Virtual Network Computing (VNC) 是一種提供計(jì)算機(jī)遠(yuǎn)程訪(fǎng)問(wèn)的流行工具。常規(guī)的 VNC 配置是針對(duì)單用戶(hù)工作臺(tái)而進(jìn)行優(yōu)化的，可登錄到 VNC 端口直接訪(fǎng)問(wèn)單一用戶(hù)的桌面。然而，這一配置在多用戶(hù)計(jì)算機(jī)上使用不太合適。幸運(yùn)的是，我們有一個(gè)替代方案。通過(guò)將 VNC 鏈接到一臺(tái) Linux 計(jì)算機(jī)的普通 X Display Manager Control Protocol (XDMCP) 服務(wù)器，訪(fǎng)問(wèn) VNC 端口就能夠讓用戶(hù)提供其用戶(hù)名和密碼，進(jìn)而能夠使單個(gè) VNC 服務(wù)器實(shí)例處理多個(gè)用戶(hù)登錄。

VNC 和 X 服務(wù)器架構(gòu)

Linux使用 X Window System（簡(jiǎn)稱(chēng) X）作為其圖形用戶(hù)接口 (GUI)。X 從多個(gè)方面來(lái)看是一個(gè)不尋常的 GUI，一個(gè)方面是它本身支持網(wǎng)絡(luò)。X 服務(wù)器 實(shí)際上是一個(gè)網(wǎng)絡(luò)服務(wù)器程序。網(wǎng)絡(luò)服務(wù)器程序提供給客戶(hù)端程序?qū)Ρ镜刭Y源的訪(fǎng)問(wèn)，對(duì)于 X 服務(wù)器也是如此。奇異之處在于，對(duì)于 X 服務(wù)器來(lái)說(shuō) “本地資源” 是用戶(hù)使用的顯示器、鍵盤(pán)和鼠標(biāo)。在大部分常見(jiàn)配置中，X 客戶(hù)端程序作為服務(wù)器運(yùn)行在同一臺(tái)計(jì)算機(jī)上。因此，LibreOffice、GNU Image Manipulation Program (GIMP) 或其他程序是使用 X 的網(wǎng)絡(luò)協(xié)議接受用戶(hù)輸入并在同一臺(tái)計(jì)算機(jī)上為用戶(hù)顯示輸出的 X 客戶(hù)端。

不過(guò)在通過(guò)網(wǎng)絡(luò)使用 X 時(shí)，用戶(hù)位于 X 服務(wù)器計(jì)算機(jī)，而 X 的客戶(hù)端是用戶(hù)希望在另一臺(tái)計(jì)算機(jī)上運(yùn)行的程序。這一配置需要第二個(gè)網(wǎng)絡(luò)協(xié)議來(lái)發(fā)起連接。這第二個(gè)協(xié)議可以是 telnet、Secure Shell (SSH) 或 X Display Manager Control Protocol (XDMCP)。用于這一登錄協(xié)議的服務(wù)器在 X 客戶(hù)端計(jì)算機(jī)上運(yùn)行，而遠(yuǎn)程登錄客戶(hù)端在 X 服務(wù)器計(jì)算機(jī)上運(yùn)行。遠(yuǎn)程登錄服務(wù)器啟動(dòng) X 客戶(hù)端，后者轉(zhuǎn)而聯(lián)系 X 服務(wù)器。圖 1 描述了這一關(guān)系。虛線(xiàn)箭頭表示會(huì)話(huà)啟動(dòng)。（對(duì)于 XDMCP，XDMCP 客戶(hù)端構(gòu)建在 X 服務(wù)器程序中。）

圖 1. X 遠(yuǎn)程訪(fǎng)問(wèn)需要在兩臺(tái)計(jì)算機(jī)上裝有一個(gè)客戶(hù)端和一個(gè)服務(wù)器
 
 

