فرض کنید ساعت ۲ بامداد است و یک سرور شعبه، سیستم صندوق فروش یا کامپیوتری که برای پردازش شبانه استفاده می‌شود دچار مشکل شده است. هیچ کاربری پشت سیستم نیست که درخواست اتصال را تأیید کند، اما تیم IT باید همان لحظه وارد شود، وضعیت سرویس‌ها را ببیند، Process مشکل‌دار را متوقف کند، فایل لازم را منتقل کند یا دستگاه را Restart کند.

در چنین سناریویی، مدل معمول Remote Support که به حضور کاربر وابسته است کافی نیست. چیزی که نیاز دارید Unattended Remote Access است: دسترسی کنترل‌شده و از پیش تعریف‌شده به Endpointهایی که ممکن است در زمان پشتیبانی هیچ کاربری مقابل آن‌ها نباشد.

ManageEngine Remote Access Plus این مدل را برای Windows، macOS و Linux ارائه می‌کند و در نسخه On-Premises، Remote Control برای Android را نیز پوشش می‌دهد. اما ارزش واقعی این قابلیت زمانی مشخص می‌شود که دسترسی بدون حضور کاربر با کنترل‌های امنیتی، ثبت Session، محدودیت Scope و فرآیند پشتیبانی سازمانی ترکیب شود؛ نه اینکه فقط «ریموت شدن» را ساده‌تر کند.

برای معرفی کلی محصول و قابلیت‌های اصلی می‌توانید صفحه Remote Access Plus در مدانت را ببینید. این راهنما روی یک سناریوی مشخص‌تر تمرکز دارد: چطور Unattended Access را طوری پیاده کنیم که سریع باشد، اما تبدیل به یک Backdoor دائمی برای تیم IT نشود.

Unattended Remote Access دقیقاً چیست؟

در Remote Support معمولی، Technician برای اتصال به سیستم کاربر معمولاً نیاز دارد کاربر حضور داشته باشد یا Session را تأیید کند. این مدل برای Help Desk و پشتیبانی روزمره مناسب است، چون End User می‌داند چه زمانی فرد دیگری وارد سیستم شده است.

اما بعضی Endpointها ماهیتاً بدون کاربر هستند یا ممکن است خارج از ساعت کاری نیاز به پشتیبانی داشته باشند؛ مثل:

• سرورهای شعب و Remote Officeها؛
• سیستم‌های Kiosk و Digital Signage؛
• POS و سیستم‌های فروشگاهی؛
• کامپیوترهای آزمایشگاه یا کلاس‌های آموزشی؛
• ایستگاه‌های کاری صنعتی؛
• سیستم‌های Backup یا Batch Processing؛
• Endpointهای مدیران که خارج از ساعت کاری نیاز به Maintenance دارند.

در این حالت Agent از قبل روی سیستم نصب می‌شود و Remote Access Plus اجازه می‌دهد Technician مجاز بدون حضور فیزیکی کاربر به دستگاه متصل شود. خود ManageEngine در مستند رسمی Unattended Remote Access توضیح می‌دهد که Agent باید روی سیستم مقصد نصب باشد و برای Endpoint خاموش نیز می‌توان از Wake on LAN استفاده کرد تا دستگاه ابتدا روشن و سپس Session برقرار شود.

تفاوت Attended و Unattended Access چیست؟

اشتباه رایج این است که Unattended Access را فقط یک Feature راحتی بدانیم. در واقع از دید امنیتی، شما در حال ایجاد مسیری هستید که بدون تأیید لحظه‌ای کاربر می‌تواند به یک Endpoint دسترسی سطح بالا بدهد. بنابراین طراحی آن باید به اندازه طراحی حساب Administrator جدی گرفته شود.

معماری Remote Access Plus برای اتصال از راه دور چطور کار می‌کند؟

Remote Access Plus از یک Server مرکزی، Agentهای Endpoint و Web Console برای Technicianها استفاده می‌کند. طبق مستندات رسمی، Remote Control از HTML5 Viewer استفاده می‌کند و در سناریوهای معمول، TCP 8443 برای Secure Remote Connection و TCP 8444 برای Remote Connection استفاده می‌شود. UDP 8443 نیز می‌تواند برای ارتباط مستقیم Viewer با Agent فعال شود، در حالی که Initial Handshake از طریق Server انجام می‌شود.

