GNOME¶

GNOME bringt das Programm Vino 🇬🇧 als VNC-Server mit. Dieses bietet den Bildschirm der Sitzung an, aus der er gestartet wurde. Die Konfiguration erfolgt durch das Programm vino-preferences, das über den Begriff "Freigabe der Arbeitsfläche" zu finden ist. Unter dem Punkt "Sicherheit" sollte mindestens eine der beiden Sicherheits-Optionen aktiviert sein – entweder nur auf Bestätigung und oder mit Passworteingabe.

Wenn im Autostart ^[1] "Entfernter Desktop" nicht aktiviert ist, wird der Vino-Server nicht gestartet und eine Fernwartung ist nicht möglich. Den Server kann man dann auch manuell über das Terminal starten:

/usr/lib/vino/vino-server 

Bei aktivierten 3D-Effekten können Darstellungsprobleme auftreten. So bekommt der VNC-Client nur eine Bildschirmansicht übertragen, die sich bei Maus- und Tastatureingaben nicht mehr verändert. Bei Desktop-Umgebungen, die einen 3D-Desktop zwingend voraussetzen (Unity, GNOME), empfiehlt sich eine Sitzung mit einer 2D-Oberfläche (soweit vorhanden). Speziell bei GNOME heißt diese Variante GNOME Flashback. Dies verbessert die Geschwindigkeit und Stabilität von VNC deutlich. Auch mangelhafte Grafikkarten-Treiber können Darstellungsproblem verursachen.

Bei Xfce bzw. Xubuntu kann man den Vino-Server über "Einstellungen → System → Sitzung und Startverhalten → Automatisch gestartete Anwendungen → Hinzufügen" zu den Startprogrammen hinzufügen (siehe auch Xfce-Einstellungen).

⚓︎

KDE¶

Die KDE Applications bieten krfb 🇬🇧 als VNC-Server. Das Paket kann nachinstalliert ^[2] werden:

• krfb (universe)

Befehl zum Installieren der Pakete:

sudo apt-get install krfb 

Oder mit apturl installieren, Link: apt://krfb

Nach der Installation ist er unter

• "K-Menü → Internet → Krfb - Arbeitsfläche freigeben"

zu finden. Um den Server zu starten, muss eine Einladung ausgesprochen werden. Im nächsten Schritt erhält man die IP des Host-Rechners und ein Passwort. Beides wird von einem Client benötigt, der sich verbinden möchte (siehe auch krdc).

Manuelle Einrichtung¶

Im folgenden sind Implementierungen von VNC-Servern aufgeführt. Von diesen gibt x11vnc einen tatsächlichen Bildschirm wieder und die anderen erzeugen jeweils virtuelle X-Sitzungen. Häufig verwenden die Programme dieselben Konfigurationsdateien.

sudo apt-get install x11vnc 

sudo x11vnc -storepasswd KENNWORT /etc/x11vnc.pass 

sudo x11vnc -auth guess -forever -loop -noxdamage -repeat -rfbauth /home/myuser/.vnc/passwd -rfbport 5900 -shared 

sudo apt-get install tightvncserver xtightvncviewer tightvnc-java 

sudo apt-get install vnc4server vnc-java 

sudo apt-get install xfonts-base 

vncpasswd 

export XKB_DEFAULT_RULES=base
export QT_XKB_CONFIG_ROOT=/usr/share/X11/xkb
kstart5 plasmashell &
dbus-launch startplasma-x11

# Für VNC und TigerVNC
vncserver
# Für tightvncserver
tightvncserver 

# Für VNC und TigerVNC
vncserver -kill :<Displaynummer>
# Für tightvncserver
tightvncserver -kill :<Displaynummer> 

Unity / GNOME¶

KDE¶

Um sich zu einem System zu verbinden, auf dem ein VNC-Server läuft, ist in der Standardinstallation von Kubuntu das Programm KRDC 🇬🇧 enthalten.

Um es manuell zu installieren, wird das folgende Paket benötigt:

• krdc (universe)

Befehl zum Installieren der Pakete:

sudo apt-get install krdc 

Oder mit apturl installieren, Link: apt://krdc

Nach der Installation ist es unter "K-Menü → Internet → Krdc - Verbindung zu Fremdrechner" zu finden. Neben VNC unterstützt es auch RDP-Verbindungen, wie sie beispielsweise unter Windows für die Desktop-Freigabe benutzt werden.

