使用 VNC 实现多用户登录

Virtual Network Computing (VNC) 是一种提供计算机远程访问的流行工具。常规的 VNC 配置是针对单用户工作台而进行优化的，可登录到 VNC 端口直接访问单一用户的桌面。然而，这一配置在多用户计算机上使用不太合适。幸运的是，我们有一个替代方案。通过将 VNC 链接到一台 Linux 计算机的普通 X Display Manager Control Protocol (XDMCP) 服务器，访问 VNC 端口就能够让用户提供其用户名和密码，进而能够使单个 VNC 服务器实例处理多个用户登录。

VNC 和 X 服务器架构

Linux使用 X Window System（简称 X）作为其图形用户接口 (GUI)。X 从多个方面来看是一个不寻常的 GUI，一个方面是它本身支持网络。X 服务器 实际上是一个网络服务器程序。网络服务器程序提供给客户端程序对本地资源的访问，对于 X 服务器也是如此。奇异之处在于，对于 X 服务器来说 “本地资源” 是用户使用的显示器、键盘和鼠标。在大部分常见配置中，X 客户端程序作为服务器运行在同一台计算机上。因此，LibreOffice、GNU Image Manipulation Program (GIMP) 或其他程序是使用 X 的网络协议接受用户输入并在同一台计算机上为用户显示输出的 X 客户端。

不过在通过网络使用 X 时，用户位于 X 服务器计算机，而 X 的客户端是用户希望在另一台计算机上运行的程序。这一配置需要第二个网络协议来发起连接。这第二个协议可以是 telnet、Secure Shell (SSH) 或 X Display Manager Control Protocol (XDMCP)。用于这一登录协议的服务器在 X 客户端计算机上运行，而远程登录客户端在 X 服务器计算机上运行。远程登录服务器启动 X 客户端，后者转而联系 X 服务器。图 1 描述了这一关系。虚线箭头表示会话启动。（对于 XDMCP，XDMCP 客户端构建在 X 服务器程序中。）

图 1. X 远程访问需要在两台计算机上装有一个客户端和一个服务器
 
 

这种设置在很多本地网络上都很有效，但它有缺陷。例如，该配置需要双向网络协议启动，而这是无法通过一些防火墙或网络地址转换 (NAT) 路由器实现的。（SSH 可以利用通道进行 X 会话，消除这一需求。）此外，尽管 X 服务器可用于大部分平台，但它们通常不安装在运行 Windows® 的计算机上。出于这些和其他原因，许多站点倾向于使用另一个协议 Remote Frame Buffer (RFB)，该协议在 Virtual Network Computing (VNC) 系列程序中均有实现。

VNC 是一个跨平台的工具，可从任何类型的客户端提供对 Linux、UNIX®、Mac OS X、Windows 和其他系统的远程访问。使用 VNC，用户可以从客户端计算机访问一台远程服务器计算机。在 Linux 上，VNC 服务器要么将本地 X 服务器的界面内容镜像到远程计算机，要么包含其自身的 X 服务器，该服务器可独立于管理本地界面的服务器运行。结果类似于 图 2 所示。同样，虚线箭头表示会话启动。这一配置消除了反向进行网络连接的需求，而且由于 VNC 客户端和服务器存在于如此多的操作系统中，用户可以利用单一客户端程序访问任何服务器。

图 2. 一个 VNC 服务器包括一个可与本地 X 客户端程序通信的 X 服务器
 
 

VNC 的缺点在于，RFB 身份验证基于密码，而不需要用户名。因此，每个用户必须启动一个独立的 VNC 服务器会话，并通过指定正确的端口号连接到 VNC 实例。这一要求在单用户系统上可能还能接受，但是在多用户计算机上则极其不合适。

