#13. VNC-Server bei Bedarf automatisch starten Sparen Sie sich das manuelle Starten von VNC-Servern auf entfernten Rechnern.

Transkript

1 HACK #13 Hack VNC-Server bei Bedarf automatisch starten Sparen Sie sich das manuelle Starten von VNC-Servern auf entfernten Rechnern. #13 Im heutigen Zeitalter der Aufklärung und der schicken grafischen Devices haben die meisten Unix-Server grafische Konsolen an Stelle der VT100 oder LA123 aus vergangenen Tagen. Das betrifft mit ziemlicher Sicherheit die meisten Linux-Server, auch wenn in vielen Serverräumen Platz gespart wird, indem man einen einzelnen Monitor installiert und dann mit einem KVM zwischen den Systemen umschaltet. Wie in»mit VNC auf andere Systeme zugreifen«[hack #10] erläutert, ist die klassische Vorgehensweise für VNC, über SSH/Telnet/Was-auch-immer auf ein entferntes System zuzugreifen, einen VNC-Server manuell zu starten, und dann wieder zurück zu dem System zu springen, das Sie eigentlich nutzen, um dort den VNC-Viewer zu starten. Das klingt nicht wirklich schwierig aber ist das Ganze»erst SSH, auf einem Bein stehen, dort was starten, zurückhüpfen, hier etwas anderes starten«nicht zu aufwendig? Dieser Hack beschreibt, wie man das alles vermeiden kann, indem man den VNC-Server für das X Window-System direkt in Ihre grafische Login-Umgebung für das X Window-System einbindet. Die prinzipielle Idee dazu ist, Ihre Maschine so zu konfigurieren, dass sie den Internet-Daemon des Systems (xinetd oder inetd) verwendet, um den Xvnc-Server immer dann zu starten, wenn eine eingehende VNC-Verbindung an einem oder mehreren Ports erkannt wird. Zudem konfigurieren Sie Ihr System auch noch so, dass das X Display Manager Control Protocol (XDMCP) jedes neue X-Display, wie den Xvnc-Server, verwaltet. Wenn der Xvnc-Server als Reaktion auf eine eingehende Port-Anfrage startet, zeigt er einen XDMCP-Login-Screen an, Sie melden sich an... und voilà! Xvnc im inetd oder xinetd integrieren Der aktuelle Internet-Daemon xinetd von Linux startet (wie sein Vorgänger inetd, der eventuell noch immer da und auch verwendet wird) die Daemons der verschiedenen Server, wenn entsprechende Anfragen auf den Ports einlaufen. Das ist in der Datei /etc/services definiert. Im Rest des Hacks werde ich xinetd und inetd zusammen als x/inetd bezeichnen und die spezifischen Namen nur nutzen, wenn es notwendig ist, zwischen ihnen zu unterscheiden. Der Daemon x/inetd wird häufig als»super-server«bezeichnet, da es sein Job ist, die anderen Serverprozesse zu verwalten. Mit x/inetd reduzieren Sie die Last auf Ihren Systemen, da die Daemons für diese Services nicht die ganze Zeit laufen müssen x/inetd startet sie, wenn sie wegen einer eingehenden Anfrage benötigt werden. Zudem verbessert sich die Sicherheit Ihrer Systeme Hack #13: VNC-Server bei Bedarf automatisch starten 67

