ある痴れ者の日記

WindowsXPからKNOPPIX6.2にリモート接続する方法として、VNCというものがある。SSHが端末で操作するのに対して、VNCではKNOPPIXのXウィンドウが表示されて、マウスカーソルで操作することができる。ただ、VNCにはセキュリティ上の不安[1]がある。そこで、暗号化されているSSHのトンネルを使ってVNC接続をしてみよう。

DELL OptiPlex GX270 Small Desktop
Windows XP Professional SP3
同じ無線LANルータによる有線接続
TeraTerm 4.66
TightVNC 1.3.10

１．SSHのインストールと接続

別の記事で紹介したので省略（「KNOPPIX6.2にSSH2リモート接続」）。

２．VNCのインストールと接続

（１）TightVNCのインストール［Windows側］

ダウンロードページ（日本語）：　sourceforge.jp
ダウンロードファイル：　tightvnc-1.3.10-setup.exe
ダウンロードページ（英語）：　tightvnc.com

英語のダウンロードページtightvnc.comにはベータ版が出ているが、わたしは日本語サイトsourceforge.jpから、tightvnc-1.3.10-setup.exeをダウンロードした。

インストールで難しいところはない。WindowsからKNOPPIXに接続する場合、必要なのはTightVNC Viewerだけなので、TightVNC Serverはインストールしなくてもいいかもしれない。

（２）x11vncのインストール［KNOPPIX側］

VNCサーバとなるx11vncは、KNOPPIX6.2にはじめからインストールされている。バージョンを確認しておこう。

$ dpkg -l x11vnc
.
ii x11vnc　　0.9.8-2　　VNC server to allow remote access to an existing X session.

apt-cacheコマンドでアップデートを確認すると0.9.9-1というバージョンが表示されるが、アップデートはしていない。新しいバージョンと依存関係のあるlibc6をはじめとするライブラリファイルも同時にアップデートしなければならないので、収拾がつかなくなる可能性が高いからだ。

（３）x11vncのパスワード設定［KNOPPIX側］

パスワードなしでx11vncを起動すると、警告が表示される。この警告を表示させないオプションもあるようだが、パスワードはぜひとも設定しておきたい。（「パスワードの作り方、Google方式」journal.mycom.co.jp）

$ x11vnc -storepasswd
.
Enter VNC password:
Verify password:
Write password to /home/knoppix/.vnc/passwd? [y]/n

パスワードの保存先を確認してくるので、yを入力すればよい。

/home/knoppix/.vnc/passwdファイルには、入力したパスワードがそのまま書き込まれるわけではない。ホームディレクトリからviで開いてみると、[noeol][変換済]と表示されており、意味不明な記号が書かれている。viを閉じるには、:qと入力して［Enter］キー。

~$ vi .vnc/passwd　　

~/.vnc/passwdファイルのパーミッションも確認しておこう。ユーザknoppixだけに読み書きが許可されているはずだ。

~$ ls -l .vnc
.
-rw——- 1 knoppix knoppix 　…… 　passwd

（４）x11vncの起動［KNOPPIX側］

x11vncのコマンドでx11vncサーバが起動するが、パスワードを使用するオプションをつける場合、次のように入力することになる。

$ x11vnc -rfbauth /home/knoppix/.vnc/passwd
.
The VNC desktop is Microknoppix:0
PORT=5900

いくら待っても端末にプロンプトが返ってこないのは、異常ではない。この状態からx11vncを終了するには、Ctrlキー＋Cキー。

端末が使いたかったら、もう一つ起動すればよい。psコマンドで、x11vncのプロセスを確認しておこう。

$ ps aux | grep x11vnc
.
knoppix 3573 …… x11vnc -rfbauth /home/knoppix/.vnc/passwd

3573という数字はx11vncのプロセス番号で、その都度変化する。この番号から、root権限のkillコマンドで、x11vncを強制終了することもできる。

# kill -9 ［プロセス番号］

nmapコマンドで、vnc接続用のTCPポートが開いたことを確認しよう。

$ nmap localhost
.
5900/tcp open vnc

なお、デフォルトのnmapコマンドでは、ＴＣＰのポートが表示されている。vncやsshはＴＣＰの通信規格なので、それらのサーバが起動していればこのコマンドで表示されるのだが、たとえばUDPのポート状況を確認するためには、別のオプションをつける必要がある。

（５）x11vncの自動起動［KNOPPIX側］

前回記事のsshと同じ要領で、x11vncも自動起動の設定ができる。/etc/rc.localの末尾に、次の一行を追加すればよい。改行を入れてはならない。sudoは必要ない。

/usr/bin/x11vnc -rfbauth /home/knoppix/.vnc/passwd -auth /home/knoppix/.Xauthority -display :0 -allow 192.168.**** -forever
.

