# Microsoft Remote Assistance (MSRA): implementación, configuración y uso mediante GPO y sin GPO - Link: https://binariocero.com/windows/microsoft-remote-assistance-msra-implementacion-configuracion-y-uso-mediante-gpo-y-sin-gpo - Published: 2026-11-14T09:23:15+01:00 - Author: Juan José Fernández Durán ![Loading](https://binariocero.com/wp-content/plugins/page-views-count/ajax-loader- 2x.gif) ## **Introducción** Microsoft Remote Assistance (MSRA) es una herramienta integrada en Windows que permite proporcionar asistencia técnica remota a otro usuario sin necesidad de recurrir a soluciones de terceros. Su principal utilidad en entornos corporativos es permitir que el departamento de IT pueda conectarse a los equipos de los usuarios para diagnosticar incidencias, supervisar el escritorio y, cuando se autorice, tomar el control del equipo para realizar tareas de soporte. Una de sus características más interesantes es la posibilidad de iniciar una sesión de asistencia remota mediante el comando: ```wp-block-code msra /offerra ``` Este comando permite iniciar el procedimiento conocido como **Offer Remote Assistance( Ofrecer asistencia remota)**, mediante el cual un técnico puede solicitar conectarse a un equipo remoto de la organización. A diferencia de otras soluciones de acceso remoto, Microsoft Remote Assistance permite establecer un modelo de asistencia controlado, integrado con Windows y administrado mediante directivas de grupo (GPO). En este artículo veremos: * Qué es MSRA y qué diferencia existe entre sus modalidades. * Cómo habilitarlo y configurarlo mediante GPO. * Cómo implementarlo sin utilizar directivas de grupo. * Cómo utilizar `msra /offerra` para prestar asistencia. * Qué medidas de seguridad debemos aplicar. * Cómo relacionar su implementación con los controles de ISO/IEC 27001. ## **¿Qué es MSRA y cómo funciona?** Microsoft Remote Assistance es una funcionalidad de Windows diseñada para permitir que una persona ayude a otra de forma remota. Dispone de dos modalidades principales: | Modalidad | Funcionamiento | | Solicited Remote Assistance | El usuario solicita ayuda y autoriza la conexión del técnico. | | Offer Remote Assistance | El técnico inicia la solicitud de asistencia hacia el equipo del usuario. | La diferencia es importante: **Solicited Remote Assistance:** el usuario necesita asistencia y genera una invitación que posteriormente facilita al técnico. **Offer Remote Assistance:** el técnico inicia la conexión hacia el equipo del usuario, siempre que se encuentre configurada la infraestructura y los permisos necesarios. Esta segunda modalidad resulta especialmente interesante para departamentos de soporte técnico que necesitan atender equipos de una red corporativa. ### **El comando msra /offerra** Para iniciar el asistente de asistencia remota en modalidad Offer Remote Assistance, ejecutamos: ```wp-block-code msra /offerra ``` El sistema solicitará identificar el equipo al que queremos ofrecer asistencia. Podemos utilizar el nombre del equipo o su dirección correspondiente, según la resolución de nombres y la configuración de red. Es importante tener presente que ejecutar este comando no habilita por sí solo la asistencia remota. El equipo de destino debe tener configurada previamente la funcionalidad, los permisos y las reglas de firewall necesarias. ## **1. Implementación mediante directivas de grupo (GPO)** La forma más recomendable de desplegar Offer Remote Assistance en una infraestructura corporativa basada en Active Directory es mediante una directiva de grupo. Esto permite centralizar la configuración, definir qué técnicos pueden ofrecer asistencia y aplicar las mismas restricciones a todos los equipos de una unidad organizativa. ### **1.1. Crear la GPO** Desde un controlador de dominio o una máquina con las herramientas RSAT instaladas: 1. Abrimos la consola de administración de directivas de grupo: ```wp-block-code gpmc.msc ``` 2. Creamos una nueva GPO, por ejemplo: ```wp-block-code GPO - Microsoft Remote Assistance ``` 3. Vinculamos la directiva a la unidad organizativa (OU) que contiene los equipos donde queremos habilitar la asistencia remota. 