2 #13 VNC-Server bei Bedarf automatisch starten durch TCP-Wrapper ein zentraler Mechanismus für das Zulassen oder Unterbinden von TCP-Zugriffen auf verschiedene Services über die Einträge in den Dateien /etc/hosts.allow und /etc/hosts.deny. Um nun VNC in den x/inetd zu integrieren, erstellen Sie einen entsprechenden Eintrag in der Textdatei /etc/services. Auf neuen Systemen, die ich einrichte, habe ich mich dazu entschieden, automatische VNC-Sessions auf Port 5908 starten zu lassen mit einem Wert, der größer als 5900 ist, vermeide ich Konflikte, wenn ein Benutzer auf dem Server eine VNC-Session manuell mit einer niedrigeren Port-Nummer startet. Ein passender Eintrag in /etc/services für das automatische Starten von VNC als Reaktion auf eingehende Anfragen auf Port 5908 sieht so aus: vnc 5908/tcp # Xvnc Nachdem Sie diesen Eintrag in /etc/services angelegt haben, müssen Sie als Nächstes festlegen, was geschehen soll, wenn tatsächlich an diesem Port eine Anfrage ankommt. Wenn Sie xinetd nutzen, müssen Sie die Datei /etc/xinetd.d/vnc erstellen, die verschiedene Einstellungen dazu enthält, wie xinetd auf eingehende Anfragen reagieren soll, welche Anwendung zu starten ist und so weiter. So könnte die Datei /etc/xinetd.d/vnc aussehen: # default: on # description: The vnc server provides remote desktop connections # service vnc { disable = no socket_type = stream protocol = tcp wait = no user = nobody server = /usr/bin/xvnc server_args = :8 -inetd -once -query localhost -depth 24 \ -geometry 1280x1024 -securitytypes=none } Der Eintrag server_args sollte auf einer einzelnen Zeile stehen, aber ich habe ihn in diesem Beispiel auf zwei Zeilen verteilt, um die Lesbarkeit zu erhöhen. Die Argumente, die Sie für den Xvnc-Server angeben, hängen von der Version und dem Typ des Xvnc-Servers ab, den Sie nutzen. Die oben angegebenen Argumente bedeuten dabei: :8 Gibt das X Window-System-Display an, auf dem der Xvnc-Server starten soll. 68 Kapitel 2: GUI-Zugriffe über das Netz

3 -inetd Führt den Xvnc-Server als Daemon aus, der von x/inetd gestartet werden sollte. -once Startet den Xvnc-Server beim Aufbau einer Verbindung komplett neu und beendet ihn, wenn die Verbindung abgebaut wird. Damit werden auch gleichzeitige Mehrfachaufrufe über denselben Port vermieden. -query localhost Teilt dem Xvnc-Server mit, bei einer bestimmten Maschine nach einem XDMCP-Login zu fragen (mehr dazu im nächsten Abschnitt). In diesem Fall wird der Xvnc-Server das Loopback-Interface auf localhost ansprechen, das die IP-Adresse hat. -depth 24 Gibt die Farbtiefe für den X Window-Server des Xvnc-Servers an. -geometry 1280x1024 Definiert die virtuelle Bildschirmgröße und die Auflösung, mit der der Xvnc-Server gestartet werden soll. Übliche Werte sind 800x600, 1024x768, 1280x1024 und 1600x1280. Generell sollte der angegebene Wert kleiner als die Größe des Displays sein, mit dem Sie sich mit dem Xvnc-Server verbinden, da Sie sonst Probleme beim Zugriff auf die Fensterkontrollelemente bekommen können. Sie können auch ungewöhnliche Dimensionen wie nutzen, um ein möglichst breites Fenster auf einem Display der Größe zu haben, das gut zwischen Taskbars und Sidebars passt. -securitytypes=none Legt fest, dass der Xvnc-Server seine eigenen internen Sicherheitsmechanismen ignorieren soll (vncpasswd), um den Zugriff auf den VNC-Server zu ermöglichen, da XDMCP für die Sicherheit sorgt. Je nach der Version des Xvnc, die auf Ihrem System installiert ist, benötigen Sie eventuell andere oder zusätzliche Optionen: -ac Wenn Sie die TightVNC-Version des Xvnc nutzen, brauchen Sie diese Option statt -securitytypes=none, um die normale Zugriffskontrolle von Xvnc zu deaktivieren. Das Argument -securitytypes=none wird von RealVNC verwendet. -fp fontpath Manche Versionen des Xvnc benötigen den zu verwendenden Font-Pfad für das X Window-System. Die meisten modernen Linux-Systeme lassen standardmäßig einen X-Font-Server auf Port 7100 laufen, so dass ein entsprechender initialer Wert -fp unix:/7100 wäre. Wenn das nicht funktio- Hack #13: VNC-Server bei Bedarf automatisch starten 69

