Não é possível conectar-se ao servidor VNC

Question

Esperando que seu poder mental coletivo possa me ajudar ...

tl; dr - O servidor Ubuntu parece ter várias portas abertas, nenhuma pode ser vista pelo mundo externo (LAN) - o WTF está acontecendo?

Mais longo:

Eu tenho um servidor headless 17.04 ao qual gostaria de me conectar usando o VNC, mas estou com dificuldades no momento. Estou usando dois clientes - ambos o Windows 10, um usando RealVNC, um usando o TightVNC.

Eu configurei o servidor TightVNC em minha máquina Ubuntu, principalmente seguindo as instruções em link , com a intenção de executar o Xfce como um desktop:

$ sudo apt install xfce4 xfce4-goodies tightvncserver

Eu alterei o arquivo xstartup para:

#!/bin/bash
xrdb $HOME/.Xresources
startxfce4 &

E concedido privilégio de executável.

Se eu iniciar o servidor usando tightvncserver , obtenho:

New 'X' desktop is numbersix:1

Starting applications specified in /home/adam/.vnc/xstartup
Log file is /home/adam/.vnc/numbersix:1.log

nmap localhost dá:

Starting Nmap 7.40 ( https://nmap.org ) at 2017-11-09 21:05 GMT
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000076s latency).
Other addresses for localhost (not scanned): ::1
Not shown: 986 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
53/tcp   open  domain
80/tcp   open  http
111/tcp  open  rpcbind
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
631/tcp  open  ipp
5901/tcp open  vnc-1
6001/tcp open  X11:1
8000/tcp open  http-alt
8001/tcp open  vcom-tunnel
8010/tcp open  xmpp
8080/tcp open  http-proxy
9091/tcp open  xmltec-xmlmail

nmap 192.168.1.6 fornece o mesmo resultado.

Eu configurei o servidor como um serviço systemd - criado /etc/systemd/system/[email protected] com este conteúdo:

[Unit]
Description=Start TightVNC server at startup
After=syslog.target network.target

[Service]
Type=forking
User=adam
PAMName=login
PIDFile=/home/adam/.vnc/%H:%i.pid
ExecStartPre=-/usr/bin/vncserver -kill :%i > /dev/null 2>&1
ExecStart=/usr/bin/vncserver -depth 24 -geometry 1280x800 :%i
ExecStop=/usr/bin/vncserver -kill :%i

[Install]
WantedBy=multi-user.target

Em seguida, iniciou o serviço com

$ sudo systemctl daemon-reload
$ sudo systemctl enable [email protected]
$ sudo systemctl start vncserver@1

Tudo parece funcionar. sudo systemctl status vncserver@1 dá:

● [email protected] - Start TightVNC server at startup
   Loaded: loaded (/etc/systemd/system/[email protected]; enabled; vendor preset: enabled)
   Active: active (running) since Thu 2017-11-09 21:38:13 GMT; 6s ago
  Process: 3924 ExecStart=/usr/bin/vncserver -depth 24 -geometry 1280x800 :1 (code=exited, status=0/SUCCESS)
  Process: 3916 ExecStartPre=/usr/bin/vncserver -kill :1 > /dev/null 2>&1 (code=exited, status=2)
 Main PID: 3937 (Xtightvnc)
    Tasks: 0 (limit: 4915)
   CGroup: /system.slice/system-vncserver.slice/[email protected]
           ‣ 3937 Xtightvnc :1 -desktop X -auth /home/adam/.Xauthority -geometry 
1280x800 -depth 24 -rfbwait 120000 -rfbauth /h

Nov 09 21:38:12 numbersix systemd[1]: Starting Start TightVNC server at startup...
Nov 09 21:38:12 numbersix systemd[3916]: pam_unix(login:session): session opened for user adam by (uid=0)
Nov 09 21:38:12 numbersix systemd[3924]: pam_unix(login:session): session opened for user adam by (uid=0)
Nov 09 21:38:13 numbersix systemd[1]: Started Start TightVNC server at startup.