要解决这一问题，您可以将两种方法衔接起来。您可以重新配置您的本地 XDMCP 服务器以帮助集成在 VNC 中的 X 服务器提供缺少的多用户身份验证（最终的配置类似于 图 3 所示）。虚线箭头表示会话启动。现在，当远程 VNC 用户联系 VNC 服务器计算机时，他们能够输入其用户名和密码来访问其自己惟一的 VNC 会话，因此计算机可以处理尽可能多的用户。

图 3. 将 XDMCP 添加到 VNC 配置能够提高灵活性

配置 VNC 服务器

有多种启动 VNC 的方法存在，包括使用脚本、使用桌面工具将 VNC 链接到您的桌面环境，以及使用 xinetd 监听 VNC 连接。最后这一种方法就是这里要介绍，因为它能够让您启动 VNC，以便它可以使用您的 XDMCP 服务器。在详细介绍如何配置 VNC 以通过xinetd 来启动之前，您必须选择一个 VNC 服务器。

选择 VNC 服务器

有若干 VNC 服务器程序可用。（参考资料 提供了其中一些服务器程序的链接。）一些更加流行的服务器程序包括 TightVNC、TigerVNC 和 RealVNC。本文以 TightVNC 为例。遗憾的是，配置细节随服务器以及发行版的不同而不同，因此您可能需要针对您的软件来调整这里所提供的使用说明。

安装 xinetd

许多发行版默认安装 xinetd 超级服务器，但一些发行版没有安装此服务器。由于这里所描述的方法使用的是 xinetd，所以如果没有安装的话，您应当安装 xinetd。在大部分发行版上，您可以使用软件包系统安装 xinetd，比如在基于 Debian 的发行版上使用 apt-get install xinetd，或者在 openSUSE 上使用 zypper install xinetd。

您可能还需要配置 xinetd 来进行运行。您通常可以使用其 System V (SysV) 启动脚本，只需运行一次：

# /etc/init.d/xinetd start

配置 xinetd 以使它在计算机启动时自动运行，这需要对您的发行版启动脚本方法有一定了解。通常，您可以使用一个实用工具，比如 chkconfig（在 Fedora、openSUSE 和相关发行版中使用），update-rc.d（在 Debian 和相关发行版中使用）或者 rc-update（在 Gentoo 中使用），来执行这项工作，如下所示：

# chkconfig xinetd on
# update-rc.d xinetd enable
# rc-update add xinetd default

仅输入这些命令中的其中一个，或者找到您发行版相对应的命令。

注意，如果没有配置任何服务的话，xinetd 可能拒绝启动。因此，在您还未配置 xinetd 来管理您的 VNC 服务器之前，您可能要推迟启动。

配置 xinetd

应当由 xinetd 管理的服务器会将配置文件放在 /etc/xinetd.d 目录中。因此，要配置 xinetd 来处理 VNC，您应当创建或编辑一个名称类似 /etc/xinetd.d/vnc 的文件。（在某些发行版上，比如 openSUSE，VNC 服务器包会安装这样的一个文件。） 清单 1 提供了一个示例。
清单 1. xinetd 的一个 VNC 配置示例

service vnc
{
disable     = no
socket_type = stream
protocol    = tcp
wait        = no
user        = nobody
server      = /usr/bin/Xvnc
server_args = -inetd -once -query localhost -geometry 1024x768 -depth 16
type        = UNLISTED
port        = 5900
    }

该条目设置多个 xinetd 选项，其中大多数选项应当保持原样。您需要调整的那些选项包括：

• service。您可以在多个端口上运行 VNC，其中每个端口都有不同的选项，但是如果您这么做，您应当针对每一个端口在清单 1 中的第一行为 VNC 提供一个不同的服务名称。
• server。您应当更改该条目以指向您 VNC 服务器的主要二进制文件，通常名为 Xvnc。
• server_args。几乎可以肯定您会更改其中的一些选项，如前所述。
• port。VNC 使用编号为 5900 及以上的端口。您可以在具有不同选项的不同端口上运行服务器。如果这么做，您应当分配给每个实例其自己的端口号。