این معماری یک مزیت مهم نسبت به باز کردن مستقیم RDP روی اینترنت دارد: Technician لازم نیست برای هر Endpoint یک Port عمومی باز کند. ارتباط از مسیر مدیریت‌شده محصول انجام می‌شود و Policy، Audit و کنترل دسترسی در یک نقطه متمرکز می‌ماند.

چرا نباید RDP را مستقیم روی اینترنت باز کنیم؟

باز کردن مستقیم Remote Desktop روی Public IP، بدون لایه‌های حفاظتی مناسب، سطح حمله را بالا می‌برد. برای سازمانی که ده‌ها یا صدها Endpoint دارد، مدیریت دسترسی از طریق یک Console مرکزی با MFA، Role-Based Access، Session Recording و Agent Security قابل کنترل‌تر است.

هدف Remote Access Plus این نیست که فقط RDP را جایگزین کند؛ هدف ایجاد یک Remote Support Plane متمرکز است.

Agent نقطه اصلی اعتماد در Unattended Access است

برای Remote Troubleshooting، Agent باید روی Endpoint نصب باشد. ManageEngine امکان Automatic Agent Deployment را نیز ارائه می‌کند؛ در Domain یا Workgroup، پس از تعریف Credential مناسب، Agent می‌تواند هنگام اولین Task روی سیستم نصب شود. در Windows این فرآیند می‌تواند از طریق Scope of Management انجام شود و برای Mac/Linux نیز بسته به روش Deployment به Credential مناسب نیاز است.

از دید امنیتی، این یعنی Agent فقط یک ابزار ارتباطی نیست؛ بخشی از Trust Boundary سازمان است. بنابراین باید برای آن Policy مشخص داشته باشید:

• کاربر عادی نتواند Agent را متوقف کند؛
• امکان Uninstall بدون مجوز محدود شود؛
• Agentهای جدید با فرآیند Approval معتبر وارد Scope شوند؛
• Agentهای Stale و سیستم‌های خارج‌شده از سازمان از Inventory حذف شوند؛
• Version و Patch Agentها در بازه‌های مشخص بررسی شوند.

در توصیه‌های Security Hardening رسمی Remote Access Plus نیز ManageEngine صراحتاً پیشنهاد می‌کند End User از توقف Agent Service یا Uninstall کردن Agent و Distribution Server محدود شود و Trust-Based Agent Approval فعال باشد.

اولین کنترل امنیتی: MFA برای Technicianها

اگر حساب Technician compromise شود و Unattended Access فعال باشد، مهاجم ممکن است بدون نیاز به حضور کاربر به سیستم‌های مهم دسترسی پیدا کند. بنابراین MFA برای حساب‌هایی که Remote Control دارند یک گزینه تجملی نیست.

ManageEngine در Security Recommendations فعلی Remote Access Plus فعال‌سازی Two-Factor Authentication را در کنار HTTPS و غیرفعال کردن Default Admin Account توصیه می‌کند.

در طراحی عملی، بهتر است حداقل این Ruleها را اجرا کنید:

• MFA برای تمام Technicianهای Remote Control اجباری باشد؛
• حساب Shared برای تیم پشتیبانی استفاده نشود؛
• هر Technician حساب مستقل داشته باشد؛
• دسترسی Administrator فقط به افراد ضروری داده شود؛
• حساب Default Admin در صورت امکان Disable یا Replace شود.

دومین کنترل: HTTPS و Certificate معتبر

Remote Access Plus برای Communication امن از HTTPS پشتیبانی می‌کند. مستند Security Hardening پیشنهاد می‌کند علاوه بر فعال کردن Secure Communication برای Central Server، از Third-Party Trusted Certificate استفاده شود.