這種設(shè)置在很多本地網(wǎng)絡(luò)上都很有效，但它有缺陷。例如，該配置需要雙向網(wǎng)絡(luò)協(xié)議啟動(dòng)，而這是無(wú)法通過(guò)一些防火墻或網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT) 路由器實(shí)現(xiàn)的。（SSH 可以利用通道進(jìn)行 X 會(huì)話(huà)，消除這一需求。）此外，盡管 X 服務(wù)器可用于大部分平臺(tái)，但它們通常不安裝在運(yùn)行 Windows® 的計(jì)算機(jī)上。出于這些和其他原因，許多站點(diǎn)傾向于使用另一個(gè)協(xié)議 Remote Frame Buffer (RFB)，該協(xié)議在 Virtual Network Computing (VNC) 系列程序中均有實(shí)現(xiàn)。

VNC 是一個(gè)跨平臺(tái)的工具，可從任何類(lèi)型的客戶(hù)端提供對(duì) Linux、UNIX®、Mac OS X、Windows 和其他系統(tǒng)的遠(yuǎn)程訪(fǎng)問(wèn)。使用 VNC，用戶(hù)可以從客戶(hù)端計(jì)算機(jī)訪(fǎng)問(wèn)一臺(tái)遠(yuǎn)程服務(wù)器計(jì)算機(jī)。在 Linux 上，VNC 服務(wù)器要么將本地 X 服務(wù)器的界面內(nèi)容鏡像到遠(yuǎn)程計(jì)算機(jī)，要么包含其自身的 X 服務(wù)器，該服務(wù)器可獨(dú)立于管理本地界面的服務(wù)器運(yùn)行。結(jié)果類(lèi)似于 圖 2 所示。同樣，虛線(xiàn)箭頭表示會(huì)話(huà)啟動(dòng)。這一配置消除了反向進(jìn)行網(wǎng)絡(luò)連接的需求，而且由于 VNC 客戶(hù)端和服務(wù)器存在于如此多的操作系統(tǒng)中，用戶(hù)可以利用單一客戶(hù)端程序訪(fǎng)問(wèn)任何服務(wù)器。

圖 2. 一個(gè) VNC 服務(wù)器包括一個(gè)可與本地 X 客戶(hù)端程序通信的 X 服務(wù)器
 
 

VNC 的缺點(diǎn)在于，RFB 身份驗(yàn)證基于密碼，而不需要用戶(hù)名。因此，每個(gè)用戶(hù)必須啟動(dòng)一個(gè)獨(dú)立的 VNC 服務(wù)器會(huì)話(huà)，并通過(guò)指定正確的端口號(hào)連接到 VNC 實(shí)例。這一要求在單用戶(hù)系統(tǒng)上可能還能接受，但是在多用戶(hù)計(jì)算機(jī)上則極其不合適。

要解決這一問(wèn)題，您可以將兩種方法銜接起來(lái)。您可以重新配置您的本地 XDMCP 服務(wù)器以幫助集成在 VNC 中的 X 服務(wù)器提供缺少的多用戶(hù)身份驗(yàn)證（最終的配置類(lèi)似于 圖 3 所示）。虛線(xiàn)箭頭表示會(huì)話(huà)啟動(dòng)?，F(xiàn)在，當(dāng)遠(yuǎn)程 VNC 用戶(hù)聯(lián)系 VNC 服務(wù)器計(jì)算機(jī)時(shí)，他們能夠輸入其用戶(hù)名和密碼來(lái)訪(fǎng)問(wèn)其自己惟一的 VNC 會(huì)話(huà)，因此計(jì)算機(jī)可以處理盡可能多的用戶(hù)。

圖 3. 將 XDMCP 添加到 VNC 配置能夠提高靈活性
 #p#

配置 VNC 服務(wù)器

有多種啟動(dòng) VNC 的方法存在，包括使用腳本、使用桌面工具將 VNC 鏈接到您的桌面環(huán)境，以及使用 xinetd 監(jiān)聽(tīng) VNC 連接。最后這一種方法就是這里要介紹，因?yàn)樗軌蜃屇鷨?dòng) VNC，以便它可以使用您的 XDMCP 服務(wù)器。在詳細(xì)介紹如何配置 VNC 以通過(guò)xinetd 來(lái)啟動(dòng)之前，您必須選擇一個(gè) VNC 服務(wù)器。