xinetd 配置最棘手的部分是设置服务器参数。您可以使用 清单 1 中的参数作为模型，不过您可能想要更改其中一些参数：

• -query localhost。该选项告诉 VNC X 服务器查询 localhost 系统以便进行 XDMCP 身份验证。如果您想使用一台计算机作为中继来访问另一台计算机上的程序，您可以更改它。
• -geometry 1024x768。您可以使用该选项设置 VNC 会话的虚拟分辨率。注意，该分辨率不需要类同于在服务器计算机上运行的常规 X 服务器的分辨率。您可能想要创建以不同分辨率运行的多个条目，以便让用户使用其本地系统便于应用的任何分辨率登录到 VNC 服务器。
• -depth 16。该选项设置颜色深度。较低的值能够产生较快的显示更新，但是高色彩桌面环境会因颜色工件而受到折损。有效的值介于 2 到 32 之间。

还有许多其他选项，一些随 VNC 服务器的不同而不同。查询您的 VNC 服务器的文档，了解更多内容。

配置 XDMCP 服务器

大部分 Linux 发行版配置其 XDMCP 服务，主要是为了管理本地显示。为了提供远程访问，您必须重新配置您的 XDMCP 服务器，以接受在同一台计算机上运行的 VNC 服务器的请求。具体细节因 XDMCP 服务器而异。Linux 上最常用的三个 XDMCP 服务器是 GNOME Display Manager (GDM)、Light Display Manager (LightDM) 和 KDE Display Manager (KDM)。其他 XDMCP 服务器，比如 XDM，需要接受不同于此处所描述的调整。不管怎么，在重新配置您的 XDMCP 服务器之后，您需要重启它。

编辑 XDMCP 配置文件

如果您不确定您的系统使用哪个 XDMCP 服务器，那么您可以通过搜索字符串 dm 的进程清单来确认它，如下所示：

$ ps ax | grep dm
  929 ?        Ss     0:00 /usr/bin/kdm
  962 tty7     Ss+    0:19 /usr/bin/Xorg -br :0 vt7 -nolisten tcp -auth \
                           /var/lib/xdm/authdir/authfiles/A:0-pp4shb
   30157 pts/3    S+     0:00 grep --color=auto dm

该输出的第一行表明 KDM 正在运行，因此您需要该服务器的配置文件，以便让 VNC 能够使用 XDMCP。大部分 XDMCP 程序均有遵循类似格式的配置文件。它们在方括号中包含根据分段名称确认的分段，比如 [xdmcp]。分段名称后面的行使用等号设置选项，比如enable=true。表 1 总结了在几个常见的 Linux XDMCP 服务器上启用 XDMCP 所必须设置的配置文件名称、分段名称和选项。

表 1. 为各个 XDMCP 服务器的 VNC 启用 XDMCP 支持选项

您可能会在您的配置文件中找到 XDMCP 分段，或者它也可能完全不存在。如果存在，它可能显式地禁用 XMDCP 支持，包含注释掉的选项，或者为空。不管文件的原始状态是什么，您会想要确保存在 XDMCP 分段，并且该支持是启用的。例如，看一下用于启用 XDMCP 的一个 KDM 配置：

[Xdmcp]
Enable=true

一些发行版启用额外的安全措施，对此您可能需要放宽限制。其中一个安全措施就是防火墙。防火墙脚本往往是特定于发行版的，因此请查询您的系统文档，了解如何修改您的防火墙。您应当确保 localhost 能够访问端口 177，而且您的 VNC 客户端能够访问端口 5900（或者您为 VNC 使用的任何其他端口）。

OpenSUSE 使用一个额外的配置文件来控制某些类型的访问，包括 XDMCP 访问：/etc/sysconfig/displaymanager。在文本编辑器中打开该文件，并搜索下面一行：

DISPLAYMANAGER_REMOTE_ACCESS="no"