Self-Signed Certificate برای شروع یا محیط آزمایشی ممکن است قابل قبول باشد، اما در محیط Production بهتر است Certificate معتبر سازمانی یا عمومی استفاده شود تا:

• هویت Server برای Clientها قابل اعتماد باشد؛
• هشدار Certificate Error کاهش پیدا کند؛
• احتمال Man-in-the-Middle در مسیرهای مدیریت‌شده کمتر شود؛
• Renewal و Expiration Certificate قابل کنترل باشد.

در System Requirements به‌روزشده تا ۳۱ ژوئیه ۲۰۲۶، ManageEngine اعلام کرده Remote Access Plus و Secure Gateway Server از نسخه 11.2.2330.1 به بعد به‌صورت پیش‌فرض TLS 1.2 را پشتیبانی می‌کنند و نسخه‌های قدیمی TLS را می‌توان از Security Settings مدیریت کرد.

سومین کنترل: Secure Agent-Server Communication

امن بودن Login Technician کافی نیست. ارتباط بین Agent و Server و همچنین Remote Control و File Transfer نیز باید امن باشد.

ManageEngine در Hardening Guide توصیه می‌کند این گزینه‌ها فعال باشند:

• Secure Communication for Agents؛
• Secure Remote Control؛
• Secure File Transfer Operations.

این موضوع به‌خصوص وقتی Endpoint خارج از LAN یا در Remote Office قرار دارد اهمیت بیشتری پیدا می‌کند.

User Confirmation را برای همه غیرفعال نکنید

یکی از بدترین میان‌بُرها این است که چون چند Server به Unattended Access نیاز دارند، User Confirmation برای کل سازمان خاموش شود.

Remote Access Plus امکان Prompt کردن کاربر قبل از Remote Session را دارد. طبق مستند رسمی، User می‌تواند درخواست را Accept یا Reject کند و حتی روی سیستم Locked یا Logged-Off نیز پیام Confirmation نمایش داده شود. همچنین Timeout برای پاسخ قابل تعریف است.

مدل بهتر این است:

• Workstation کاربران: User Confirmation فعال و ترجیحاً Permanent باشد؛
• Serverها و Kioskهای واقعی: Unattended Access فقط برای گروه مشخص؛
• سیستم مدیران: تأیید کاربر + Technician با Privilege محدود؛
• Endpointهای حساس: دسترسی فقط برای گروه Security/Infrastructure و با Recording اجباری.

در FAQ رسمی Remote Access Plus نیز امکان «Make user confirmation permanent» ذکر شده است تا Technician نتواند برای Sessionهای کاربرمحور آن را دلخواه خاموش کند.

Session Recording؛ چیزی که Unattended Access را قابل Audit می‌کند

اگر Technician بدون حضور کاربر وارد یک سیستم شود، بعداً باید بتوانیم پاسخ بدهیم:

• چه کسی وارد شد؟
• چه زمانی Session شروع شد؟
• چه عملیات مهمی انجام شد؟
• Session چقدر طول کشید؟
• آیا فایل جابه‌جا شد؟
• آیا Change یا Ticket مرتبط وجود داشت؟

Remote Access Plus قابلیت Recording Session دارد. طبق راهنمای رسمی، Recording می‌تواند برای همه Remote Sessionها فعال شود و فایل‌ها برای Audit و Training استفاده شوند. همچنین امکان محدود کردن Download Recording به کاربر احراز هویت‌شده وجود دارد.

برای Endpointهای حساس بهتر است Recording پیش‌فرض باشد و Retention Policy مشخص داشته باشد. فقط به این دلیل که Video تولید شده، Audit کامل نیست؛ باید بدانید چه مدت نگهداری می‌شود، چه کسی اجازه مشاهده دارد و چه زمانی حذف می‌شود.

Wake on LAN برای Endpoint خاموش

Unattended Access فقط زمانی مفید نیست که سیستم روشن باشد. ManageEngine در سناریوی رسمی Unattended Remote Access امکان Wake on LAN را برای دستگاه‌های خاموش معرفی می‌کند.

این قابلیت برای Maintenance Window بسیار کاربردی است. مثلاً می‌توانید:

1. Endpointهای آزمایشگاه را شب روشن کنید؛
2. Patch یا Software Maintenance انجام دهید؛
3. صحت سرویس را بررسی کنید؛
4. در پایان سیستم‌ها را Remote Shutdown کنید.

