VNCServer abgesichert?!

[bizzY]

hallo Linuxer,

Ich habe mich jetzt seit einiger Zeit mit dem Xvnc rumgeschlagen, da ich dem protokoll nicht so vertraue wollte ich euf dem rechner auf dem der Vncserver läuft keine offenen Ports nach aussen anbieten, also habe ich mit iptables bzw vncserver -nolisten tcp rumexperimentiert, alllerdings immer mit dem ergebniss, dass ich keine Verbing von meinem Client Rechner bekam...ohne "-nolisten tcp" aufgerufen bot mein Xvnc immer port 6001 tcp an...also habe ich mir TightVNC besorgt und kompiliert und siehe da, mit "-nolisten tcp" string aufgerufen bietet der Server nur noch port 22 also ssh an.
Ich connecte mich jetzt folgender massen, per ssh vom Client zum Server, ssh mit dem parameter-X für X-forwarding aufgerufen, dann rufe ich "xvncviewer localhost :1" in der ssh shell auf und auf meinem Client Rechner erscheint der Vnc Desktop des Servers...
Die remote Desktop Session wird also per ssh und X-forwarding auf meinen Client Rechner gelenkt!
jetzt habe ich dazu ne frage,
die einzige Verbidung die zwischen Server und Client besteht ist von nem hohen Client Port auf Port 22 des Servers (per lsof -Pni, bzw. netstat auf beiden Rechner überrprüft!)

Kann ich mich jetzt also zu folgener mutiger These hinreissen lassen?!
Sind die Vnc Verbindung, bzw der Vnc Server jetzt genau so sicher bzw unsicher wie die ssh Verbindung bzw der ssh Server?! weil die Sicherheit von ssh ist ja bei entsprechender Konfiguration und regelmässigen Updates gar nicht soooo schlecht!
habe ich mir zumindest sagen lassen, heheh!

Vielen dank schon mal dass ihr euch durch die wirren auswüchse meines Hirns gekämpft habt!

grüsse bizzY

[deadbeef]

das hast du genau richtig gemacht. erst via ssh anmelden und vnc dadurch tunneln, gilt als secure.

gruss,
deadbeef

[bizzY]

@Deadbeef , wenigstens einer der lust hatte zu antworten, dass mit dem ssh tunnel hatte ja schon vorher geklappt, mir ging es ja nur drum dass sich der VNC Server an Port 6001 gebunden hatte und das ist bei nem protokoll wie dem von VNC wohl nicht erwünscht...
aber falls noch mal jemand nach mir vor dem gleichen problem steht besreibe ich noch mal kurz wie man den VNC absichert!

1. TightVNC besorgen und kompilieren

2. den TightVNC Server aufrufen als "vncserver -nolisten tcp -localhost"

3.vom Client per ssh auf den Server zugreifen und zwar per "ssh -X user@server" (-X für X-Forwarding)

4.in der ssh shell auf dem server "vncviewer localhost:1" aufrufen, und es erscheint eine durch den ssh tunnel gesicherte Remote Dekstop Session

Vorteile keine offenen Ports auf dem Server ausser dem ssh Server Port, man muss sich keine Gendanken mehr um den VNC machen, es reicht den SSH Server sicher zu konfigurieren und up to date zu halten!

also ich hofffe das ich irgend jemandem damit helfen konnte, die sonstigen "how to secure VNC" tutorials im netz lassen nämlich immer port 6000 + <Display nummer> auf...

falls an meinen Ausführungen etwas falsch seien sollte oder das ganze nicht so sicher ist wie die SSH Verbindung, würde ich mir sehr über konsruktive Kritik freuen!


grüsse bizzY

[Gelonida]

hi,

ich habe tight-vnc so eingerichtet wie von dir beschrieben. Im 100Mbit-LAN funktioniert der Zugriff problemlos. Per Internet (beide Seiten haben QDSL) ist es allerdings so lahm, das man nicht damit arbeiten kann. Der Aufbau eines neuen Bildes geschieht streifenweise und dauert ca 10 Sekunden, der Mauszeiger hat auch etliche Sekunden Verspätung. Ping von client auf Server dauert 30ms.

Wie schnell läuft das bei euch, bzw. was mache ich falsch?

Gruß,
Gelonida

PS: Ich brauche das Ganze, um von fern auf meinem KDE arbeiten zu können. SSH Login und dann startkde habe ich auch schon versucht, läuft allerdings auch nicht besonders schnell.

[cane]

Ich brauche das Ganze, um von fern auf meinem KDE arbeiten zu können.

Welche Aufgabe lässt sich denn nur unter KDE, nicht aber in der shell lösen?
Oder machst Du das eher aus Zeitgründen?

Vermutlich wird es daran liegen, dass das X-Forwarding eine ganze Menge Daten verursacht - und KDE ist ja sowieso schon recht langsam...

Vielleicht solltest Du einen effektiveren Window-Manager (wm, icewm...) benutzen.

mfg
cane

[Gelonida]

hi,

es scheint eher an der Menge der (Bild)-Daten zu liegen als an KDE. Denn Einzelanwendungen ohne windowmanager laufen auch nicht schneller. Vielleicht sind meine Erwartungen aber auch zu hoch. Auf die Uni-Server haben wir Zugriff mit Citrix und das ist geschwindigkeitsmäßig so wie wenn man direkt davor sitzt. Daran orientiere ich mich jetzt :D

Welche Aufgabe lässt sich denn nur unter KDE, nicht aber in der shell lösen? Texte bearbeiten, Mails lesen etc., nix administratives.

Gruß,
Gelonida

[deadbeef]

es scheint auch am vnc selber zu liegen.
wenn ich z.b. eine remotekonsole via pcanywhere mit ssh tunnel,
ist es bei gleicher verbindung viel schneller als vnc.
die kompression und die darstellungsberechnung scheint
bei pc-anywhere besser zu sein.

man müsste mal testen, ob das bei pcanywhere unter wine genauso ist.

gruss,
deadbeef

[Gelonida]

wenn ich die Kompression bei SSH aktiviere,
ssh -XC ....
dann kann man prinzipiell damit arbeiten, aber toll ist es noch nicht.
Ist schwer zu benchmarken, subjektiv ist es mir für längeres Arbeiten aber noch zu zäh.

Gruß,
Gelonida

[JayLow]

hi,

wenn ihr von "ssh -X" redet, dann meint ihr sicher den linux-client für ssh, oder? wie sieht das nun aus, wenn man von einer windowskiste auf den server verbinden muss - geht das auch mit dem vncviewer(.exe)?

[cane]

Nein, wir reden ja vom Tunneln einer VNC-Verbindung durch eine SSH-Verbindung. Dadurch ist die VNC-Verbindung verschlüsselt...

Du mußt um von Windows zugreifen zu können einen SSH-Client installieren.
Bei Cygwin (bash und mehr unter Windows) ist das möglich, es gibt auch noch ein, zwei andere Implementierungen...

Mit Putty müsste das ganze auch machbar sein:
http://www.google.de/search?hl=de&q=putty+x+forwarding&btnG=Suche&meta=

Mehr Thema hier:
http://www.openssh.com/windows.html

mfg
cane

[siluan]

@Gelonida

NoMachine NX [nomachine.com] ist ein leistungsfähiges "neues" Terminal Server system für Linux and Unix, das deinen Erfahrungen mit Citrix eher entspricht.

siluan

[Gelonida]

@siluan

danke für den Tip, werde das mit FreeNX mal bei Gelegenheit probieren aber seit ich einen Laptop habe, ist das Problem nicht mehr so dringend :)

Gruß,
Gelonida