 将该选项改为 "yes"。如果将其保留为 "no"，那么在您连接到 VNC 服务器时，则不会显示 XDMCP 服务器的登录提示。该更改在大部分发行版上都不是 必需启用的：只有 openSUSE 使用该文件。

重启 XDMCP 服务器

将 XDMCP 服务器配置为接受远程登录之后，您必须重启它。在通过 SysV init 文件启动 X 的发行版上，比如 Debian 和 Gentoo，您可以传递给它 restart 选项：

# /etc/init.d/gdm restart

如果您的系统（比如 Fedora 和 openSUSE）使用运行级别编号启动 X，您就需要切换到一个文本模式运行级别（通常为 3），然后切换回 GUI 运行级别（通常为 5）：

# telinit 3
# telinit 5

 要注意，不管是哪一种方法都会关闭 X，因此在继续之前确保保存了 X 会话中所有打开的作业。

测试和调试配置

此时，您应当能够使用 VNC 客户端从一台远程计算机登录了。例如，大部分 Linux 发行版都提供一个名为 vncviewer 的命令；您可以输入：

vncviewer remotename

. . . 通过 VNC 登录到 remotename。当 VNC 经过配置且正常工作时，结果类似于 图 4 所示。如果您在不同端口上配置了多个 VNC 会话，您可以指定 VNC 会话编号，方法就是将其作为主机名的一部分传递，如下所示：

vncviewer remotename:3

. . . 登录到会话 3（在端口 5903 上）。

图 4. 当配置为使用 XDMCP 时，VNC 提供一个传统的 Linux 登录提示
 
 

如果在执行该测试时您没有看到一个 XDMCP 登录界面，那么就需要进行一些调试。要检查的内容包括：

• 如果 vncviewer 报告连接被拒绝，这很可能意味着超级服务器没有在 VNC 服务器计算机上得到适当的配置。检查您的 xinetd配置，尝试重启超级服务器。也有可能是防火墙阻止对 VNC 服务器计算机的访问。
• 如果 VNC 客户端启动并连接到了服务器，但是您所看到的只是一个灰色屏幕以及一个可随处移动的光标，问题可能出在 XDMCP 服务器配置上。检查之前描述的设置，并重新启动 XDMCP 服务器。
• 一个通用的故障排除方法就是检查您的日志文件。您可能需要搜索 /var/log 中的所有日志文件，查看是否引用到 xinetd、您的 XDMCP 服务器和您的 VNC 服务器。

VNC 安全隐患

RFB 不是一个安全协议；大多数 VNC 客户端和服务器不对它们的数据进行加密。（虽然 VNC 对其自己的密码进行加密，但是这里描述的方法不使用这些密码。）要对部署 VMC 的地点和方式十分谨慎。如果您希望在一个不安全的网络上使用 VNC，您有三个选择：

• 使用一个虚拟专用网络 (VPN)。
• 通过 SSH 通道传输协议。
• 使用一个支持加密的 VNC 变体，比如 TigerVNC，它启用传输层安全加密。

实现本文所描述的 VNC 登录会至少开启两个通向外界的端口（VNC 端口和 XDMCP 端口）。您可能希望使用防火墙规则同时限制这两个端口，以最大限度地降低滥用的风险。注意，XDMCP 端口（UDP 端口 177）仅需要向 localhost 开放，因此其防火墙规则会相当严格。

结束语

总的来讲，链接 VNC 和 XDMCP 是支持通过远程 GUI 登录到多用户 Linux 计算机的一个非常有用的技术。该方法比在跨平台环境中直接使用 XDMCP 或者在防火墙或 NAT 问题难以解决时使用 XDMCP 更有优势。它比多用户计算机上更加常见的直接 VNC 方法更有益。如果您使用该方法，一定要考虑安全性问题。请准备好设置防火墙规则来限制不需要的外部访问，并且如果您的传输经由不可信赖的网络，请务必使用加密功能。