Um eine Verbindung herzustellen, muss in das Eingabefeld des Programms die IP-Adresse des Systems eingetragen werden, zu dem man sich verbinden möchte. Im davor liegenden Auswahlmenü muss gewählt werden, ob es sich um eine VNC- oder eine RDP-Verbindung handelt. Nach Klicken auf "Verbinden" wird versucht, das andere System zu erreichen. Wurde ein Passwort vergeben, so muss es in das erscheinende Dialogfeld eingetragen und bestätigt werden.

Xfce¶

Benutzer von Xfce können Remmina als Client verwenden.

LXDE¶

Auch hier ist Remmina der Client der Wahl.

Weitere¶

sudo apt-get install novnc 

/usr/share/novnc/utils/launch.sh --vnc <SERVER-IP>:<VNC_PORT>
# z.B.
/usr/share/novnc/utils/launch.sh --vnc 192.168.1.1:5900 

Warning: could not find self.pem
Starting webserver and WebSockets proxy on port 6080
WebSocket server settings:
  - Listen on :6080
  - Flash security policy server
  - Web server. Web root: /home/<username>/noVNC
  - No SSL/TLS support (no cert file)
  - proxying from :6080 to localhost:5900


Navigate to this URL:

    http://192.168.1.1:6080/vnc.html?host=server&port=6080

Press Ctrl-C to exit

sudo apt-get install ssvnc 

Kommandozeile¶

Auf der Kommandozeile steht der Befehl vncviewer aus dem Paket xvncviewer zur Verfügung. Dieses ist bei einer Standardinstallation von Ubuntu bereits vorinstalliert, kann bei Bedarf wie folgt installiert werden:

• xvnc4viewer (universe)

Befehl zum Installieren der Pakete:

sudo apt-get install xvnc4viewer 

Oder mit apturl installieren, Link: apt://xvnc4viewer

Die Verbindung zu einem VNC-Server kann mit dem Befehl:

# Für VNC und TigerVNC
vncviewer host:display
# Für TightVNC
xtightvncviewer host:display [OPTIONEN] 

hergestellt werden. host ist dabei der Hostname oder die IP-Adresse des Servers, display die Nummer des angesprochenen Displays - in der Regel 0. Ist ein Passwort erforderlich, wird es nach der Verbindungsherstellung abgefragt. Falls der vncviewer nicht aus der Kommandozeile heraus gestartet wird (sondern beispielsweise aus einem Skript), wird das Passwort in einem kleinen Eingabefenster eingegeben. Damit nicht mehrere Benutzer gleichzeitig auf den VNC-Server zugreifen können, kann im TightVNC-Viewer die Option -noshare gesetzt werden.

⚓︎

Automatisch durch den VNC-Viewer¶

Das Programm vncviewer kann selbst einen SSH-Tunnel herstellen:

vncviewer -via user@host localhost:0 

Manuell über SSH¶

Alternativ kann man auch zunächst den Tunnel auf dem Client-Rechner aufbauen. Danach wird die VNC-Verbindung aufgerufen:

ssh -4 -N -L 5900:localhost:5900 user@host
vncviewer localhost:0 

Bei beiden Methoden steht host für den Hostnamen oder die IP-Adresse des Rechners mit dem VNC-Server und user für den Benutzernamen, mit dem dort die SSH-Anmeldung erfolgen soll. Die VNC-Verbindung erfolgt nicht zum Host, sondern zum Eingang des SSH-Tunnels auf dem lokalen Client localhost.

Wenn hinter der Server-IP-Adresse mehrere Rechner laufen, z. B. wenn über das Internet gezielt hinter einem privaten Internet-Router unterschiedliche Rechner angesprochen werden sollen, so ist zunächst das Port-Forwarding am Router entsprechend einzurichten. So können beispielsweise die eingehenden SSH-Ports 22001, 22002 usw. an den Standard-SSH-Port 22 des jeweiligen Rechners weitergeleitet werden.

Unter dieser Konfiguration kann es passieren, dass das vncviewer -via-Kommando nicht mehr funktioniert; dann muss man mit dem expliziten SSH-Tunnel-Aufbau arbeiten:

ssh -4 -f -L 5900:localhost:5900 -p 22001 user@host sleep 10
vncviewer localhost:0 

Die Option -f sorgt dafür, dass der SSH-Tunnel, nachdem er aufgebaut wurde, im Hintergrund ausgeführt wird. Um den Tunnel automatisch wieder zu schließen, wenn er nicht mehr benötigt wird, wird im Gegensatz zum weiter oben genannten Tunnelaufbau die Option -N (=keinen Befehl auf Server-Seite ausführen) weggelassen und stattdessen serverseitig sleep 10 (=mache 10 Sekunden lang nichts) ausgeführt.

