft.com/en-us/archive/blogs/csstwplatform/windows-7vista-can-i-change-the-default-listening-port-of-remote-assistance

Vlevo okno Vzdálené pomoci systému Windows (Windows 11 24H2, msra.exe /saveasfile na stanici W11-1) po vystavení pozvánky – aplikace se od Windows 7 vzhledově nezměnila; po připojení pomocníka a odsouhlasení se ve stejném okně objeví stav „Pomocník sdílí ovládání počítače“ a tlačítka Ukončit sdílení / Pozastavit / Chatovat. Relaci mezi dvěma stanicemi (pozvánka souborem, /offerRA) předvést živě. Vpravo úvodní obrazovka Rychlé pomoci (Quick Assist) ve Windows 11 24H2: Získat pomoc (zadání bezpečnostního kódu) / Pomoci někomu (přihlášení pomocníka) – nástupce Vzdálené pomoci, podrobně na snímku 38.

Snadné připojení používalo PNRP a IPv6 (Teredo) k nalezení druhého počítače podle hesla; obě technologie jsou dnes vypnuty/odstraněny, takže volba v průvodci buď chybí, nebo hlásí, že není k dispozici. Náhradou pro pomoc přes internet je Rychlá pomoc (kód místo pozvánky). Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/removed-features

Odpovídá Lab 05 v E03: pomáhající nejprve jen sleduje (read-only), tlačítkem Request control žádá o ovládání; lokální uživatel může povolit převzetí kontroly bez možnosti odpovídat na výzvy UAC – pak se při pokusu o zvýšení oprávnění obrazovka pomáhajícímu ztmaví, než lokální uživatel výzvu potvrdí.

Quick Assist: „The helper must have a Microsoft account. The sharer doesn't have to authenticate.“ Ověření helpera pomocí MSA nebo Microsoft Entra ID, lokální AD účet nelze použít. Komunikace přes port 443 na https://remoteassistance.support.services.microsoft.com (RDP přes RDP Relay), šifrováno TLS 1.2; je nutná dostupnost dalších endpointů Microsoftu (*.support.services.microsoft.com, login.microsoftonline.com, *.skype.com pro chat). Microsoft neukládá obsah relace, jen metadata (začátek, konec, chyby, použité funkce) na max. 3 dny. Na Windows 10 vyžaduje WebView2 (ve Windows 11 vestavěné). Ve firmě s vlastním nástrojem podpory Microsoft doporučuje Rychlou pomoc zakázat (blokování endpointu nebo odinstalace balíčku MicrosoftCorporationII.QuickAssist), aby ji nemohli zneužít útočníci vydávající se za podporu. Zdroj: https://learn.microsoft.com/en-us/windows/client-management/client-tools/quick-assist

Remote Help „only works within your organization's tenant“ – nelze pomáhat uživatelům jiné organizace. Oproti Rychlé pomoci přidává vynucení podmíněného přístupu, RBAC, logování a audit, izolaci v rámci tenantu a integraci s Defender for Endpoint; Microsoft proto firmám používajícím Rychlou pomoc v jednom tenantu doporučuje přechod na Remote Help. Elevation na Windows umožňuje pomáhajícímu zadat vlastní přihlašovací údaje do výzvy UAC na zařízení uživatele. Zdroj: https://learn.microsoft.com/en-us/intune/intune-service/fundamentals/remote-help

WinRM je součástí všech podporovaných verzí Windows. Na Windows Serveru (2012 a novější) je služba i naslouchání zapnuto ve výchozím stavu (Server Manager vzdálenou správu vyžaduje), na klientských Windows 11 je služba WinRM nastavena na ruční spuštění a bez listeneru – před použitím je nutná konfigurace (další snímek). Historie: WinRM 3.0 (Windows 8) přinesl robustnější spojení, lepší dodržování WS-Management a více PowerShell relací v jednom procesu; od té doby se verze protokolu nemění. Kerberos umožňuje vzájemné ověření jen v doméně; ve workgroup se počítače přidávají do TrustedHosts (winrm set winrm/config/client '@{TrustedHosts="W11-1,W11-2"}' nebo Set-Item WSMan:\localhost\Client\TrustedHosts) – počítače v seznamu nejsou ověřovány, klient jim může poslat přihlašovací údaje, proto seznam držet co nejkratší. Zdroj: https://learn.microsoft.com/en-us/windows/win32/winrm/installation-and-configuration-for-windows-remote-management

Enable-PSRemoting spouští Set-WSManQuickConfig (start služby WinRM, Automatic, listener na všech IP, výjimka firewallu) a navíc registruje a povoluje konfigurace relací PowerShellu. „PowerShell remoting is enabled by default on Windows Server 2012 and higher.“ Na klientských Windows 11 je nutné spustit ručně. Pokud je některé rozhraní ve Veřejném profilu, cmdlet skončí chybou – řešením je přepnout profil na Privátní (Set-NetConnectionProfile) nebo použít -SkipNetworkProfileCheck (pravidlo jen pro místní podsíť). Port 5986 u HTTPS; listener HTTPS potřebuje certifikát s názvem počítače v místním úložišti. LocalAccountTokenFilterPolicy (HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System, DWORD = 1) vypíná filtrování tokenu UAC pro místní účty přistupující po síti – jinak má i člen Administrators při vzdáleném přístupu jen standardní token. winrm quickconfig ji nastavuje automaticky. Zdroj: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/enable-psremoting?view=powershell-5.1 Zdroj: https://learn.microsoft.com/en-us/windows/win32/winrm/installation-and-configuration-for-windows-remote-management