این مدل می‌تواند زمان Downtime کاربر را کم کند، چون تیم IT مجبور نیست عملیات نگهداری را در ساعت اداری اجرا کند.

Remote Troubleshooting بدون باز کردن Desktop کامل

یکی از نقاط قوت Remote Access Plus این است که همه عملیات الزاماً به Remote Desktop کامل نیاز ندارند. ابزارهای Remote Troubleshooting می‌توانند بخشی از کار را بدون Session تصویری انجام دهند.

برای مثال از System Manager می‌توان به ابزارهایی مانند:

• Remote Task Manager؛
• Service Management؛
• Remote Command Prompt؛
• Registry؛
• File Manager؛
• Device Manager؛
• Power Options

دسترسی داشت. این موضوع از دید امنیتی هم مفید است؛ چون اگر فقط لازم است یک Service Restart شود، الزاماً نباید Full Desktop Session باز شود.

در مستند رسمی Remote Task Manager، ManageEngine توضیح می‌دهد Technician می‌تواند Processها، Serviceها و Startup Programها را از Console بررسی کند و Process یا Service موردنیاز را Start، Stop یا Kill کند.

Least Privilege را برای Technicianها اجرا کنید

Remote Access Tool نباید همه Technicianها را به Super Admin تبدیل کند.

Remote Access Plus از Role-Based Administration پشتیبانی می‌کند. در طراحی درست باید Scope بر اساس مسئولیت تقسیم شود:

قاعده مهم: Technician باید فقط دستگاه‌هایی را ببیند که واقعاً مسئول پشتیبانی آن‌هاست.

Credentialهای Domain را با دقت مدیریت کنید

برای بعضی عملیات مانند Agent Deployment، Remote Access Plus ممکن است Credentialهای Domain یا Workgroup را نیاز داشته باشد. محصول Credential Manager برای مدیریت مرکزی این Credentialها دارد.

اما اینجا یک نکته مهم وجود دارد: اگر برای سادگی همیشه Domain Admin Credential استفاده شود، سطح ریسک بالا می‌رود. مستند رسمی ManageEngine هم اشاره می‌کند Credentialهای دارای Privilege بالا برای بعضی عملیات استفاده می‌شوند و حذف یا تغییر آن‌ها می‌تواند روی Functionality اثر بگذارد.

در طراحی سازمانی بهتر است:

• Credential اختصاصی برای Deployment داشته باشید؛
• از Shared Personal Account استفاده نکنید؛
• Password Rotation داشته باشید؛
• دسترسی به Credential Manager محدود باشد؛
• در صورت امکان حساب مورد استفاده فقط حداقل Privilege لازم را داشته باشد.

On-Premises یا Cloud؟

Remote Access Plus در مدل On-Premises و Cloud ارائه می‌شود. انتخاب بین این دو فقط موضوع محل نصب نیست؛ معماری امنیت، Connectivity و نگهداری هم متفاوت می‌شود.

انتخاب نهایی باید با Policy امنیت، محل کاربران، شبکه شعب، نیازمندی Data Residency و مدل پشتیبانی سازمان هماهنگ باشد.

Secure Gateway Server چه زمانی مهم می‌شود؟

اگر Endpointها خارج از LAN هستند یا Remote Access از اینترنت انجام می‌شود، معماری DMZ و Gateway اهمیت بیشتری پیدا می‌کند. Remote Access Plus در Editionهای مرتبط امکان Secure Gateway Server را دارد و System Requirements رسمی نیز نیازمندی‌های آن را جداگانه ارائه می‌کند.

هدف این است که Central Server اصلی را بی‌دلیل مستقیماً در معرض اینترنت قرار ندهید و لایه ارتباط Remote Endpointها را کنترل‌شده طراحی کنید.

نسخه و Patch محصول را جدی بگیرید

ابزار Remote Access ذاتاً سطح دسترسی بالایی دارد؛ بنابراین Patch Management خود محصول باید در اولویت باشد.