選擇 VNC 服務(wù)器

有若干 VNC 服務(wù)器程序可用。（參考資料 提供了其中一些服務(wù)器程序的鏈接。）一些更加流行的服務(wù)器程序包括 TightVNC、TigerVNC 和 RealVNC。本文以 TightVNC 為例。遺憾的是，配置細(xì)節(jié)隨服務(wù)器以及發(fā)行版的不同而不同，因此您可能需要針對(duì)您的軟件來(lái)調(diào)整這里所提供的使用說(shuō)明。

安裝 xinetd

許多發(fā)行版默認(rèn)安裝 xinetd 超級(jí)服務(wù)器，但一些發(fā)行版沒(méi)有安裝此服務(wù)器。由于這里所描述的方法使用的是 xinetd，所以如果沒(méi)有安裝的話(huà)，您應(yīng)當(dāng)安裝 xinetd。在大部分發(fā)行版上，您可以使用軟件包系統(tǒng)安裝 xinetd，比如在基于 Debian 的發(fā)行版上使用 apt-get install xinetd，或者在 openSUSE 上使用 zypper install xinetd。

您可能還需要配置 xinetd 來(lái)進(jìn)行運(yùn)行。您通?？梢允褂闷?System V (SysV) 啟動(dòng)腳本，只需運(yùn)行一次：

　　# /etc/init.d/xinetd start 

配置 xinetd 以使它在計(jì)算機(jī)啟動(dòng)時(shí)自動(dòng)運(yùn)行，這需要對(duì)您的發(fā)行版啟動(dòng)腳本方法有一定了解。通常，您可以使用一個(gè)實(shí)用工具，比如 chkconfig（在 Fedora、openSUSE 和相關(guān)發(fā)行版中使用），update-rc.d（在 Debian 和相關(guān)發(fā)行版中使用）或者 rc-update（在 Gentoo 中使用），來(lái)執(zhí)行這項(xiàng)工作，如下所示：

　　# chkconfig xinetd on  
　　# update-rc.d xinetd enable  
　　# rc-update add xinetd default 

僅輸入這些命令中的其中一個(gè)，或者找到您發(fā)行版相對(duì)應(yīng)的命令。

注意，如果沒(méi)有配置任何服務(wù)的話(huà)，xinetd 可能拒絕啟動(dòng)。因此，在您還未配置 xinetd 來(lái)管理您的 VNC 服務(wù)器之前，您可能要推遲啟動(dòng)。

配置 xinetd

應(yīng)當(dāng)由 xinetd 管理的服務(wù)器會(huì)將配置文件放在 /etc/xinetd.d 目錄中。因此，要配置 xinetd 來(lái)處理 VNC，您應(yīng)當(dāng)創(chuàng)建或編輯一個(gè)名稱(chēng)類(lèi)似 /etc/xinetd.d/vnc 的文件。（在某些發(fā)行版上，比如 openSUSE，VNC 服務(wù)器包會(huì)安裝這樣的一個(gè)文件。） 清單 1 提供了一個(gè)示例。
清單 1. xinetd 的一個(gè) VNC 配置示例

　　service vnc  
{　  
　　disable     = no 
　　socket_type = stream 
　　protocol    = tcp 
　　wait        = no 
　　user        = nobody 
　　server      = /usr/bin/Xvnc  
　　server_args = -inetd -once -query localhost -geometry 1024x768 -depth 16  
　　type        = UNLISTED 
　　port        = 5900 
　　    } 

該條目設(shè)置多個(gè) xinetd 選項(xiàng)，其中大多數(shù)選項(xiàng)應(yīng)當(dāng)保持原樣。您需要調(diào)整的那些選項(xiàng)包括：