4. Editamos la directiva y accedemos a la siguiente ruta: ```wp-block-code Configuración del equipo └── Directivas └── Plantillas administrativas └── Sistema └── Asistencia remota ``` Encontraremos dos directivas principales: * Configure Offer Remote Assistance. * Configure Solicited Remote Assistance. ### **1.2. Configurar Offer Remote Assistance** Accedemos a: ```wp-block-code Configure Offer Remote Assistance ``` Establecemos la directiva como **Habilitada**. Dentro de sus opciones encontraremos: **Permit remote control of this computer** Disponemos de dos posibilidades: * Allow helpers to only view the computer: permite visualizar el escritorio del usuario sin controlar el equipo. * Allow helpers to remotely control the computer: permite visualizar y controlar el equipo de forma remota. Para un departamento de soporte técnico, podemos habilitar el control remoto, siempre que esté justificado por las necesidades operativas y las políticas de seguridad de la organización. [How to Create GPO of Offer remote assistance (MSRA) by using server 2019 AD? - Microsoft Q&A](https://images.openai.com/static-rsc-4/i9s7QgkjNhWd25V-I5ne_6qr-J6Pa9w1zrWlP6ZsCaRsZChiMOwoPnbYQ5v-BDLIbinzya7Cwh5j9i_YR9OoYL3zqCa51JsKOfRjJuuCTAoMkg-yIl6E0fEZqMG-_38pSENjlLLAvM4uBrZBNb6o5i-u4FWLa-pXwtkYGukB7Lk?purpose=inline) [learn.microsoft.com](https://learn.microsoft.com/en-us/answers/questions/1533219/how-to-create-gpo-of-offer-remote-assistance-%28msra?utm_source=chatgpt.com) ### **1.3. Definir los técnicos autorizados** Este es uno de los puntos más importantes de la configuración. En la misma directiva encontraremos el apartado: ```wp-block-code Helpers ``` Pulsamos el botón **Show** y añadimos los usuarios o grupos de Active Directory que podrán ofrecer asistencia remota. Por ejemplo: ```wp-block-code DOMINIO\GG_IT_Soporte ``` También podemos añadir usuarios individuales: ```wp-block-code DOMINIO\usuario_soporte01 DOMINIO\usuario_soporte02 ``` Mi recomendación es utilizar siempre un grupo de seguridad de Active Directory, en lugar de introducir usuarios individualmente. De esta manera, las altas y bajas del personal de soporte se gestionan desde el grupo, sin necesidad de modificar la GPO. Recomendación Autorizar exclusivamente al grupo de soporte técnico y evitar grupos genéricos como Domain Users o Authenticated Users. ### **3.4. Configurar el firewall de Windows** Para que Offer Remote Assistance funcione correctamente, también debemos permitir las comunicaciones necesarias en el firewall. Microsoft documenta la necesidad de habilitar la excepción de Remote Assistance y contempla TCP 135 para el establecimiento de las comunicaciones RPC en esta modalidad. También intervienen los puertos RPC dinámicos, por lo que no debemos limitar el diagnóstico exclusivamente al puerto 135. Microsoft Learn+1 Podemos configurar el firewall mediante otra directiva: ```wp-block-code Configuración del equipo └── Directivas └── Configuración de Windows └── Configuración de seguridad └── Firewall de Windows Defender └── Reglas de entrada ``` Debemos habilitar las reglas correspondientes a Asistencia remota para el perfil de dominio. También podemos comprobar y habilitar las reglas desde PowerShell: ```wp-block-code Get-NetFirewallRule -DisplayGroup "Remote Assistance" ``` Para habilitarlas: ```wp-block-code Enable-NetFirewallRule -DisplayGroup "Remote Assistance" ``` En instalaciones de Windows en español, el nombre del grupo puede estar localizado como «Asistencia remota». Hay que comprobar el nombre que devuelve el sistema. **Importante:** no debemos abrir RPC ni los puertos dinámicos de RPC hacia Internet. Las comunicaciones deben limitarse a las redes internas y a los equipos autorizados. ### **1.5. Aplicar y comprobar la directiva** Una vez configurada la GPO, podemos forzar su aplicación en los equipos cliente: ```wp-block-code gpupdate /force ``` Para comprobar que se ha aplicado correctamente: ```wp-block-code gpresult /r ``` También podemos generar un informe HTML: ```wp-block-code gpresult /h C:\Temp\GPO-RemoteAssistance.html ``` Y verificar los valores de registro asociados: ```wp-block-code Get-ItemProperty ` "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" ``` Entre los valores que debemos encontrar están: | Valor | Función | | `fAllowUnsolicited` | Habilita Offer Remote Assistance. | | `fAllowUnsolicitedFullControl` | Determina si se permite el control remoto. | La lista de técnicos autorizados se almacena adicionalmente en la subclave `RAUnsolicit`. ## **2. Implementación sin GPO** En entornos donde no disponemos de Active Directory, o donde no queremos utilizar directivas de grupo, también podemos configurar Microsoft Remote Assistance localmente. Tenemos dos alternativas: utilizar la configuración local de Windows o aplicar los parámetros mediante el registro. ### **2.1. Configuración desde las propiedades del sistema** En primer lugar, abrimos las propiedades avanzadas del sistema: ```wp-block-code SystemPropertiesRemote.exe ``` También podemos utilizar: ```wp-block-code sysdm.cpl ``` Accedemos a la pestaña **Acceso remoto** y encontramos el apartado correspondiente a Asistencia remota. Activamos: ```wp-block-code Permitir conexiones de Asistencia remota a este equipo ``` Desde las opciones avanzadas podemos configurar aspectos relacionados con las invitaciones de asistencia remota. [How to Enable and Set up Remote Assistance Connection in Windows 11?](https://images.openai.com/static-rsc-4/o5ZlLPHLM6fVMItlO0u08M7xDXKTas4VA4EdezmxZ8X21VIOD-5z9_G5ZV8rEp_YNxmm6aSxak-W6nwJQMX6_-kIhphH3tWnUqG4IwlBPe8Uym-X1NmJ2nVah3KuGBM-ntHdii6DxuC8n_lYWy3TzoZG86t0vSt_epF3pGqH6H8?purpose=inline) [technig.com](https://www.technig.com/enable-remote-assistance-and-set-up-connection-in-windows-11/?utm_source=chatgpt.com) Hay que tener en cuenta que esta interfaz está orientada principalmente a la asistencia solicitada por el usuario. Para configurar correctamente Offer Remote Assistance con una lista de técnicos autorizados, necesitamos establecer también la política correspondiente. ### **2.2. Configuración mediante el registro de Windows** Otra posibilidad es configurar directamente los valores de registro. Abrimos PowerShell como administrador y ejecutamos: ```wp-block-code $Path = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" New-Item -Path $Path -Force | Out-Null # Habilitar Offer Remote Assistance New-ItemProperty ` -Path $Path ` -Name "fAllowUnsolicited" ` -PropertyType DWord ` -Value 1 ` -Force # Permitir control remoto New-ItemProperty ` -Path $Path ` -Name "fAllowUnsolicitedFullControl" ` -PropertyType DWord ` -Value 1 ` -Force ``` Los valores utilizados son: | Valor | Resultado | | `fAllowUnsolicited = 1` | Habilita Offer Remote Assistance. | | `fAllowUnsolicited = 0` | Deshabilita Offer Remote Assistance. | | `fAllowUnsolicitedFullControl = 1` | Permite control remoto. | | `fAllowUnsolicitedFullControl = 0` | Permite únicamente visualizar. | **Atención:** estos valores no sustituyen la configuración de la lista de ayudantes autorizados. Debemos configurar también la subclave `RAUnsolicit` con los técnicos o grupos permitidos. No es recomendable habilitar Offer Remote Assistance sin esa lista de autorización. La documentación de Microsoft describe la estructura de esta política y la lista de ayudantes. Microsoft Learn+1 ### **2.3. Habilitar el firewall desde PowerShell** Podemos habilitar las reglas de entrada de Asistencia remota con: ```wp-block-code Enable-NetFirewallRule -DisplayGroup "Remote Assistance" ``` Si el sistema está en español, primero debemos identificar el nombre del grupo: ```wp-block-code Get-NetFirewallRule | Where-Object { $_.DisplayGroup -match "Asistencia remota|Remote Assistance" } | Select-Object DisplayName, DisplayGroup, Enabled, Profile ``` Es recomendable limitar las reglas al perfil de dominio o a los perfiles privados que correspondan a la arquitectura de red. ### 2**.4. Comprobación de la configuración** Podemos verificar los parámetros configurados mediante: ```wp-block-code Get-ItemProperty ` "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" | Select-Object