4 #13 VNC-Server bei Bedarf automatisch starten niert oder bei Ihnen kein Font-Server läuft, können Sie explizit eine Reihe von Verzeichnissen als kommaseparierte Argumente für die Option -fp angeben. Wenn Sie immer noch inetd nutzen, ist das Äquivalent zur Datei /etc/xinetd.d/ vnc ein einzelner Eintrag in der Datei /etc/inetd.conf. Ein Beispiel, das zu dem Beispiel für den xinetd weiter oben passt, sieht so aus: vnc stream tcp nowait nobody /usr/sbin/tcpd /usr/bin/xvnc :8 -inetd \ -once -query localhost -depth 24 -geometry 1280x1024 \ -securitytypes=none Wie beim Eintrag server_args in obigem Beispiel sollte dies alles auf einer einzelnen Zeile in Ihrer Datei /etc/inetd.conf stehen ich habe sie nur auf mehrere Zeilen umbrochen, damit sie besser lesbar ist. Für diesen Eintrag gelten die gleichen Hinweise bezüglich anderer/zusätzlicher Argumente wie oben. XDMCP aktivieren XDMCP ist ein Netzwerkprotokoll zum Starten von Login-Sessions für Display-Devices des X Window-Systems. Es wurde ursprünglich 1989 entwickelt und ist vor allem im Zusammenhang mit X-Terminals [Hack #14] bekannt, kann aber mit jedem X Window-System-Device genutzt werden wie in diesem Fall mit dem X-Server, der von Xvnc gestartet wurde. Die meisten Systeme, die nach dem Starten eine grafische Benutzeroberfläche anzeigen, verwenden einen Display-Manager für das X Window-System, um ein grafisches Login anzubieten und dazu den Window-Manager oder die Desktop-Umgebung Ihrer Wahl zu starten. Der grafische Modus entspricht im Allgemeinen bei den meisten Linux-Systemen dem Runlevel 5 oder irgendeinem Runlevel zwischen 2 und 5, wenn Sie ein Fan von Debian oder Ubuntu sind. Standardmäßig kümmert sich der X-Display-Manager um das X Window-System-Device, das mit der Konsole verbunden ist, er ist aber auch optional für das Beantworten von XDMCP-Anfragen und das Erstellen der entsprechenden X Window-System-Session für die Anmeldung auf neuen X Window-System-Devices zuständig. Die Unterstützung von XDMCP ist für alle X-Display-Manager eine Konfigurationsoption, die aber fast immer deaktiviert ist, da die meisten Display-Manager nur die X-Login-Sessions auf ihren Konsolen unterstützen müssen. Es hängt von Ihrem Display-Manager und damit meist vom Standard-Desktop-System auf Ihrem Linux-System ab, wie Sie die XDMCP-Unterstützung aktivieren. GNOME verwendet einen Display-Manager namens gdm, der sich normalerweise in /usr/bin/gdm (was /usr/bin/gdm-binary aufruft) oder auf KDE-basierten Systemen (wie SUSE) in /opt/gnome/bin/gdm befindet. KDE nutzt den Display-Manager kdm, der im Allgemeinen in /opt/kde3/bin/kdm zu 70 Kapitel 2: GUI-Zugriffe über das Netz