در Hot Fix Readme فعلی ManageEngine، Build 11.5.2616.19 در ژوئن ۲۰۲۶ منتشر شده و در Buildهای همان ماه Fixهایی برای Remote Control Connectivity، Certificate Chain و Componentهای داخلی ثبت شده است. این عدد را نباید به‌عنوان نسخه دائمی در نظر گرفت؛ قبل از هر Upgrade باید آخرین Build و Advisory رسمی بررسی شود.

قاعده عملی این است که Server و Agentهای Remote Access را مثل Security Infrastructure مدیریت کنید، نه مثل یک Utility عادی.

سناریوی عملی: پشتیبانی شبانه از سیستم شعبه

فرض کنید یک سازمان ۴۰ شعبه دارد و در هر شعبه یک سیستم مرکزی برای سرویس محلی وجود دارد. بعضی اختلال‌ها بعد از ساعت اداری رخ می‌دهند و هیچ کاربری حضور ندارد.

یک طراحی مناسب می‌تواند این باشد:

1. Endpointهای شعبه در Group جداگانه قرار بگیرند.
2. فقط تیم Infrastructure به آن Group Unattended Access داشته باشد.
3. MFA برای Technicianها اجباری باشد.
4. تمام Sessionها Record شوند.
5. Central Server با HTTPS و Certificate معتبر در دسترس باشد.
6. Remote Control و File Transfer Secure Communication داشته باشند.
7. برای Workstation عادی شعبه User Confirmation روشن بماند.
8. هر Session حساس به Ticket یا Change مرتبط شود.
9. Remote Access History به‌صورت دوره‌ای Review شود.

این مدل تفاوت زیادی با این رویکرد دارد که «هرکس رمز دارد هر وقت خواست ریموت شود».

Remote Access Plus در کنار Endpoint Central چه جایگاهی دارد؟

اگر سازمان به Remote Troubleshooting تخصصی نیاز دارد، Remote Access Plus محصول مستقلی برای همین هدف است. اگر علاوه بر Remote Support به Patch Management، Software Deployment، Configuration Management و UEM گسترده نیاز دارید، Endpoint Central می‌تواند Scope بزرگ‌تری پوشش دهد.

در مقاله راهنمای محاسبه لایسنس Endpoint Central توضیح داده‌ایم که انتخاب Edition و تعداد Endpoint/Technician چطور روی طراحی و هزینه اثر می‌گذارد.

برای بسیاری از سازمان‌ها سؤال درست این نیست که «کدام محصول بهتر است؟» بلکه این است که Scope واقعی عملیات Endpoint ما چیست؟

Remote Support را به ITSM وصل کنید

Remote Access وقتی ارزش سازمانی بیشتری پیدا می‌کند که به فرآیند Ticket و Incident وصل باشد.

برای مثال:

1. Incident ثبت می‌شود.
2. Technician بررسی اولیه می‌کند.
3. در صورت نیاز Remote Session ایجاد می‌شود.
4. Session ID یا زمان اتصال در Ticket ثبت می‌شود.
5. اقدام انجام‌شده مستند می‌شود.
6. در صورت تغییر مهم، Change ایجاد می‌شود.

این مدل باعث می‌شود Remote Support از یک فعالیت خارج از کنترل به بخشی از فرآیند قابل Audit تبدیل شود. برای طراحی کامل‌تر Help Desk و فرآیند انتخاب ابزار نیز مقاله راهنمای انتخاب نرم‌افزار تیکتینگ سازمانی می‌تواند مکمل این موضوع باشد.

KPIهای مناسب برای Unattended Remote Support

صرف تعداد Remote Sessionها معیار خوبی برای موفقیت نیست. KPIهای مفیدتر شامل این موارد هستند:

Checklist امنیتی قبل از فعال‌سازی Unattended Access

• MFA برای Technicianها فعال باشد.
• Default Admin Account غیرفعال یا محدود شده باشد.
• HTTPS روی Central Server فعال باشد.
• Certificate معتبر تنظیم شده باشد.
• Secure Agent-Server Communication فعال باشد.
• Secure Remote Control و File Transfer فعال باشد.
• Scope هر Technician محدود شده باشد.
• User Confirmation برای Workstationهای عادی فعال بماند.
• Unattended Access فقط برای Device Groupهای مشخص تعریف شود.
• Session Recording برای سیستم‌های حساس فعال باشد.
• Retention و دسترسی به Recording مشخص باشد.
• Agentهای Stale پاک‌سازی شوند.
• Server و Agentها به آخرین Build امن به‌روزرسانی شوند.
• Remote Sessionهای خارج از ساعت کاری Review شوند.
• هر Session مهم به Ticket یا Change مرتبط شود.

