TigerVNC 在 Debian 的权限设置与加固
一 用户与组的权限边界
- 创建专用系统用户和组，遵循最小权限原则，避免直接使用 root 运行 VNC。示例：创建用户 vncuser 与组 vncusers，并将用户加入该组。随后在 systemd 服务里以该用户身份运行，使会话与家目录权限受控。
- 示例命令：
- 创建组与用户：sudo groupadd vncusers；sudo adduser vncuser；sudo usermod -aG vncusers vncuser
- 在 systemd 服务中设置：User=vncuser；Group=vncusers；WorkingDirectory=/home/vncuser
- 家目录与 .vnc 目录权限建议：chmod 700 /home/vncuser；chmod 700 /home/vncuser/.vnc；chown -R vncuser:vncusers /home/vncuser/.vnc
二 服务与认证权限配置
- 使用 vncpasswd 为用户设置 VNC 连接密码（存储在 ~/.vnc/passwd），仅对相应用户有效，属于第一道身份校验。
- 配置 systemd 服务单元（例如：/etc/systemd/system/vncserver@:1.service），要点：
- 以非特权用户运行：User=vncuser；Group=vncusers
- 正确设置 PID 与家目录：PIDFile=/home/vncuser/.vnc/%H:%i.pid；WorkingDirectory=/home/vncuser
- 启动参数示例：/usr/bin/vncserver -depth 24 -geometry 1280x800 :1
- 端口说明：显示号 :1 对应端口 5901/tcp（:2→5902，以此类推）
- 防火墙放行（如使用 ufw）：sudo ufw allow 5901/tcp；如需限制来源可改为 sudo ufw allow from YOUR_SUBNET to any port 5901
三 网络安全与访问控制
- 推荐通过 SSH 隧道访问 VNC，避免直接暴露 5901/tcp 到公网：本地执行 ssh -L 5901:localhost:5901 user@server，客户端连接 localhost:1。如确需开放公网访问，应结合防火墙限制来源 IP，并仅开放必要端口。
- 在 systemd 服务中可显式设置 -localhost no（或保持默认仅本地回环），再配合 SSH 隧道实现安全转发；若直接对外暴露，务必叠加 IP 白名单与强密码策略
四 桌面会话与文件权限细节
- 正确配置 ~/.vnc/xstartup 并赋予可执行权限，确保会话以相应用户启动并写入该用户家目录：
- 示例（按桌面环境选择其一）：
- GNOME：#!/bin/sh；unset SESSION_MANAGER；exec /etc/X11/xinit/xinitrc
- KDE：#!/bin/sh；unset SESSION_MANAGER；exec startkde
- XFCE：#!/bin/sh；unset SESSION_MANAGER；exec startxfce4
- 权限设置：chmod +x ~/.vnc/xstartup
- 注意：~/.vnc 下的日志与临时文件（如 passwd、pid 文件）应仅对所属用户可读写，避免权限过宽导致信息泄露或会话被他人控制
五 快速检查与常用排错命令
- 查看服务状态与日志：systemctl status vncserver@:1；journalctl -u vncserver@:1 -b
- 验证端口监听：ss -lntp | grep 5901 或 ss -lntp | grep :590
- 核对家目录与 .vnc 权限：ls -ld /home/vncuser /home/vncuser/.vnc；必要时 chmod 700 并 chown -R vncuser:vncusers
- 防火墙规则检查：sudo ufw status verbose；如需仅内网访问：sudo ufw allow from 10.0.0.0/8 to any port 5901
- 连接测试：本地或经 SSH 隧道后，使用客户端连接 IP:1（对应 5901/tcp）；若失败，优先检查服务是否运行、端口是否监听、以及 xstartup 是否可执行