fAllowUnsolicited, fAllowUnsolicitedFullControl ``` Y comprobar que las reglas de firewall están habilitadas: ```wp-block-code Get-NetFirewallRule -DisplayGroup "Remote Assistance" | Select-Object DisplayName, Enabled, Profile ``` Si la configuración es correcta, el equipo estará preparado para recibir solicitudes de asistencia de los técnicos autorizados, siempre que también se cumplan los requisitos de conectividad y permisos. **Nota:** si el equipo pertenece a un dominio, una GPO de dominio puede sobrescribir la configuración local. Para evitar inconsistencias, conviene comprobar siempre el resultado efectivo de las directivas. ## **3. Cómo utilizar MSRA / Offer Remote Assistance** Una vez desplegada la configuración, podemos empezar a utilizar la herramienta. El proceso es sencillo y no requiere instalar aplicaciones adicionales. ### **3.1. Desde el equipo del técnico** El técnico abre una consola CMD o PowerShell y ejecuta: ```wp-block-code msra /offerra ``` Se abrirá el asistente de Microsoft Remote Assistance. [Connecting to Another PC with Windows Remote Assistance (part 3) - Windows 7 - tutorial.wmlcloud.com](https://images.openai.com/static-rsc-4/YrphdzUbw1ptjOFK-kCiQZqvXd59ZLVQVJH--I9mQ5ENP5oLIWOinDSEXH17C7Ff9t_KOhtfYhu93rNIY8wYnobItjwafOEqsMPAR3oNIwzlDdo8lqRImTimCSvaVdpJ_ihik9GuJ1Y02UTTnw-kFPyGgX9RZ4I_NXuspgIJJ8U?purpose=inline) [tutorial.wmlcloud.com](https://tutorial.wmlcloud.com/windows_7/connecting-to-another-pc-with-windows-remote-assistance-%28part-3%29.aspx?utm_source=chatgpt.com) En la ventana correspondiente introducimos el nombre del equipo al que queremos conectarnos. Por ejemplo: ```wp-block-code PC-USUARIO-001 ``` También podemos utilizar el nombre DNS completo: ```wp-block-code PC-USUARIO-001.dominio.local ``` Pulsamos para continuar y se iniciará el intento de conexión. ### **3.2. Desde el equipo del usuario** El equipo de destino recibirá una solicitud de asistencia remota. En función de la configuración aplicada y de la modalidad de asistencia, el usuario podrá visualizar la solicitud y aceptar la conexión. Cuando se autorice la sesión, el técnico podrá visualizar el escritorio y, si la política lo permite, solicitar el control remoto. ### **3.3. Control del equipo remoto** Durante la sesión, el técnico puede: * Visualizar el escritorio del usuario. * Identificar errores y problemas de configuración. * Guiar al usuario durante una intervención. * Solicitar el control remoto cuando esté permitido. * Ejecutar tareas de diagnóstico y soporte. * Finalizar la sesión cuando termine la intervención. La diferencia entre visualizar y controlar es especialmente importante desde el punto de vista de seguridad. No todas las intervenciones requieren controlar el equipo. Por eso, es recomendable aplicar el principio de mínimo privilegio. ### **3.4. Finalizar la sesión** Cuando finalice la intervención, el técnico debe cerrar la sesión de asistencia remota. También es recomendable registrar la intervención en el sistema de gestión de incidencias, indicando: * Usuario afectado. * Equipo al que se ha accedido. * Técnico responsable. * Fecha y hora. * Motivo de la conexión. * Operaciones realizadas. * Resultado de la intervención. Esto permite disponer de trazabilidad sobre las conexiones realizadas. ## **Seguridad y buenas prácticas de implementación** Aunque Microsoft Remote Assistance es una herramienta integrada en Windows, su utilización debe estar sujeta a controles de seguridad. Habilitar el acceso remoto sin establecer restricciones puede convertirse en un riesgo para la organización. Estas son las medidas que recomiendo aplicar: | Medida | Recomendación | | Control de acceso | Autorizar únicamente grupos específicos de soporte. | | Mínimo privilegio | Utilizar visualización cuando no sea necesario controlar el equipo. | | Firewall | Permitir comunicaciones exclusivamente desde redes autorizadas. | | Segmentación | Limitar el acceso a los segmentos de red corporativos. | | Trazabilidad | Registrar las intervenciones y sus responsables. | | Gestión de usuarios | Revisar periódicamente los técnicos