-allow 192.168.****のアスタリスクの部分は、実際にはプライベートIPアドレスの数字が入っている。-allowは、特定のIPアドレスのクライアントからの接続だけを許可するという、強力なオプションだ。

-foreverオプションは、vnc接続を切断してもx11vncサーバが停止しなくなる。

-displayオプションは、なくても問題なさそうだが、起動がスムーズでまちがいがなくなる。

-authオプションは、エラーメッセージが出たときにその指示に従ってつけ足したものだ。

11xvncのオプションについては、manコマンドで長大なマニュアルページの解説を読むことができる。

$ man x11vnc

長いオプションを毎回入力するのはたしかに面倒なことだ。しかし、たいして必要がないのにx11vncの自動起動を設定しておくのは、セキュリティ上好ましいことではない。vnc接続をひと通りためして満足したら、行頭に#をつけてコメントアウトしておこう。

（６）オプション入力の省略［KNOPPIX側］

/etc/rc.localに頼らなくても、ユーザのホームディレクトリに.x11vncrcというファイルを作り、そこに必要なオプションを書いておけば、オプションを毎回入力する必要がなくなる。このことは、x11vncのマニュアルページの最初の方に書かれている。次のようにviで新規ファイルを作成し、そのまま編集する。

~$ vi .x11vncrc
.
i　　　　　・・・ここから編集（挿入）モード
.
rfbauth /root/.vnc/passwd
auth /home/knoppix/.Xauthority
display :0
allow 192.168.****
forever
.
[Esc]　　　・・・ここからコマンドモード
:wq

さきほど/etc/rc.localでは一行にまとめたオプションを、/home/knoppix/.x11vncrcではオプションごとに改行して書き出している。オプションの頭のハイフンは、つけてもつけなくてもよい。

これでVNCサーバが簡単に起動できるようになった。

$ x11vnc

なお、.x11vncrcファイルで設定したオプションを無効にしてx11vncを起動したいときには、端末でx11vncコマンドを入力するときに、-norcというオプションをつければよい。

（７）TightVNC接続［Windows側］

KNOPPIX側でx11vncが起動していることを確認した上で、TightVNC Viewerを起動する。

［VNC server］のボックスにKNOPPIXのローカル［グローバル］IPアドレスを入れて、[Connect]ボタンを押す。設定がうまくできていれば［Password］のボックスがあらわれるので、x11vncのパスワードを入力して［OK］する。すると、Microknoppix:0というウィンドウがあらわれ、KNOPPIXのXウィンドウの画面が表示される。

３ ^ SSH転送によるVNC接続

（１）SSH転送の設定

まず、TeraTermを起動する。接続はキャンセルする。TeraTermVTのウィンドウのメニューの［設定］から［SSH転送］＞［追加］で下の図のようなウィンドウが開くので、以下の要領で入力する。

［ローカルのポート］に入れる番号は、［ポート］に入れる番号と同じでいいみたいだ。

［リモート側ホスト］には、KNOPPIX自身のIPアドレスを入力する。x11vncサーバからみるとVNCサーバは同じマシンにあるので、自分自身を転送先アドレスにしてx11vnc用の5900番のポートに転送をおこなう、という意味の設定のようだ。

［ポート］には、x11vncを起動したときに表示されるポート番号を入れる。デフォルトで5900だ。ディスプレイ番号が0以外の場合、その数字をここに足さなければならないかもしれないのだが、x11vncは二重に起動したりしないかぎりディスプレイ番号が0になるので関係ない。

［OK］で、TeraTermVT以外のウィンドウを閉じる。

（２）設定の保存

以上の設定を、TeraTermVTのメニューの［設定］から［設定の保存］＞［保存］で、TeratermフォルダのTERATERM.INIというファイルに保存する。

（３）SSH転送によるVNC接続

KNOPPIXにx11vncが起動しており、TightVNCの接続はしていないという状態を確認する。x11vncを起動するとき、もしも-allowオプションがあったら切っておくこと。さもないと-allowオプションの威力を思い知らされることになる。

x11vncは、sshのTeraTermVT端末から起動することもできる。しかし、そうすると端末にプロンプトが返ってこないので、x11vncを起動している間TeraTermVTが使えないことになり、それなりに不便だ。ssh転送を使うのならx11vncの自動起動は有効にしてもいいということにしよう。

まず、ssh接続していることを確認する。続いてTightVNC Viewerを起動して、vnc接続をする。

［VNC server］のボックスには、さきほど［SSH転送］で設定したのと同じKNOPPIX自身のIPアドレス127.0.0.1を入れる。ここで２（７）のようにKNOPIXのローカル［グローバル］IPアドレスを入力しても接続できるが、それではただのvnc接続になってしまう。くれぐれも注意したいところだ。

［Connect］をクリックして、x11vncのパスワードを入力すると、ssh経由のvnc接続がおこなわれる。

今後TightVNCだけで接続することはないだろうから、もしも/etc/rc.localや/home/knoppix/.x11vncrcに-allowオプションがあったら、次のように修正しておこう。なお、接続を許可するIPアドレスをコンマで追加することもできる。

-allow 127.0.0.1

TightVNCは、パスワードをDESという方式で暗号化して送信する。しかし、それ以外の通信内容は暗号化されない。したがって、インターネット上でTightVNC接続をおこなうことは危険をともなう。

How secure is TightVNC?

Although TightVNC encrypts VNC passwords sent over the net, the rest of the traffic is sent as is, unencrypted (for password encryption, VNC uses a DES-encrypted challenge-response scheme, where the password is limited by 8 characters, and the effective DES key length is 56 bits). So using TightVNC over the Internet can be a security risk.

DESは今では多くの用途において安全ではないと見なされている。これは主に56ビットという鍵長が短すぎることに起因する。 … 近年、AES暗号に取って代わられた。

「x11vnc: a VNC server for real X displays」 karlrunge.com/x11vnc/
「リモートのLinuxデスクトップをWindowsから操作する方法教えます」 builder.japan.zdnet.com（2010年3月8日）
「sshでポート・フォワーディングしてVNCを使う」 nhh.mo-blog.jp/ttt（2006年6月9日）
「Ubuntu7.04 にx11vncをインストールする」 チラシの裏にでも書いてろ　な！（2007年9月22日）