Настройка безопасного RDP-доступа к рабочему столу Pardus Xfce

Если вам нужно использовать компьютер Pardus из другой комнаты или другой сети, правильная настройка зависит от того, хотите ли вы видеть уже открытый рабочий стол или запускать отдельный графический вход. Для Pardus 25 Xfce практичным вариантом является использование RDP xrdpс бэкендом Xorg; устанавливайте его только в том случае, если репозитории Pardus, настроенные на вашем компьютере, предлагают необходимые пакеты, и используйте для доступа доверенную локальную сеть или VPN. RDP (Remote Desktop Protocol) позволяет RDP-клиенту отображать и управлять удаленной графической сессией.

В этом руководстве в качестве отправной точки используется Pardus 25. Согласно примечаниям к выпуску Pardus 25 , Pardus 25 доступен с Xfce 4.20.2 в качестве рабочего стола по умолчанию и с GNOME 48.4 в качестве отдельной версии. Более ранние версии Pardus могут иметь другие версии пакетов или особенности работы рабочего стола, поэтому проверьте свою версию, прежде чем выполнять действия, специфичные для конкретного пакета.

1. Определите, какой вариант отображения на рабочем столе вам нужен.

Удаленный доступ к рабочему столу может означать две разные вещи. Совместное использование рабочего стола отображает и управляет графической сессией, уже открытой на компьютере Pardus. Удаленный вход в систему создает графическую сессию входа в систему для подключающегося пользователя. Эти режимы не взаимозаменяемы: совместное использование полезно при оказании помощи кому-либо за консолью, в то время как удаленный вход в систему обычно лучше подходит для доступа к рабочей станции без присутствия пользователя.

Описанные ниже шаги позволяют настроить отдельную сессию Xfce xrdp. Это исключает предположение, что пользователь за физическим компьютером уже вошел в систему. Если в вашей установке Pardus используется GNOME, и вы хотите специально предоставить доступ к GNOME или подключиться к нему удаленно, выберите «Настройки» > «Система» > «Удаленный рабочий стол». В текущей документации GNOME описаны отдельные элементы управления «Совместное использование рабочего стола» и «Удаленный вход», но точные параметры зависят от установленных компонентов и версии GNOME; не следует предполагать, что они присутствуют в Xfce.

В качестве конкретного примера представьте себе вымышленного студента, который хочет открыть свою рабочую станцию ​​Pardus 25 Xfce с ноутбука под управлением Windows, при условии, что оба устройства находятся в одной домашней сети. Ему нужна собственная графическая сессия, поэтому подходит метод Xfce плюс xrdp. Этот пример носит исключительно иллюстративный характер; он не является отчетом о протестированной конфигурации.

2. Подготовьте Pardus и подтвердите наличие посылки.

Перед установкой чего-либо обновите Pardus через его обычные репозитории и убедитесь, что у вас есть учетная запись администратора, работающее сетевое соединение и возможность локального доступа к компьютеру, если удаленный доступ не запускается. На компьютере с Pardus проверьте версию и рабочий стол:

cat /etc/os-release
echo "$XDG_CURRENT_DESKTOP"

Затем проверьте, содержат ли настроенные в этой установке репозитории пакеты как для RDP-сервера, так и для драйвера Xorg:

sudo apt update
apt-cache policy xrdp xorgxrdp

Устанавливайте только в том случае, если оба варианта указывают на наличие подходящего репозитория. Проект xrdp описывает xrdp как графический сервер авторизации RDP и рекомендует этот xorgxrdpмодуль для рабочего стола Xorg; его обычный порт прослушивания — TCP 3389. Доступность пакетов может варьироваться в зависимости от версии Pardus и конфигурации репозитория. Если ни для одного из пакетов нет подходящего репозитория, не добавляйте сторонний репозиторий, не связанный с данным руководством; обратитесь к исходным кодам пакетов Pardus для вашей версии.

sudo apt install xrdp xorgxrdp

3. Выберите Xfce для удаленной сессии и запустите службу.