5 finden ist. Der klassische X Window-Display-Manager, der häufig auf Systemen verwendet wird, auf denen weder GNOME noch KDE installiert ist, ist xdm und findet sich in /usr/x11r6/bin/xdm. Wenn Sie Red Hat Linux einsetzen, können Sie sich das Skript /etc/x11/prefdm anschauen, um herauszufinden, wie Ihr System seinen Standard-Display-Manager bestimmt und wie dieser heißt. Sie können auch versuchen, den momentan genutzten Display- Manager zu ermitteln, indem Sie in einer Liste mit Systemprozessen nach dem String dm suchen: $ ps -ef grep dm root May25? 00:00:00 /opt/kde3/bin/kdm root May25? 3-01:52:35 /usr/x11r6/bin/x \ -br vt7 -auth /var/lib/xdm/authdir/authfiles/a:0-k7itzv wvh :42 pts/11 00:00:00 grep -i dm In diesem Fall nutzt das System kdm als Display-Manager, so dass Sie diesen zur Unterstützung von XDMCP korrekt konfigurieren müssen. Unnötig zu sagen, dass jeder dieser Display-Manager für das X Window-System seine eigene Konfigurationsdatei hat, in der Sie XDMCP aktivieren müssen, so dass der lokale Display-Manager beim Anfragen des Xvnc bei localhost eine X-Login-Session erstellt. Wenn das System, auf dem Sie Xvnc konfigurieren, gdm nutzt, stellt der GNOME-Desktop eine praktische Anwendung namens gdmsetup zum Konfigurieren des gdm bereit. Starten Sie gdmsetup als root oder über sudo, wählen Sie die Registerkarte SICHERHEIT und dort das Kontrollkästchen»XDMCP aktivieren«, um die Unterstützung für XDMCP im gdm beim nächsten Start des X Window-Systems zu aktivieren. Abbildung 2-5 zeigt diese Registerkarte in gdmsetup mit aktiviertem XDMCP. Zusätzliche Einstellungen lassen sich bei markierter Checkbox auf der Registerkarte XDMCP vornehmen. Sie können die Konfigurationsdatei des gdm statt über gdmsetup auch manuell anpassen. Auf vielen Linux-Systemen finden Sie sie in /etc/x11/gdm/gdm. conf. Wenn das System, auf dem Sie Xvnc konfigurieren wollen, kdm nutzt, können Sie entweder die von Ihrem System bereitgestellten Administrationstools verwenden oder die Konfigurationsdateien für kdm und das System manuell anpassen. Auf SUSE-Systemen können Sie zum Beispiel die Administrationsmodule aus dem Kontrollzentrum von YaST nutzen (YAST-KONTROLLZEN- TRUM NETWORKDIENSTE ADMINISTRATION VON EINEM ENTFERNTEN RECHNER), um den Remote-Zugriff auf den Display-Manager zu aktivieren. Abbildung 2-6 zeigt dieses Fenster im Kontrollzentrum. Wenn Sie die Konfigurationsdateien lieber selbst angehen wollen, können Sie die Haupt-Konfigurationsdatei des kdm (/opt/kde3/share/config/kdm/kdmrc) mit einem Texteditor bearbeiten, dabei den Eintrag Enable im Abschnitt Hack #13: VNC-Server bei Bedarf automatisch starten 71

6 #13 VNC-Server bei Bedarf automatisch starten Abbildung 2-5: Aktivierung von XDMCP in gdmsetup Abbildung 2-6: XDMCP-Konfiguration im YaST-Tool von SUSE 72 Kapitel 2: GUI-Zugriffe über das Netz

7 [xdmcp] auf true setzen und sicherstellen, dass der Eintrag Port=177 nicht auskommentiert ist. Sie werden auch die Datei /etc/sysconfig/displaymanager anpassen müssen, um die Variable DISPLAYMANAGER_REMOTE_ACCESS auf yes zu setzen. Dann können Sie /sbin/suseconfig ausführen, damit SUSE die passenden internen Updates durchführt. Nachdem Sie Ihren Display-Manager so angepasst haben, dass er XDMCP unterstützt, müssen Sie ihn mit den korrekten Einstellungen neu starten. Dazu ist es am einfachsten, das komplette System neu zu booten, aber wenn Sie wichtige Services laufen lassen müssen, können Sie auch die Befehle telinit oder init aufrufen, um Ihr System auf einen textorientierten Runlevel zu bringen (telinit number-of-runlevel oder init number-of-runlevel) und es danach wieder auf einen grafischen Runlevel zu stellen. Dazu gehen Sie zuerst auf Runlevel 2 für Debian-basierte Distributionen oder Runlevel 3 für die meisten anderen, um anschließend wieder auf Runlevel 5 zu wechseln. Manche Linux-Varianten stellen Skripten bereit (wie zum Beispiel den Befehl rcxdm restart bei SUSE), die das X Window-System automatisch beenden und den Display-Manager danach wieder neu starten, ohne den Runlevel zu ändern. Das X Window-System wird bei System-Updates oder Upgrades häufig mit aktualisiert. Wenn Sie die Konfigurationsdateien manuell angepasst haben, prüfen Sie nach einem Update, das entweder X oder die Desktop-Umgebung aktualisiert hat, lieber zweimal Ihre Konfigurationsdateien, um sicherzustellen, dass die XDMCP-Unterstützung für Ihren Display- Manager immer noch aktiv ist ansonsten wird dieser Hack nicht funktionieren. Den Viewer starten Nachdem Sie Ihr System so eingerichtet haben, dass als Reaktion auf eingehende Anfragen der Xvnc gestartet wird und Ihr Display-Manager wiederum auf XDMCP-Anfragen reagiert, wechseln Sie zu einem anderen System, starten Ihren bevorzugten VNC-Viewer und verweisen dabei auf einen Port, den Sie in /etc/xinet.d/vnc angegeben haben. Nach kurzer Zeit sollten Sie so etwas wie in Abbildung 2-7 sehen. Herzlichen Glückwunsch das Starten von VNC-Sessions auf Ihrem Host ist nun leichter als je zuvor, und Sie müssen VNC auf solchen Systemen nicht länger per Hand starten und damit Arbeit tun, die das System genauso gut machen kann! Hack #13: VNC-Server bei Bedarf automatisch starten 73