Příklad: Invoke-Command -ComputerName W11-1 -Credential W11-1\root -ScriptBlock { Get-NetFirewallProfile | Select Name, Enabled }. Ve workgroup (bez Kerberos) musí být cílový počítač v TrustedHosts klienta a používá se ověření Negotiate/NTLM s účtem ve tvaru počítač\uživatel. Historie: PowerShell remoting je k dispozici od Windows PowerShell 2.0 (Windows 7); PowerShell 2.0 byl z Windows 11 24H2 odstraněn (8/2025), na Windows 11 je vždy Windows PowerShell 5.1 a volitelně PowerShell 7. Zdroj: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/enable-psremoting?view=powershell-5.1

Certifikáty se často používají při použití protokolu HTTPS, jelikož ten také vyžaduje certifikáty (pro TLS). Certificate-based ověření lze mapovat jen na místní účty. CredSSP se používá hlavně tehdy, pokud se vykonávané příkazy samy někde přihlašují (např. ke sdílení) – řeší tuto dodatečnou autentizaci (double hop). Bezpečnější alternativou je delegování na základě prostředků (resource-based Kerberos constrained delegation) nebo JEA. NTLM je od 6/2024 deprecated; Negotiate ho použije jen tam, kde Kerberos není možný (workgroup, přístup přes IP adresu). Zdroj: https://learn.microsoft.com/en-us/windows/win32/winrm/installation-and-configuration-for-windows-remote-management Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features

PowerShell 7 je multiplatformní (MIT licence), podpora se řídí životním cyklem .NET: 7.6 LTS (vydán 18. 3. 2026, .NET 10) podporován do 14. 11. 2028; 7.4 LTS do 10. 11. 2026; 7.5 (stable) do 10. 11. 2026. Windows PowerShell 5.1 je součástí Windows a sdílí jeho životní cyklus. SSH remoting: „PowerShell 6 or higher, and SSH must be installed on all computers.“ Ve Windows je nutné použít cestu bez mezer (8.3 název progra~1, nebo symbolický odkaz), protože OpenSSH pro Windows neumí subsystem s mezerou v cestě. Uživatelé mají v relaci stejná oprávnění jako lokálně (správce dostane elevated shell). Zdroj: https://learn.microsoft.com/en-us/powershell/scripting/security/remoting/ssh-remoting-in-powershell Zdroj: https://learn.microsoft.com/en-us/powershell/scripting/install/powershell-support-lifecycle

Microsoft udržuje fork Win32-OpenSSH (PowerShell/openssh-portable); verze vestavěná ve Windows se aktualizuje přes Windows Update a je doporučená. Vestavěná verze v Server 2025 je OpenSSH 9.5p1. „Beginning with Windows Server 2025, OpenSSH is now installed by default.“ – povolení: Server Manager > Local Server > Remote SSH Access > Enabled; po zapnutí je SSHD povolen na výchozím portu 22 pro privátní sítě. Výchozí shell se nastavuje New-ItemProperty -Path "HKLM:\SOFTWARE\OpenSSH" -Name DefaultShell -Value "C:\Program Files\PowerShell\7\pwsh.exe" -PropertyType String -Force (dokumentace „OpenSSH Server configuration for Windows“). Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/openssh/openssh_install_firstuse

„Windows Admin Center runs in a web browser and manages Windows Server 2016 and later, Windows 11, Windows 10, and more through the Windows Admin Center gateway installed on Windows Server or domain-joined Windows 10 or 11. The gateway manages servers by using Remote PowerShell and WMI over WinRM.“ Proto musí být na spravovaných počítačích funkční WinRM (u klientských Windows 11 tedy Enable-PSRemoting). Verze: 2606 je nejnovější GA (2026); 2511 obnovila HA nasazení; 2410 (11/2024) přešla z .NET 4.6.2 na .NET 8. Každá GA verze je podporována 30 dní po vydání následující. Windows Admin Center je také dostupný v Azure portálu pro Azure VM a Arc-enabled servery (správa bez VPN a veřejné IP). Zdroj: https://learn.microsoft.com/en-us/windows-server/manage/windows-admin-center/understand/what-is Zdroj: https://learn.microsoft.com/en-us/windows-server/manage/windows-admin-center/support/release-history

Shrnutí: pro grafickou práci Vzdálená plocha (u vlastního počítače) nebo Rychlá pomoc / Remote Help (u počítače uživatele, který zůstává u klávesnice); pro správu bez GUI PowerShell remoting přes WinRM (doména) nebo SSH (heterogenní prostředí); Windows Admin Center jako webová nadstavba nad WinRM; Intune pro cloudově spravovaná zařízení.