要彻底禁用windows远程协助与远程控制，需四层协同：①组策略禁用远程协助及未经邀请协助；②禁用rdp连接与客户端；③清空“允许通过远程桌面登录”权限并添加“拒绝”策略；④通过gpo首选项锁定注册表键值并禁用相关防火墙规则。

要通过组策略（gpo）彻底禁用windows系统的远程协助与远程控制功能，关键在于从策略层、服务层、权限层和网络层四方面协同控制。仅关闭图形界面开关或停用单个服务并不足以阻断所有远程接入路径，尤其在域环境中需防止策略被绕过。

禁用远程协助的组策略设置

远程协助由独立策略控制，需在计算机配置中明确关闭：

• 路径：计算机配置 → 管理模板 → 系统 → 远程协助
• 启用策略：“启用远程协助”，并将其设为已禁用（注意：不是“未配置”）
• 同时确认子策略“允许未经邀请的远程协助”也处于已禁用状态
• 该设置会阻止msra.exe运行，并默认不开放TCP 3389端口用于协助连接

禁用远程桌面服务的组策略设置

远程桌面（RDP）是更常被利用的远程控制入口，GPO中需从连接能力与服务承载两层封锁：

Windows-Android_SSH_Remote_Control

通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。

下载

• 路径：计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面会话主机 → 连接
• 启用策略：“禁止使用远程桌面服务连接” → 设为已启用
• 补充路径：计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面连接客户端
• 启用策略：“不允许启动远程桌面连接” → 设为已启用（限制客户端发起）

收紧登录权限与服务访问控制

即使策略关闭，若用户仍保有远程交互登录权限，可能通过其他机制绕过。必须同步清理底层权限：

• 路径：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配
• 修改两项关键策略：
    • “允许通过远程桌面服务登录” → 清空所有用户/组（或仅保留必要管理员）
    • “拒绝通过远程桌面服务登录” → 添加通用组如Users或自定义安全组，确保覆盖终端用户
• 可选加固：在相同路径下检查“从网络访问此计算机”，移除非必需账户，避免成为远程协助提权跳板

配合注册表与防火墙策略增强实效性

GPO本身不直接管理注册表键值或防火墙规则，但可通过“首选项”或登录脚本补位，提升策略落地可靠性：

• 注册表锁定（推荐用GPO首选项部署）：
    路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Remote Assistance
    键值：fAllowToGetHelp = 0
    路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server
    键值：fDenyTSConnections = 1
• 防火墙入站规则（GPO首选项→Windows设置→安全→防火墙规则）：
    禁用所有名称含“Remote Desktop”、“Remote Assistance”、“TermService”的入站规则