autorizados. | | Auditoría | Comprobar las directivas y configuraciones aplicadas. | | Gestión de incidencias | Asociar cada intervención a un ticket o solicitud. | También debemos tener en cuenta que MSRA no es una herramienta de gestión de privilegios. Que un técnico esté autorizado para ofrecer asistencia no significa que deba disponer automáticamente de permisos administrativos sobre el equipo. Los permisos del técnico durante la intervención dependerán también de los privilegios de su cuenta y de los mecanismos de elevación de Windows. ### **Riesgos de habilitar Offer Remote Assistance indiscriminadamente** Existe un riesgo importante cuando se permite que cualquier usuario pueda ofrecer asistencia remota. Un atacante que consiga utilizar una cuenta autorizada podría intentar iniciar conexiones hacia otros equipos de la organización. Además, un usuario podría aceptar una solicitud de asistencia que no esperaba. Por este motivo, algunas recomendaciones de endurecimiento de Windows, como CIS Benchmark, aconsejan mantener deshabilitada la modalidad Offer Remote Assistance cuando no exista una necesidad empresarial justificada. Tenable®+1 La decisión de habilitarla debe responder a un análisis de riesgos y a una necesidad operativa real. ## **Relación con ISO/IEC 27001:2022** La implementación de Microsoft Remote Assistance puede contribuir al cumplimiento de diferentes controles de seguridad contemplados en la norma ISO/IEC 27001:2022. Es importante aclarar que **utilizar MSRA no supone cumplir automáticamente con ISO 27001**. La norma establece un sistema de gestión de seguridad de la información (SGSI), y las herramientas tecnológicas son únicamente una parte de los mecanismos utilizados para implantar los controles definidos por la organización. En este caso, MSRA puede servir como mecanismo técnico para aplicar determinados controles del Anexo A. ### **Controles relacionados** | Control ISO 27001:2022 | Descripción | Aplicación en MSRA | | A.5.15 | Control de acceso | Restricción de los técnicos autorizados para ofrecer asistencia. | | A.5.16 | Gestión de identidades | Utilización de cuentas y grupos corporativos de Active Directory. | | A.5.18 | Derechos de acceso | Asignación y revisión de permisos de los técnicos. | | A.8.2 | Derechos de acceso privilegiado | Separación entre asistencia técnica y privilegios administrativos. | | A.8.9 | Gestión de la configuración | Configuración centralizada mediante GPO. | | A.8.15 | Registro de eventos | Conservación de evidencias de las intervenciones. | | A.8.16 | Actividades de monitorización | Supervisión de conexiones y actividades anómalas. | | A.8.20 | Seguridad de las redes | Restricción de comunicaciones mediante firewall. | | A.8.22 | Segregación de redes | Limitación de las conexiones a segmentos autorizados. | Estos controles permiten justificar diferentes medidas técnicas y organizativas relacionadas con el uso de asistencia remota. Empowering Assurance Services+2 ### **¿Qué evidencias podemos presentar en una auditoría?** Si queremos justificar ante un auditor la implementación de MSRA, no es suficiente con mostrar que el comando `msra /offerra` funciona. Debemos poder demostrar que existe un procedimiento controlado para su utilización. Algunas evidencias que podemos aportar son: **1. Política de acceso** * Relación de grupos autorizados. * Justificación de los permisos concedidos. * Procedimiento de alta y baja de técnicos. **2. Configuración técnica** * Capturas de la GPO aplicada. * Exportación de las directivas mediante `gpresult`. * Configuración del firewall. * Evidencias de los valores de registro. * Relación de equipos donde está habilitada la funcionalidad. **3. Registro de intervenciones** * Identificación del técnico. * Identificación del equipo remoto. * Fecha y hora de la conexión. * Motivo de la intervención. * Resultado de la asistencia. **4. Revisión periódica** * Comprobación de los usuarios autorizados. * Revisión de los permisos. * Verificación de las reglas del firewall. * Comprobación de que la herramienta sigue siendo necesaria. **5. Gestión