Deepin VNC 服务配置与 SSH 隧道安全访问配置指南

前言

在 Deepin 25 版本中，基于 x11vnc 与 OpenSSH 实现远程桌面安全访问的完整方案，包含环境准备、服务配置、SSH 隧道加密、性能优化、故障排查及安全加固等核心内容。

1. 环境准备与工具选型

1.1 适用环境

• 操作系统：Deepin 25

• 依赖组件：OpenSSH 8.0+、X11 桌面环境（Deepin 默认桌面）

1.2 工具应用选择

• VNC 服务端：x11vnc（与 Deepin 桌面环境原生兼容，无需额外配置独立图形会话，直接映射当前桌面）

• SSH 客户端：OpenSSH（支持端口转发与高效加密算法，适配多平台）

2. VNC 服务端配置

2.1 安装 x11vnc

sudo apt update
sudo apt install x11vnc -y

2.2 设置访问密码

1. 生成密码文件（按提示输入并确认密码）：

x11vnc -storepasswd

1. 迁移密码文件至系统目录：

sudo cp /home/wingaso/.vnc/passwd /etc/x11vnc.passwd
sudo chown wingaso:wingaso /etc/x11vnc.passwd

2.3 创建系统服务配置文件（优化版）

1. 新建 /etc/systemd/system/x11vnc.service，内容如下：

[Unit]
Description=Optimized remote desktop service (VNC)
After=multi-user.target display-manager.service
Wants=display-manager.service[Service]
Type=simple
User=wingaso
Environment="DISPLAY=:0"# 优化参数配置
ExecStart=/usr/bin/x11vnc -display :0 -auth /home/wingaso/.Xauthority -rfbauth /etc/x11vnc.passwd -rfbport 5900 -forever -shared -noxdamage -noxfixes -wait 10 -defer 10 -speeds modemRestart=always
RestartSec=5
StartLimitInterval=60
StartLimitBurst=3[Install]
WantedBy=multi-user.target

1. 关键参数说明：

• -noxdamage -noxfixes：禁用冗余 X11 扩展，大幅提升桌面流畅度

• -wait 10 -defer 10：控制屏幕更新频率，平衡响应速度与带宽占用

• StartLimitInterval/StartLimitBurst：限制 60 秒内最大重启次数为 3，避免服务异常循环重启

2.4 启动并验证服务

sudo systemctl daemon-reload
sudo systemctl enable --now x11vnc
sudo systemctl status x11vnc  # 显示 active(running) 即为正常

3. SSH 隧道安全配置

3.1 建立加密隧道

核心命令：

ssh -L 5901:localhost:5900 -c [e-mail] -o Compression=no wingaso@{服务器IP}

命令精简解析

1. -L 5901:localhost:5900：本地端口转发，将本地 5901 端口流量通过加密隧道转发至服务器 5900 端口（VNC 服务端口）。

2. -c [e-mail]：指定高效加密算法，低 CPU 占用且安全强度达标，适配远程桌面实时性需求。

3. -o Compression=no：禁用 SSH 压缩，避免额外 CPU 开销导致操作延迟。

4. wingaso@{服务器IP}：SSH 登录信息，wingaso 为用户名，{服务器IP} 替换为 Deepin 主机的公网/内网 IP。

SSH 加密算法协商机制

1. 协商流程：客户端发送支持的算法列表，服务端选择自身支持且优先级最高的算法，建立加密通道。

2. 核心原则：优先选择「安全达标 + 性能开销低」的算法，禁用弱算法（如 3des-cbc、aes-128-cbc）。

3. 版本依赖：Deepin 25 搭载的 OpenSSH 已默认屏蔽不安全算法，无需额外配置。

验证服务端支持的加密算法

# 本地查询（已登录服务器）
ssh -Q cipher
# 远程查询（无需登录）
ssh -T -c ? wingaso@{服务器IP}

• 输出为服务端支持的算法列表，按优先级排序。

性能较优的 SSH 加密算法推荐

1. [e-mail]（首选）：低 CPU 占用，无硬件加速依赖，虚拟机、低功耗设备表现最优。

2. [e-mail]：硬件加速支持广泛，大文件传输效率突出。

3. [e-mail]：安全强度更高，性能损耗仅 10% 左右，适合高性能服务器。

3.2 VNC 客户端连接

• 连接地址：127.0.0.1:5901

• 认证方式：输入步骤 2.2 中设置的 VNC 密码

4. 性能与连接优化

4.1 SSH 连接持久化配置

1. 创建 ~/.ssh/config：

Host deepin-vncHostName {服务器IP}User wingasoPort 22Compression noCiphers [e-mail],[e-mail] 60ServerAliveCountMax 3LocalForward 5901 localhost:5900

1. 简化连接命令：

ssh deepin-vnc

5. 故障排查流程

5.1 服务启动异常排查

sudo systemctl status x11vnc
sudo journalctl -u x11vnc.service -n 20
x11vnc -display :0 -auth /home/wingaso/.Xauthority -once -rfbport 5900  # 手动测试

5.2 常见问题解决

5.2.1 X11 认证失败

• 症状：服务启动提示「Could not open X authority」

• 解决：

sudo -u wingaso xauth generate :0 . trusted

5.2.2 端口占用冲突

• 症状：服务提示「port 5900 in use」

• 解决：

sudo netstat -tlnp | grep :5900  # 查找占用进程

终止冲突进程或修改服务配置的 -rfbport 参数（如 5901）

5.2.3 连接卡顿/延迟

1. 检查隧道带宽：iftop -i any -f "port 22"

2. 服务端：调整 -wait 20 -defer 20 参数

3. 客户端：降低颜色深度至 16 位色

4. SSH 算法：无硬件加速时切换为 [e-mail]

5.2.4 SSH 算法协商失败

• 症状：连接提示「no matching cipher found」

• 解决：查询服务端支持的算法，选择对应算法替换 -c 参数

6. 版本适配与安全加固

6.1 不同 Deepin 版本适配

• Deepin 15.x：手动指定 XAUTHORITY=/var/run/lightdm/wingaso/.Xauthority

• Deepin 23+：使用 x11vnc-wayland 分支（源码编译：git clone https://github.com/LibVNC/x11vnc）

• 企业环境：多用户并发场景建议用 VPN 替代 SSH 隧道

6.2 安全加固措施

# 限制访问源
sudo ufw allow from {可信网络段}/24 to any port 5900
# 定期更新密码
sudo x11vnc -storepasswd /etc/x11vnc.passwd
# 禁用 SSH root 登录
sudo sed -i 's/^#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
# 禁用弱加密算法
sudo echo -e "Ciphers [e-mail],[e-mail],[e-mail]" >> /etc/ssh/sshd_config
# 重启相关服务
sudo systemctl restart sshd
sudo systemctl restart x11vnc

总结

本文围绕 Deepin 25 系统，提供了基于 x11vnc 优化配置与 SSH 隧道加密的远程桌面访问方案，涵盖安装配置、性能优化、故障排查及安全加固。