• service。您可以在多個(gè)端口上運(yùn)行 VNC，其中每個(gè)端口都有不同的選項(xiàng)，但是如果您這么做，您應(yīng)當(dāng)針對(duì)每一個(gè)端口在清單 1 中的第一行為 VNC 提供一個(gè)不同的服務(wù)名稱(chēng)。
• server。您應(yīng)當(dāng)更改該條目以指向您 VNC 服務(wù)器的主要二進(jìn)制文件，通常名為 Xvnc。
• server_args。幾乎可以肯定您會(huì)更改其中的一些選項(xiàng)，如前所述。
• port。VNC 使用編號(hào)為 5900 及以上的端口。您可以在具有不同選項(xiàng)的不同端口上運(yùn)行服務(wù)器。如果這么做，您應(yīng)當(dāng)分配給每個(gè)實(shí)例其自己的端口號(hào)。

xinetd 配置最棘手的部分是設(shè)置服務(wù)器參數(shù)。您可以使用 清單 1 中的參數(shù)作為模型，不過(guò)您可能想要更改其中一些參數(shù)：

• -query localhost。該選項(xiàng)告訴 VNC X 服務(wù)器查詢(xún) localhost 系統(tǒng)以便進(jìn)行 XDMCP 身份驗(yàn)證。如果您想使用一臺(tái)計(jì)算機(jī)作為中繼來(lái)訪(fǎng)問(wèn)另一臺(tái)計(jì)算機(jī)上的程序，您可以更改它。
• -geometry 1024x768。您可以使用該選項(xiàng)設(shè)置 VNC 會(huì)話(huà)的虛擬分辨率。注意，該分辨率不需要類(lèi)同于在服務(wù)器計(jì)算機(jī)上運(yùn)行的常規(guī) X 服務(wù)器的分辨率。您可能想要?jiǎng)?chuàng)建以不同分辨率運(yùn)行的多個(gè)條目，以便讓用戶(hù)使用其本地系統(tǒng)便于應(yīng)用的任何分辨率登錄到 VNC 服務(wù)器。
• -depth 16。該選項(xiàng)設(shè)置顏色深度。較低的值能夠產(chǎn)生較快的顯示更新，但是高色彩桌面環(huán)境會(huì)因顏色工件而受到折損。有效的值介于 2 到 32 之間。

還有許多其他選項(xiàng)，一些隨 VNC 服務(wù)器的不同而不同。查詢(xún)您的 VNC 服務(wù)器的文檔，了解更多內(nèi)容。#p#

配置 XDMCP 服務(wù)器

大部分 Linux 發(fā)行版配置其 XDMCP 服務(wù)，主要是為了管理本地顯示。為了提供遠(yuǎn)程訪(fǎng)問(wèn)，您必須重新配置您的 XDMCP 服務(wù)器，以接受在同一臺(tái)計(jì)算機(jī)上運(yùn)行的 VNC 服務(wù)器的請(qǐng)求。具體細(xì)節(jié)因 XDMCP 服務(wù)器而異。Linux 上最常用的三個(gè) XDMCP 服務(wù)器是 GNOME Display Manager (GDM)、Light Display Manager (LightDM) 和 KDE Display Manager (KDM)。其他 XDMCP 服務(wù)器，比如 XDM，需要接受不同于此處所描述的調(diào)整。不管怎么，在重新配置您的 XDMCP 服務(wù)器之后，您需要重啟它。

編輯 XDMCP 配置文件

如果您不確定您的系統(tǒng)使用哪個(gè) XDMCP 服務(wù)器，那么您可以通過(guò)搜索字符串 dm 的進(jìn)程清單來(lái)確認(rèn)它，如下所示：

　　$ ps ax | grep dm  
　　  929 ?        Ss     0:00 /usr/bin/kdm  
　　  962 tty7     Ss+    0:19 /usr/bin/Xorg -br :0 vt7 -nolisten tcp -auth \  
　　                           /var/lib/xdm/authdir/authfiles/A:0-pp4shb  
　　   30157 pts/3    S+     0:00 grep --color=auto dm 