Сессия — это среда рабочего стола, которую видит удалённый пользователь после входа в систему. Если на компьютере уже запущен Pardus Xfce, укажите средству запуска сессий X запустить Xfce для вашей учётной записи:

printf '%s\n' xfce4-session > ~/.xsession

Эта команда записывает одну команду сессии в файл текущего пользователя ~/.xsession. Запускайте её от имени учетной записи, которая будет подключаться, а не от имени root. Если вы используете другой рабочий стол или уже используете собственный файл .xsession, не перезаписывайте его бездумно; сначала сохраните копию и используйте правильную команду сессии для этого рабочего стола.

Включите службу xrdp при запуске системы и запустите её прямо сейчас:

sudo systemctl enable --now xrdp
systemctl is-active xrdp

Вторая команда должна вывести activeсообщение о том, что служба запущена. Если служба отсутствует или не запускается, проверьте её состояние перед открытием любого сетевого порта:

sudo systemctl status xrdp --no-pager

4. Ограничьте доступ к сети перед подключением.

Не предоставляйте прямой доступ к порту TCP 3389 из общедоступного интернета. RDP — это интерактивная служба авторизации, поэтому доступный порт привлекает попытки подбора пароля. Для домашнего или офисного использования подключайтесь из одной и той же доверенной сети или сначала подключитесь к VPN вашей организации. Если включен брандмауэр хоста, создайте правило, разрешающее TCP 3389 только из диапазона адресов доверенной локальной сети или VPN. Команды брандмауэра различаются в зависимости от того, использует ли компьютер UFW, nftables или другой менеджер; перед изменением проверьте активный брандмауэр и его существующие правила.

Определить локальный адрес машины Pardus можно с помощью следующей команды:

hostname -I

Используйте адрес, доступный из сети клиента, а не адрес замыкания или посторонний VPN-интерфейс. Защитите учетную запись пользователя Pardus надежным, уникальным паролем и избегайте предоставления учетных данных администратора для обычного доступа к рабочему столу. В документации xrdp по умолчанию указано шифрование TLS для передачи данных по протоколу RDP; тем не менее, проверяйте работу сертификата в вашей системе и поддерживайте сервер и клиент в актуальном состоянии.

5. Подключитесь с клиентского компьютера и проверьте сессию.

В Windows откройте «Подключение к удаленному рабочему столу», выполнив команду mstsc. Введите доступный IP-адрес компьютера Pardus, выберите «Подключиться» и войдите в систему с учетной записью Pardus, которой принадлежит .xsessionфайл. С другого компьютера под управлением Linux Remmina может выступать в качестве клиента RDP; в обзоре программного обеспечения сообщества Pardus указано, что Remmina — это клиент, поддерживающий RDP и несколько других протоколов удаленного доступа.

Успешное соединение должно привести к сеансу рабочего стола Xfce. Убедитесь, что вы можете открыть безобидное приложение, взаимодействовать с рабочим столом и нормально отключиться. Затем повторно подключитесь, чтобы убедиться, что доступ работает после первого входа в систему. Если вход в систему прошел успешно, но окно пустое или закрывается сразу, убедитесь, что команда сеанса пользователя действительна и что Xfce установлен. Если клиент вообще не может связаться с хостом, проверьте адрес, путь VPN/LAN, состояние службы и правило брандмауэра в области действия, прежде чем изменять параметры безопасности xrdp.

Для просмотра логов текущей загрузки используйте:

sudo journalctl -u xrdp -b --no-pager

Найдите ошибку подключения или сессии, возникшую примерно в момент неудачной попытки. Наличие работающей службы само по себе не доказывает работоспособность удаленного доступа: окончательная проверка — это вход клиента в систему, который создает необходимую сессию Xfce, при этом сетевое правило остается ограниченным доверенными источниками.

Источники: примечания к выпуску Pardus 25 , документация проекта xrdp , информация о пакете xrdp в Debian и документация по удаленному входу в систему GNOME .