Da aber der Tunnel auch von dem vncviewer-Kommando belegt ist, schließt sich der Tunnel erst, wenn die 10 Sekunden vorbei sind und der vncviewer beendet wurde. (Quelle: https://unix.stackexchange.com/a/83812 🇬🇧)

Authentifizierung über Public Keys¶

Damit die vorgenannten Methoden funktionieren, ist ein Benutzerkonto auf dem Host-Rechner notwendig. Eine Alternative besteht in der Benutzung von "Public keys". Dazu sind SSH-Schlüsselpaare notwendig. Der oder die public-keys der zugelassenen VNC-Benutzer sind auf dem Host in der Datei /home/user/.ssh/authorized_keys abzuspeichern. Damit der Nutzer des public-key nur auf den VNC-Server zugreifen kann, müssen dessen Rechte in der Datei /home/user/.ssh/authorized_keys noch beschränkt werden (s.a. VNC 🇬🇧):

command="/bin/sleep 4294967295",no-agent-forwarding,no-pty,no-user-rc,no-X11-forwarding,permitopen="localhost:5900" PUBLIC_KEY

Danach hat der Besitzer des passenden private-keys automatisch oder manuell Zugriff auf den VNC-Server. Die Anmeldung muss dabei auch als Benutzer user erfolgen, da sonst nicht auf die Datei /home/user/.ssh/authorized_keys zugegriffen werden kann, in welcher der public-key gespeichert ist.

VNC-Server auf lokale Verbindungen beschränken¶

Wenn die Verbindung zum VNC-Server über den SSH-Tunnel klappt, kann man noch einen Schritt weitergehen und den VNC-Server auf lokale Verbindungen beschränken. Damit wird die Benutzung des SSH-Tunnels erzwungen und Angreifer können sich nicht mehr direkt mit dem VNC-Server verbinden. TightVNC startet man dazu mit der zusätzlichen Option -localhost:

tightvncserver -localhost 

Für Vino kann man die Einstellung wie folgt setzen (Information übernommen von vino 🇬🇧):

gsettings set org.gnome.Vino network-interface lo 

DynDNS¶

Da im Regelfall keine statische IP-Adresse vorhanden ist, muss man zuerst einen DynDNS-Account einrichten. Zudem sollte der Helfende wissen, wie man sich, wenn man hinter einem Router sitzt, eine korrekte Portweiterleitung oder Portfreischaltung einrichtet. Meistens muss man – je nach Routermodell – Einstellungen für DynDNS im Router vornehmen. Zu diesem Zwecke sollte man das Handbuch des Routers konsultieren. Wenn man diesen Weg beschreiten will, bitte weiterlesen unter Weitere Schritte.

Dynamische IP-Adresse¶

Hier muss man keine DynDNS-Adresse einrichten, dafür hat man den Nachteil, dass man vor jeder Verbindung die IP des Helfenden bzw. die des vorhandenen Routers herausfinden muss - z.B. bei wieistmeineip.de 🇩🇪. Der Helfende muss dann jedes mal dem Hilfesuchenden mitteilen, wie die IP lautet. Dieser Umstand wird durch DynDNS umgangen. Der Helfer muss sich auch hier mit Portweiterleitung oder Portfreischaltung auseinandergesetzt haben, wenn er hinter einem Router sitzt. Eine DynDNS-Einrichtung am Router entfällt hier natürlich.

xvnc4viewer -listen 5500 

Weitere Tipps und Optionen¶

xvnc4viewer -FullColor -listen 5500 

Vorbereitungen auf der Seite des Helfers¶

1. Sofern der Helfer hinter einem Router sitzt, ist dort eine Portweiterleitung für die SSH-Verbindung einzurichten. Läuft eine Firewall auf dem System des Helfers, so muss diese so konfiguriert werden, dass sie die SSH-Anfrage des Hilfesuchenden durchlässt.