該輸出的第一行表明 KDM 正在運(yùn)行，因此您需要該服務(wù)器的配置文件，以便讓 VNC 能夠使用 XDMCP。大部分 XDMCP 程序均有遵循類(lèi)似格式的配置文件。它們?cè)诜嚼ㄌ?hào)中包含根據(jù)分段名稱(chēng)確認(rèn)的分段，比如 [xdmcp]。分段名稱(chēng)后面的行使用等號(hào)設(shè)置選項(xiàng)，比如enable=true。表 1 總結(jié)了在幾個(gè)常見(jiàn)的 Linux XDMCP 服務(wù)器上啟用 XDMCP 所必須設(shè)置的配置文件名稱(chēng)、分段名稱(chēng)和選項(xiàng)。

表 1. 為各個(gè) XDMCP 服務(wù)器的 VNC 啟用 XDMCP 支持選項(xiàng)

您可能會(huì)在您的配置文件中找到 XDMCP 分段，或者它也可能完全不存在。如果存在，它可能顯式地禁用 XMDCP 支持，包含注釋掉的選項(xiàng)，或者為空。不管文件的原始狀態(tài)是什么，您會(huì)想要確保存在 XDMCP 分段，并且該支持是啟用的。例如，看一下用于啟用 XDMCP 的一個(gè) KDM 配置：

　　[Xdmcp]  
　　Enable=true 

一些發(fā)行版啟用額外的安全措施，對(duì)此您可能需要放寬限制。其中一個(gè)安全措施就是防火墻。防火墻腳本往往是特定于發(fā)行版的，因此請(qǐng)查詢(xún)您的系統(tǒng)文檔，了解如何修改您的防火墻。您應(yīng)當(dāng)確保 localhost 能夠訪(fǎng)問(wèn)端口 177，而且您的 VNC 客戶(hù)端能夠訪(fǎng)問(wèn)端口 5900（或者您為 VNC 使用的任何其他端口）。

OpenSUSE 使用一個(gè)額外的配置文件來(lái)控制某些類(lèi)型的訪(fǎng)問(wèn)，包括 XDMCP 訪(fǎng)問(wèn)：/etc/sysconfig/displaymanager。在文本編輯器中打開(kāi)該文件，并搜索下面一行：

DISPLAYMANAGER_REMOTE_ACCESS="no" 

 將該選項(xiàng)改為 "yes"。如果將其保留為 "no"，那么在您連接到 VNC 服務(wù)器時(shí)，則不會(huì)顯示 XDMCP 服務(wù)器的登錄提示。該更改在大部分發(fā)行版上都不是 必需啟用的：只有 openSUSE 使用該文件。

重啟 XDMCP 服務(wù)器

將 XDMCP 服務(wù)器配置為接受遠(yuǎn)程登錄之后，您必須重啟它。在通過(guò) SysV init 文件啟動(dòng) X 的發(fā)行版上，比如 Debian 和 Gentoo，您可以傳遞給它 restart 選項(xiàng)：

　　# /etc/init.d/gdm restart 

如果您的系統(tǒng)（比如 Fedora 和 openSUSE）使用運(yùn)行級(jí)別編號(hào)啟動(dòng) X，您就需要切換到一個(gè)文本模式運(yùn)行級(jí)別（通常為 3），然后切換回 GUI 運(yùn)行級(jí)別（通常為 5）：

　　# telinit 3  
　　# telinit 5  

 要注意，不管是哪一種方法都會(huì)關(guān)閉 X，因此在繼續(xù)之前確保保存了 X 會(huì)話(huà)中所有打開(kāi)的作業(yè)。

測(cè)試和調(diào)試配置

此時(shí)，您應(yīng)當(dāng)能夠使用 VNC 客戶(hù)端從一臺(tái)遠(yuǎn)程計(jì)算機(jī)登錄了。例如，大部分 Linux 發(fā)行版都提供一個(gè)名為 vncviewer 的命令；您可以輸入：

　　vncviewer remotename  

. . . 通過(guò) VNC 登錄到 remotename。當(dāng) VNC 經(jīng)過(guò)配置且正常工作時(shí)，結(jié)果類(lèi)似于 圖 4 所示。如果您在不同端口上配置了多個(gè) VNC 會(huì)話(huà)，您可以指定 VNC 會(huì)話(huà)編號(hào)，方法就是將其作為主機(jī)名的一部分傳遞，如下所示：

vncviewer remotename:3 

. . . 登錄到會(huì)話(huà) 3（在端口 5903 上）。

圖 4. 當(dāng)配置為使用 XDMCP 時(shí)，VNC 提供一個(gè)傳統(tǒng)的 Linux 登錄提示
 
 

