Dotaz: VNC server

[vlado]

Dobry den, ke mam na LINUX routeri VNC server, co treba este spravit vo firewalle, aby tento VNC server bol pristupny zo strany internetu? Napriklad chcem cez klienta nan pristupit z domu? Je potrebne nieco napisat do konfiguracneho suboru, kde su IPTABLES? Pouzivam RED HAT 8.0

Vdaka za radu

Odpovědi

[Ondra 'Kepi' Kudlík]

Záleží na tom, jak máte firewall nastavený. Pokud implicitně blokujete všechny pakety kromě povolených, určitě bude potřeba povolit i to VNC. Buď si zjistěte na jakém portu a protokolu VNC chodí, a pak je na firewallu povolte nebo si zapněte nějaké hojnější logování, zkoušejte se připojovat na ten server z VNC a zároveň sledujte logy, kde bude uričtě napsáno, o jaký port a protokol se jedná...

[B0biN]

Predpokladam, ze nemate defaultni port pro VNC poboleny z vneku, takze na iptables to udelate takhle:

$IPTABLES -A INUT -s 123.123.123.123 -i $INET_IFACE -p TCP --dport 5900 -j ACCEPT

$IPTABLES= cesta k iptables, napr. /sbin/iptables
$INET_IFACE = ethernetove rozhrani pro Vas internet napr. eth0
123.123....= IP odkud se pripojujete
5900=Defaultni port VNC serveru

[Vlado]

Dakujem 123.123.123.123. ste mysleli konkretnu IP adresu, napriklad tuc, co mam doma? Ale to je nestastne riesenie, pretoze doma som cez dial up a ten sa stael meni IP adresa je stale dynamicky menena. S pozdravom Vlado

[mARTin]

Hmm, tak toto je velmi zly napad. Ked v nom ale chcete pokracovat, tak tie porty, ktore treba povolit su 5900+cislo_X_serveru. Takze ked pri nastartovani Xvnc to hodi, ze server sa nastartoval na :1, tak by to bol port 5901.

Zly napad je to preto, pretoze VNC protokol nie je sifrovany. Navrhujem takyto postup:

prompt$ ssh -C -L 5901:localhost:5901 adresa.firewallu

Toto postavi tunel cez SSH protokol, a tadial potom beha cele VNC. Tie cisla portov treba upravit podla potreby. Parameter -C je zapnutie kompresie, co sa moze tiez hodit. Potom vo VNC klientovi sa budete pripajat nie na firewall, ale na svoj lokalny stroj, kde caka koniec tunela, tzn:

prompt$ vncviewer localhost:1

[Vlado]

Dakujem pisete nasledovne: prompt$ ssh -C -L 5901:localhost:5901 adresa.firewallu to mam napisat na konzole linux servera? adresa firewaalu mate na mysli Ip adresu lokalnu? u mna je to 192.168.1.2 prompt$ vncviewer localhost:1 Toto napisem doma a pripojim sa kam? na svoje PC vo vnutri LAN? Tam my nemusi bezat VNC server? Nerozumiem tomu. Ako bude vedeit system, na ktory PC vo vnutri LAN sa ma dostat? Dakujem za odpoved

[mARTin]

Hmm, no, Vasa prva otazka sa mi zdala byt pomerne jasna. Teraz neviem, co presne chcete. Ocakaval som, ze sa jedna o tuto situaciu:

{LAN}----eth0|firewallPC|ppp0-----Internet-----|clientPC|

To znamena, ze sa chcete z clientPC pripojit na firewallPC, kde Vam bezi VNC server. Samozrejme, ze vsetky tieto prikazy pisete na clientPC!! Adresa "adresa.firewallu" je potom IP adresa, alebo DNS zaznam ukazujuci na ppp0 rozhranie firewallPC. To je predsa verejna adresa toho stroja. Predpokladom teda je, ze na firewalle Vam bezi SSH server a VNC server. Ak Vam bezi VNC server na niektorom stroji vo vnutri LAN, a na ten sa chcete dostat z Internetu (co ale z povodnej otazky nevyplyvalo), tak potom prikaz na postavenie sifrovaneho tunelu pomocu ssh bude:

prompt$ ssh -C -L 5901:ip_vnc_stroja_v_LAN:5901 ip/DNS_ppp0_rozhrania_firewallPC

Treba si uvedomit, ze potom to cele bezi cez ten port-forwarding tunel. A jeden koniec je u Vas na lokalnom stroji (presmerovavate lokalny port), takze: vncviewer localhost:1 je uplne v poriadku, pokial samozrejme Vam funguje tunel a VNCserver sa nastartoval ako :1
Ozvite sa, keby to stale neslo. Mozno Vam aj pomoze man ssh a pozrite si, co presne ten parameter -L znamena.

[Vlado]

Dakujem za radu, pre pripad problemov mozem Vas poprosit o Vasu e-mailovu adresu? Vdaka Vlado

[mARTin]

rusko at sunsite dot mine dot nu
Do subjectu dajte nejake vyrazne, bud VNC server, alebo ABCLinuxu. Obcas mazem maily hlava nehlava (spam a podobne).