8 #13 VNC-Server bei Bedarf automatisch starten Da die X Window-Session, die im VNC läuft, ein anderes Display nutzt, müssen Sie eventuell dafür sorgen, dass die Umgebungsvariable DISPLAY korrekt gesetzt wird, damit andere X Window-System-Anwendungen starten können. Wenn Sie zum Beispiel Xvnc auf Port 5908 laufen lassen, sollten Sie das Display in Ihrer Shell passend setzen, zum Beispiel mit dem Befehl export DISPLAY=:8.0. Fehlersuche beim Starten des Xvnc Wenn alles passt, haben Sie schon ein Bild wie das in Abbildung 2-7 vor sich und denken:»probleme welche Probleme?«Hängt aber Ihr vncviewer oder beendet er sich mit solch informativen Meldungen wie»vncviewer: Connect- ToTcpAddr: connect: Connection refused«oder»unable to connect to VNC server«, müssen Sie nicht verzweifeln. Diese Probleme lassen sich leicht lösen. Wenn Ihre Verbindung mit dem vncviewer zur entfernten Maschine einfach hängt Sie drücken zum Beispiel die Eingabetaste und nichts passiert, kann es gut sein, dass die Ports, die mit Ihrem VNC-Setup verbunden sind, durch eine Firewall auf dem entfernten Rechner, dem lokalen System oder sonstwo dazwischen geblockt werden. Prüfen Sie, ob alle Ports, die Sie auf dem entfernten System in /etc/services eintragen, tatsächlich verfügbar sind und dass ein Prozess auf den XDMCP-Port achtet. Das können Sie leicht herausfinden, indem Sie den Befehl netstat -an ausführen und die Ausgabe auf den von XDMCP genutzten Port 177 filtern: $ netstat -an grep 177 udp 0 0 :::177 :::* Sollten Sie keine Ausgabe durch diesen Befehl sehen, stellen Sie sicher, dass Sie den XDMCP-Support für Ihren Display-Manager korrekt konfiguriert haben und dass die Einträge für Xvnc in /etc/xinetd.d/vnc nicht deaktiviert sind. Im schlimmsten Fall können Sie Ihr System neu booten, um sicherzustellen, dass alles richtig hochfährt. Können Sie nun immer noch keine VNC-Verbindung zu Ihrem System aufbauen, sorgen Sie dafür, dass keine Firewall-Regeln irgendeinen der von XDMCP oder Xvnc genutzten Ports sperren. Das lässt sich leicht (allerdings ausgesprochen unsicher) herausfinden, indem Sie Ihre Firewall kurzfristig abschalten oder alle aktiven Regeln mit einem Befehl wie iptables -F über Bord werfen. Versuchen Sie das zuerst auf dem System, mit dem Sie sich verbinden wollen. Wenn Sie sich dann immer noch nicht verbinden können, machen Sie dasselbe auf dem System, von dem es aus funktionieren soll. Klappt es nach dem Deaktivieren der Firewall immer noch nicht, überprüfen Sie die Konfiguration Ihrer Firewall und schwächen die entsprechenden 74 Kapitel 2: GUI-Zugriffe über das Netz

9 Abbildung 2-7: Eine erfolgreiche Xvnc-Verbindung, die XDMCP nutzt Regeln ab, um entfernte VNC-Verbindungen zu ermöglichen. Denken Sie aber daran, die Firewall danach wieder zu aktivieren Sie wollen bestimmt nicht, dass die gesamte siebte Klasse der PS150 in Seoul sich über ein grafisches Login an Ihrem Rechner versucht! Siehe auch»mit VNC auf andere Systeme zugreifen«[hack #10]»VNC durch SSH sicherer gestalten«[hack #12] Linux Server Hacks von Rob Flickenger (O Reilly) Hack #13: VNC-Server bei Bedarf automatisch starten 75