远程协助连接失败需依次启用Windows远程协助功能、配置防火墙入站规则（开放3389端口及msra.exe）、确保RemoteRegistry与TermService服务运行、验证3389端口监听状态，并临时禁用第三方安全软件交叉验证。
如果您尝试通过远程协助功能连接另一台电脑，但连接失败并提示错误代码或“无法建立协助会话”，则可能是由于windows防火墙阻止了远程协助所需的通信端口及程序。以下是针对远程协助功能开启对应防火墙端口与规则的具体操作步骤：
一、启用远程协助Windows功能
远程协助依赖系统内置的“远程协助”子功能，该功能默认处于关闭状态。启用后，系统将注册msra.exe协议处理程序，并为后续防火墙规则提供上下文支持。
1、按下Win + R键，输入optionalfeatures.exe，回车打开“Windows功能”窗口。
2、在列表中找到“远程协助”选项，勾选其左侧复选框。
3、取消勾选同级的“远程桌面主机”（除非需同时部署远程桌面服务），避免服务冲突。
4、点击“确定”，等待系统应用更改；如提示重启，选择立即重启。
二、配置专用防火墙入站规则
Windows防火墙默认阻止远程协助使用的TCP 3389端口及msra.exe关联的RPC动态端口范围，需手动创建两条独立入站规则，确保协助请求可被接收并响应。
1、以管理员身份运行PowerShell，执行命令：New-NetFirewallRule -DisplayName "Allow Remote Assistance TCP 3389" -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Allow -Profile Domain,Private。
2、继续执行命令启用RPC端口范围支持：New-NetFirewallRule -DisplayName "Allow Remote Assistance RPC" -Direction Inbound -Program "%SystemRoot%\System32\msra.exe" -Action Allow -Profile Domain,Private。
3、打开“高级安全Windows Defender防火墙”，确认上述两条规则状态为“已启用”，且“配置文件”列显示包含Private。
三、检查远程协助相关服务状态
远程协助功能由RemoteRegistry与TermService两个核心服务支撑，任一服务未运行都将导致连接请求无法响应或认证失败，防火墙放行亦无效。
1、按Win + R，输入services.msc，回车打开服务管理器。
2、定位到“Remote Registry”服务，右键选择“属性”，将“启动类型”设为“自动”，若状态非“正在运行”，点击“启动”按钮。
3、定位到“Remote Desktop Services”（注意名称，非UserMode Port Redirector），同样设为“自动”并确保其状态为“正在运行”。
4、关闭窗口，更改即时生效，无需重启服务。
四、验证远程协助端口监听与进程绑定
防火墙规则启用不等于msra.exe或RDP服务实际监听端口。需直接验证系统是否在3389端口启动了合法监听进程，排除注册表误配或服务劫持可能。
1、以管理员身份运行命令提示符。
2、输入命令：netstat -ano | findstr :3389，回车执行。
3、若返回结果中包含TCP 0.0.0.0:3389 *:* LISTENING，且对应PID在任务管理器中归属svchost.exe或rdpclip.exe，则端口就绪。
4、若无输出，需检查注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp下的PortNumber值是否为3389（十进制），修改后重启Remote Desktop Services服务。
五、临时禁用第三方安全软件进行交叉验证
杀毒软件或终端防护平台（如360EDR、深信服EDR、CrowdStrike）常在系统防火墙之外实施网络层过滤，可能拦截msra.exe出向连接或3389端口入向请求，造成连接超时或拒绝。
1、在目标计算机上，打开第三方安全软件主界面，进入“网络防护”或“防火墙”模块。
2、查找并临时禁用“高级网络过滤”、“驱动级拦截”或“RDP/远程协助协议保护”类策略。
3、保持Windows Defender防火墙规则启用状态，重新发起远程协助请求。
4、若连接成功，说明拦截源为第三方软件，需在其白名单中添加msra.exe及3389端口例外。