2. Installation des SSH-Servers

3. Installation des vncviewers:

   • xvnc4viewer

   Befehl zum Installieren der Pakete:

   sudo apt-get install xvnc4viewer 

   Oder mit apturl installieren, Link: apt://xvnc4viewer

4. Anlegen eines Benutzers, mit dem sich der Hilfesuchende dann per SSH auf dem Rechner des Helfers anmelden kann

5. Ermittlung der eigenen IP oder alternativ Einrichtung von DynDNS

Vorbereitungen auf der Seite des Hilfesuchenden¶

• Installation des VNC-Servers:

  • x11vnc

  Befehl zum Installieren der Pakete:

  sudo apt-get install x11vnc 

  Oder mit apturl installieren, Link: apt://x11vnc

Aufbau der Verbindung¶

• Helfer:

  1. Start des SSH-Servers:

     sudo /etc/init.d/ssh restart 

  2. Start des VNC-Viewers im Listen-Modus:

     vncviewer -listen 

• Hilfesuchender:

  1. Start der SSH-Verbindung mittels SSH-Client und Verbindung zum lauschenden VNC-Viewer:

     ssh -NfL 5500:localhost:5500 hilflos@IP-ADRESSE-HELFER sleep 2 && x11vnc -connect_or_exit localhost:5500 -scale 9/10 

Der erste Teil des Befehls startet vom System des Hilfesuchenden eine SSH-Verbindung zum System des Helfers. Diese SSH-Verbindung läuft im Hintergrund und benötigt keine Shell(-Nf). Mit -L wird der angegebene Port an den Server weitergeleitet. Durch sleep 2 wird die Verbindung aufrecht erhalten, bis die VNC-Verbindung "übernimmt". Der Teil rechts vom && verbindet den VNC-Server des Hilfesuchenden über die SSH-Verbindung mit dem lauschenden VNC-Viewer des Helfers. Das Elegante an dieser Lösung ist, dass mit dem Schließen des VNC-Viewers auf der Helferseite zugleich der VNC-Server und die SSH-Verbindung auf Seiten des Hilfesuchenden sauber geschlossen werden. Die Option -scale 9/10 sorgt dafür, dass der entfernte Desktop beim Helfer etwas verkleinert dargestellt wird und kann je nach Auflösung angepasst bzw. weggelassen werden.

Tastaturproblem¶

Unter Xfce (Xubuntu) wird in der Standard-Einstellung das Tastatur-Layout nicht korrekt übertragen. Das Problem wird behoben, indem man im Hauptmenü "Einstellungen → Tastatur → Tastaturbelegung" aufruft, dort die Option "Systemweite Einstellungen benutzen" deaktiviert und bei "Tastaturbelegung" die gewünschte Sprache einstellt. Nach einem Neustart des VNC-Servers sollte das Tastaturproblem behoben sein.

Keine Panels in Unity¶

Wenn bei den anderen VNC-Servern die Leisten in Unity fehlen, kann man x11vnc als VNC-Server verwenden. Dieser leitet die komplette X11-Ausgabe von Display :0 direkt auf VNC um.

x11vnc -storepasswd
x11vnc -usepw -display :0

Je nach Anwendungsfall nützlicher oder störender Nebeneffekt ist, dass man die Ein- und Ausgaben sowohl auf dem fernsteuernden als auch auf dem ferngesteuerten Rechner beobachten kann.

Datenvolumen/Bandbreite zu hoch¶

Bei z.B. dem VNC-Viewer xtightvncviewer kann man unter anderem die Option -compresslevel 9 für die höchste Kompressionsstufe setzen. Weitere Optimierungen sind möglich.

Authentifizierungsproblem vino-server¶

Der vino-server meldet:

"The authentication mechanism requested cannot be provided by the computer."

bzw.

"Server did not offer supported security type"

bzw.

"No matching security types"

Lösung: Die Verschlüsselung von vino-server kann mit dem dconf-editor unter "org.gnome.desktop.remote-access" mit dem Schlüssel "require-encryption" deaktiviert werden.

VNC-Sitzung gemeinsam nutzen¶

Wenn man gemeinsam in derselben Sitzung arbeiten möchte, z.B. um etwas vorzuführen, kann man dazu x11vnc als VNC-Server verwenden. Siehe Keine Panels in Unity.

