如何在Ubuntu上配置TigerVNC安全设置 - 问答

Ubuntu上配置TigerVNC安全设置

一基础安全加固

使用普通用户运行VNC，避免直接用root；为VNC单独设置强密码（命令：vncpasswd），并定期更换。
始终优先采用SSH隧道传输VNC流量，原则上不直接对公网开放VNC端口；如确需直连，仅限内网并配合防火墙白名单。
启用并正确配置防火墙（如ufw），仅放行必要端口（优先放行SSH 22，直连VNC时再放行相应端口）。
保持系统与软件及时更新（apt update/upgrade），降低已知漏洞风险。
强化SSH安全：使用SSH密钥登录、禁用root远程登录、禁止空密码。
以上做法能显著提升TigerVNC在Ubuntu上的整体安全性，且均为业界通用的最佳实践。

二加密传输配置

方案A SSH隧道（推荐）
1. 在客户端建立隧道：ssh -L 5901:localhost:5901 用户名@服务器IP
2. 客户端连接本机端口：vnc://localhost:5901
  该方式利用SSH对会话加密与认证，无需暴露VNC端口到公网。
方案B SSL/TLS加密（可选）
1. 生成证书（放在用户目录便于权限管理）：
  mkdir -p ~/.vnc/ssl
  cd ~/.vnc/ssl
  openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes
2. 配置systemd覆盖文件以注入SSL参数（示例为显示号:1）：
  sudo mkdir -p /etc/systemd/system/vncserver@.service.d
  sudo tee /etc/systemd/system/vncserver@.service.d/override.conf <<‘EOF’
  [Service]
  Environment=“VNC_SERVER_ARGS=-geometry 1920x1080 -depth 24 -localhost no -rfbauth /home/你的用户名/.vnc/passwd -rfbport 5901 -ssl -cert /home/你的用户名/.vnc/ssl/cert.pem -key /home/你的用户名/.vnc/ssl/key.pem”
  EOF
3. 重新加载并重启服务：
  sudo systemctl daemon-reload
  sudo systemctl restart vncserver@1.service
4. 客户端以SSL方式连接：vnc://服务器IP:5901（多数客户端支持SSL/TLS）。
  说明：自签名证书在生产环境可能不被信任，建议用受信任CA签发证书。

三服务与端口最小化

端口与显示号：显示号N对应端口5900+N（例如:1 → 5901）。仅启动所需实例，用完及时关闭。
以systemd托管（示例）：
1. 创建服务文件：sudo nano /etc/systemd/system/vncserver@.service
2. 示例内容（按需替换用户名与家目录）：
  [Unit]
  Description=TigerVNC Server (port: %i)
  After=network.target
  [Service]
  Type=forking
  User=你的用户名
  Group=你的用户名
  WorkingDirectory=/home/你的用户名
  PIDFile=/home/你的用户名/.vnc/%H:%i.pid
  ExecStartPre=-/usr/bin/vncserver -kill :%i >/dev/null 2>&1
  ExecStart=/usr/bin/vncserver -depth 24 -geometry 1280x800 :%i
  ExecStop=/usr/bin/vncserver -kill :%i
  [Install]
  WantedBy=multi-user.target
3. 启用与启动：
  sudo systemctl daemon-reload
  sudo systemctl enable --now vncserver@1.service
防火墙：若采用直连，放行对应端口（如sudo ufw allow 5901）；若采用SSH隧道，通常无需放行VNC端口。
以上做法有助于减少攻击面并实现按需启停。

四桌面与会话安全

五运维与审计建议

0 赞

0 踩