چه سازمان‌هایی بیشترین استفاده را از این قابلیت می‌برند؟

Unattended Access برای هر سازمانی لازم نیست، اما در این محیط‌ها ارزش زیادی دارد:

• سازمان‌های چندشعبه‌ای؛
• Retail و فروشگاه‌های زنجیره‌ای؛
• بانک و شبکه‌های پراکنده؛
• دانشگاه و آزمایشگاه‌های کامپیوتری؛
• کارخانه و محیط صنعتی؛
• شرکت‌های MSP و تیم‌های پشتیبانی مرکزی؛
• سازمان‌هایی با شیفت شب یا 24x7 Operation.

اگر تیم IT هنوز برای حل یک مشکل ساده مجبور است فردی را به شعبه بفرستد، معمولاً Remote Troubleshooting می‌تواند زمان و هزینه عملیاتی را کاهش دهد؛ به شرط اینکه دسترسی درست Governance شود.

لایسنس Remote Access Plus را چطور انتخاب کنیم؟

Remote Access Plus در Editionهای Free، Standard و Professional ارائه می‌شود و قابلیت‌هایی مثل Advanced Remote Control، Session Recording، Wake on LAN، System Tools، Role-Based Administration، 2FA و Secure Gateway بسته به Edition اهمیت پیدا می‌کنند.

برای انتخاب لایسنس فقط تعداد Computer را نبینید. این موارد را هم مشخص کنید:

• تعداد Endpointهای تحت مدیریت؛
• تعداد Technicianها؛
• نیاز به On-Premises یا Cloud؛
• نیاز به Session Recording؛
• نیاز به Secure Gateway؛
• نیاز به Failover؛
• تعداد Remote Officeها و شعب.

برای برآورد متناسب با Scope واقعی می‌توانید از صفحه استعلام قیمت لایسنس محصولات ManageEngine استفاده کنید.

سخن پایانی

Unattended Remote Access زمانی ارزش دارد که تیم IT بتواند بدون انتظار برای حضور کاربر، مشکل یک Endpoint حیاتی را حل کند. اما هرچه دسترسی سریع‌تر و بدون تعامل کاربر شود، اهمیت کنترل‌های امنیتی هم بیشتر می‌شود.

Remote Access Plus ابزارهای لازم را برای این معماری در اختیار سازمان قرار می‌دهد: Agent Management، HTML5 Remote Control، Wake on LAN، System Tools، User Confirmation، MFA، Secure Communication، Session Recording و Role-Based Administration. موفقیت پروژه اما به تنظیم درست این قابلیت‌ها وابسته است.

هدف نهایی این نیست که Technician «هر وقت خواست» به هر سیستم وصل شود. هدف این است که فرد درست، به دستگاه درست، در زمان درست، با سطح دسترسی درست و با Audit کامل متصل شود.

اگر می‌خواهید Remote Access Plus را برای شعب، Help Desk یا تیم زیرساخت سازمان ارزیابی کنید، مدانت خدمات مشاوره، لایسنس، استقرار و پشتیبانی این محصول را ارائه می‌کند. می‌توانید از درخواست دمو و پروپوزال مدانت برای بررسی معماری مناسب استفاده کنید یا برای نگهداری پس از استقرار، برنامه‌های پشتیبانی مدانت را ببینید.

منابع

• ManageEngine Remote Access Plus - Unattended Remote Access
• Remote Access Plus Security Recommendations
• Remote Control Architecture and Ports
• Recording Remote Sessions
• User Confirmation
• Remote Access Plus System Requirements