如果在執(zhí)行該測(cè)試時(shí)您沒(méi)有看到一個(gè) XDMCP 登錄界面，那么就需要進(jìn)行一些調(diào)試。要檢查的內(nèi)容包括：

• 如果 vncviewer 報(bào)告連接被拒絕，這很可能意味著超級(jí)服務(wù)器沒(méi)有在 VNC 服務(wù)器計(jì)算機(jī)上得到適當(dāng)?shù)呐渲?。檢查您的 xinetd配置，嘗試重啟超級(jí)服務(wù)器。也有可能是防火墻阻止對(duì) VNC 服務(wù)器計(jì)算機(jī)的訪(fǎng)問(wèn)。
• 如果 VNC 客戶(hù)端啟動(dòng)并連接到了服務(wù)器，但是您所看到的只是一個(gè)灰色屏幕以及一個(gè)可隨處移動(dòng)的光標(biāo)，問(wèn)題可能出在 XDMCP 服務(wù)器配置上。檢查之前描述的設(shè)置，并重新啟動(dòng) XDMCP 服務(wù)器。
• 一個(gè)通用的故障排除方法就是檢查您的日志文件。您可能需要搜索 /var/log 中的所有日志文件，查看是否引用到 xinetd、您的 XDMCP 服務(wù)器和您的 VNC 服務(wù)器。#p#

VNC 安全隱患

RFB 不是一個(gè)安全協(xié)議；大多數(shù) VNC 客戶(hù)端和服務(wù)器不對(duì)它們的數(shù)據(jù)進(jìn)行加密。（雖然 VNC 對(duì)其自己的密碼進(jìn)行加密，但是這里描述的方法不使用這些密碼。）要對(duì)部署 VMC 的地點(diǎn)和方式十分謹(jǐn)慎。如果您希望在一個(gè)不安全的網(wǎng)絡(luò)上使用 VNC，您有三個(gè)選擇：

• 使用一個(gè)虛擬專(zhuān)用網(wǎng)絡(luò) (VPN)。
• 通過(guò) SSH 通道傳輸協(xié)議。
• 使用一個(gè)支持加密的 VNC 變體，比如 TigerVNC，它啟用傳輸層安全加密。

實(shí)現(xiàn)本文所描述的 VNC 登錄會(huì)至少開(kāi)啟兩個(gè)通向外界的端口（VNC 端口和 XDMCP 端口）。您可能希望使用防火墻規(guī)則同時(shí)限制這兩個(gè)端口，以最大限度地降低濫用的風(fēng)險(xiǎn)。注意，XDMCP 端口（UDP 端口 177）僅需要向 localhost 開(kāi)放，因此其防火墻規(guī)則會(huì)相當(dāng)嚴(yán)格。

結(jié)束語(yǔ)

總的來(lái)講，鏈接 VNC 和 XDMCP 是支持通過(guò)遠(yuǎn)程 GUI 登錄到多用戶(hù) Linux 計(jì)算機(jī)的一個(gè)非常有用的技術(shù)。該方法比在跨平臺(tái)環(huán)境中直接使用 XDMCP 或者在防火墻或 NAT 問(wèn)題難以解決時(shí)使用 XDMCP 更有優(yōu)勢(shì)。它比多用戶(hù)計(jì)算機(jī)上更加常見(jiàn)的直接 VNC 方法更有益。如果您使用該方法，一定要考慮安全性問(wèn)題。請(qǐng)準(zhǔn)備好設(shè)置防火墻規(guī)則來(lái)限制不需要的外部訪(fǎng)問(wèn)，并且如果您的傳輸經(jīng)由不可信賴(lài)的網(wǎng)絡(luò)，請(qǐng)務(wù)必使用加密功能。