telnet localhost 5901 parece se conectar OK:

Trying ::1...
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
RFB 003.008

E sudo netstat -nlpt | grep :59 dá:

tcp        0      0 0.0.0.0:5901            0.0.0.0:*               LISTEN      3937/Xtightvnc

Mas, telnet numbersix 5901 e telnet 192.168.1.6 (do Windows) falham com:

Could not open connection to the host, on port 5901: Connect failed

E nem RealVNC nem TightVNC se conectam (usando nome de host ou IP). Ping funciona em ambos os hosts do Windows com IP ou hostname. Também não consegui conectar a partir do laptop Ubuntu. Mais uma vez, pode pingar. Eu posso ssh sem problemas. sudo nmap numbersix do laptop Ubuntu dá:

Starting Nmap 7.01 ( https://nmap.org ) at 2017-11-10 12:50 GMT
Nmap scan report for numbersix (192.168.1.6)
Host is up (0.0032s latency).
Not shown: 997 filtered ports
PORT     STATE SERVICE
22/tcp   open  ssh
8000/tcp open  http-alt
8001/tcp open  vcom-tunnel
MAC Address: 60:45:CB:64:2B:C8 (Unknown)

Nmap done: 1 IP address (1 host up) scanned in 12.85 seconds

As cadeias INPUT, FORWARD e OUTPUT de sudo iptables -L no servidor são:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     udp  --  anywhere             anywhere             udp dpt:domain
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere             udp dpt:bootps
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:bootps
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere
INPUT_direct  all  --  anywhere             anywhere
INPUT_ZONES_SOURCE  all  --  anywhere             anywhere
INPUT_ZONES  all  --  anywhere             anywhere
DROP       all  --  anywhere             anywhere             ctstate INVALID
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  anywhere             192.168.122.0/24     ctstate RELATED,ESTABLISHED
ACCEPT     all  --  192.168.122.0/24     anywhere
ACCEPT     all  --  anywhere             anywhere
REJECT     all  --  anywhere             anywhere             reject-with icmp-port-unreachable
REJECT     all  --  anywhere             anywhere             reject-with icmp-port-unreachable
DOCKER-USER  all  --  anywhere             anywhere
DOCKER-ISOLATION  all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
DOCKER     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere
FORWARD_direct  all  --  anywhere             anywhere
FORWARD_IN_ZONES_SOURCE  all  --  anywhere             anywhere
FORWARD_IN_ZONES  all  --  anywhere             anywhere
FORWARD_OUT_ZONES_SOURCE  all  --  anywhere             anywhere
FORWARD_OUT_ZONES  all  --  anywhere             anywhere
DROP       all  --  anywhere             anywhere             ctstate INVALID
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     udp  --  anywhere             anywhere             udp dpt:bootpc
OUTPUT_direct  all  --  anywhere             anywhere

Então eu acho que isso sugere que o iptables não está bloqueando nada ...

Alguém pode me ajudar a diagnosticar o problema, por favor?

    

Answer 1

A resposta está no meu fracasso em entender o iptables - e particularmente o que a saída de sudo iptables -L significou ...

Quando, em vez disso, executei sudo iptables -S , recebi uma descrição muito mais completa de cada regra, e ficou óbvio que não havia uma regra INPUT adequada que permitisse o tráfego tcp no 5901 (ou qualquer um dos outros portos que eu estava olhando) através de. Em seguida, a regra final INPUT, que basicamente rejeitava tudo o que não correspondia a uma regra, estava coletando esse tráfego e rejeitando-o. A regra que eu pensei que deveria ter sido ACEITANDO o tráfego aplicado somente à interface lo (loopback).

Eu corri isto: sudo iptables -I INPUT 7 -s 192.168.1.0/24 -i enp37s0 -j ACCEPT

Isso é basicamente inserir uma regra na linha 7 da cadeia INPUT e dizer para ACEITAR qualquer tráfego da sub-rede 192.168.1.0/24 que chegue na porta ethernet.

O próximo desafio é fazer com que o iptables-persistent funcione na reinicialização !!