de riesgos** * Identificación de los riesgos asociados al acceso remoto. * Medidas para reducirlos. * Justificación de la modalidad de asistencia elegida. ### **Una consideración importante sobre la trazabilidad** MSRA no debe confundirse con una plataforma completa de auditoría de sesiones. Aunque Windows permite configurar el registro de sesiones de Remote Assistance mediante la política `Turn on session logging`, estos registros no sustituyen necesariamente un sistema centralizado de auditoría ni proporcionan por sí solos una grabación íntegra de todas las acciones realizadas por el técnico. Microsoft Learn Para entornos con requisitos elevados de trazabilidad, conviene complementar MSRA con: * Sistema de gestión de incidencias. * Centralización de eventos mediante Windows Event Forwarding o SIEM. * Auditoría de cuentas privilegiadas. * Procedimientos documentados de acceso remoto. ## **Conclusión** Microsoft Remote Assistance mediante Offer Remote Assistance es una alternativa interesante para proporcionar soporte técnico remoto en entornos Windows. Su integración con Active Directory, la posibilidad de definir grupos de técnicos autorizados y la administración mediante GPO permiten establecer un modelo de asistencia centralizado y controlado. La ejecución del comando: ```wp-block-code msra /offerra ``` simplifica el trabajo del departamento de soporte, evitando que el usuario tenga que generar manualmente una invitación en cada intervención. Sin embargo, su implantación debe acompañarse de controles de acceso, restricciones de firewall, procedimientos de intervención y mecanismos de trazabilidad. Desde el punto de vista de ISO/IEC 27001:2022, MSRA puede contribuir a la aplicación de controles relacionados con el acceso, la gestión de privilegios, la configuración segura, la monitorización y la seguridad de las redes. La clave no está simplemente en habilitar la herramienta, sino en garantizar que cada conexión remota esté autorizada, justificada y sometida a un procedimiento de control. ## **Consideraciones finales y compatibilidad** Antes de desplegar MSRA de forma generalizada, recomiendo realizar una prueba piloto con varios equipos y comprobar: * Que los equipos resuelven correctamente sus nombres DNS. * Que existe conectividad entre el técnico y el equipo de destino. * Que las reglas RPC del firewall permiten la comunicación. * Que únicamente los técnicos incluidos en la lista de ayudantes pueden ofrecer asistencia. * Que el usuario recibe la solicitud y puede controlar su aceptación. * Que las intervenciones quedan documentadas. También conviene distinguir MSRA de otras herramientas como Quick Assist y Remote Help. Son soluciones diferentes, con modelos de autenticación, conectividad y administración distintos. No debemos asumir que una configuración de MSRA es aplicable a ellas. ## **10. Documentación de referencia** Para ampliar la información y consultar la documentación técnica original: 1. [Microsoft Learn – RemoteAssistance Policy CSP](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-remoteassistance?utm_source=chatgpt.com). Configuración de las políticas de asistencia remota y sus valores de registro. 2. [Microsoft Learn – Microsoft-Windows-RemoteAssistance-Exe](https://learn.microsoft.com/es-es/windows-hardware/customize/desktop/unattend/microsoft-windows-remoteassistance-exe?utm_source=chatgpt.com). Configuración de Windows y firewall para asistencia remota. 3. [Microsoft Learn – Registro de sesiones de Remote Assistance](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-remoteassistance?utm_source=chatgpt.com). Configuración de logging. 4. [CIS Benchmark – Configure Offer Remote Assistance](https://www.tenable.com/audits/items/CIS_Microsoft_Windows_11_Stand-alone_v5.0.0_L1.audit%3A81d32db9a7629df4594f661f8e84138a?utm_source=chatgpt.com). Recomendaciones de endurecimiento de Windows. 5. [ISO/IEC 27001:2022 – Anexo A](https://www.eascertification.com/wp-content/uploads/2024/01/ISO-IEC-27001-2022.pdf?utm_source=chatgpt.com). Referencia de controles de seguridad de la información.