VNC-Server bei jedem Bootvorgang starten¶

[Unit]
Description=x11vnc-Server

[Service]
ExecStart=/usr/bin/x11vnc -auth guess -forever -localhost -loop -noxdamage -o /var/log/x11vnc.log -rfbauth /etc/x11vnc.pass -rfbport 5900 -shared

[Install]
WantedBy=multi-user.target

sudo systemctl enable x11vnc.service 

sudo systemctl daemon-reload
sudo systemctl restart x11vnc
sudo systemctl status x11vnc 

RemoteGreeter=/usr/lib/gdm/gdmlogin

Einzelnes Fenster freigeben¶

Manchmal kann es sinnvoll sein, nicht den gesamten Desktop, sondern nur ein Fenster freizugeben. Dazu ist folgendes Vorgehen notwendig (siehe diesen Blogeintrag 🇬🇧). Dazu muss man zunächst die Fenster-ID des freizugebenden Fensters feststellen. Man startet das Programm

xwininfo 

Nun ändert sich der Mausanzeiger. Dann klickt man auf das entsprechende Fenster und u.a. wird die Fenster-ID ausgegeben. Anschließend kann nur das spezielle Fenster und nicht der gesamte Desktop freigegeben werden:

x11vnc -id WINDOW_ID 

wobei WINDOW_ID durch den ermittelten Hex-Wert von xwininfo zu ersetzen ist. Wählt man als Fenster-ID pick, dann wird im Hintergrund automatisch xwininfo gestartet und man kann das zu exportierende Fenster durch einfache Auswahl anklicken:

x11vnc -id pick 

Zusätzliche Optionen (bspw. -xkb, -usepw, -capslock, -nodpms) für x11vnc können wie bei der Desktop-Variante mit angegeben werden. Der Zugriff auf das Einzelfenster erfolgt wie zum Desktop mit Hilfe eines Clients. Falls eine Applikation exportiert werden soll, welche aus mehreren Einzelfenstern besteht (bspw. GIMP), empfiehlt sich die Option -appshare. Eine ausführlichere Anleitung findet sich in den Manpages von x11vnc.

x11vnc -appshare -help 

Freigeben einer einzelnen Anwendung¶

Um ein einzelnes Programm auf einem (meist an einen Beamer angeschlossen) Rechner z.B. Schülern freizugeben, damit diese mit dem eigenen Rechner etwas demonstrieren können, nutzt man folgendes Skript. Voraussetzung sind xnest und der Fenstermanager Ratpoison:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

#!/bin/bash

passwortdatei=$(mktemp)

# Passwort erstellen
date +%N | grep -o ^.... > $passwortdatei;

hinweise="Passwort: $(cat $passwortdatei) $(/sbin/ifconfig | grep -o inet\ Adresse:[0-9\.]*)"
programm="$*"

# Unterfenster erzeugen
Xnest -geometry 1024x720 :4 &

# VNC aufschalten
x11vnc -shared -forever -zeroconf -noshm -passwdfile $passwortdatei -display :4 &

lxterm -fs 40 -display :4 -e "ratpoison & $programm; rm $passwortdatei" &

sleep 5; ratpoison --display :4 -c "echo $hinweise"
sleep 5; ratpoison --display :4 -c "echo $hinweise"
sleep 5; ratpoison --display :4 -c "echo $hinweise"
sleep 5; ratpoison --display :4 -c "echo $hinweise"

Das Skript kann ausführbar im Suchpfad liegen, z.B. mit dem Dateinamen start-vnc. Ein Programm lässt sich dann mit

start-vnc PROGRAMM PARAMETER 

starten.

sudo cp /usr/share/doc/vnc4server/examples/vnc.conf.gz /etc/
sudo gunzip -d /etc/vnc.conf.gz 

sudo cp /usr/share/doc/tightvncserver/examples/vnc.conf.gz /etc/
sudo gunzip -d /etc/vnc.conf.gz 

# $vncStartup points to a script that will be started at the very beginning.
$vncStartup = "/etc/X11/Xsession";

1
2
3

#!/bin/sh
unset SESSION_MANAGER
exec /etc/X11/Xsession

chmod +x ~/.vnc/xstartup 

1
2
3
4
5
6

#!/bin/sh
[ -r $HOME/.Xresources ] && xrdb $HOME/.Xresources
xsetroot -solid grey
vncconfig -iconic &
x-terminal-emulator -geometry 80x24+10+10 -ls -title "$VNCDESKTOP Desktop" &
x-window-manager &

1
2
3

x-terminal-emulator -geometry 80x24+10+10 -ls -title "$VNCDESKTOP Desktop" &
fluxbox &
firefox &

1
2
3

vncconfig -sendPrimary=0 -nowin &
x-terminal-emulator -geometry 80x24+10+10 -ls -title "$VNCDESKTOP Desktop" &
startlubuntu