Чи є мінус встановлення VNC?

20

У мовному відділенні мого університету є Intel NUC, який незабаром розмістить веб-додаток, який використовують викладачі та студенти кафедри. NUC працює на Ubuntu (14.10).

Мені комфортно з терміналом і SSH-сервером на сервері, однак я вважаю, що багато завдань, які мені потрібно зробити, набагато простіші за допомогою обміну екраном (VNC).

Я запропонував нашому новому технічному директору встановити VNC на цьому сервері, щоб значно полегшити моє життя (адже він був встановлений VNC ще до того, як його найняли, а потім він його видалив). Однак він відповів таким коментарем:

Я б вважав за краще не запускати X або VNC на сервері, якщо ми зможемо з ним піти. Адже це сервер.

Я справді не розумію цієї логіки. Він не підключений до монітора; єдиний доступ до нього через SSH. Чи є якийсь чудовий мінус доступу VNC до сервера, про який я не знаю?

Очевидно, ви відкриваєте інший порт для зловмисника; спростування: ми стоїмо за двома університетськими брандмауерами (основний брандмауер університетської мережі, а також спеціальною брандмауером нашої підмережі). VNC зможе здійснити лише всередині нашої підмережі, тому я втрачаю, чому це буде іншою проблемою, ніж "це інший пакет для підтримки", і з aptменеджером пакетів Ubuntu, який стає не випуском.

Які недоліки встановлення VNC на сервері?

Редагувати : це не лише веб-сервер. Він розміщує ряд інших програм. Не впевнений, чи це має значення.

ubuntu vnc

— Кріс Сірефіс
джерело

21

Я не уявляю нічого, що може знадобитися з веб-сервером, що було б легше використовувати графічний інтерфейс. Можливо, ви також повинні запитати про те, чи є кращий спосіб виконувати завдання, які ви хочете виконати.

— Майкл Хемптон

3

Так чи інакше, це можливість дізнатися щось нове.

— Майкл Хемптон

9

Вся справа в обмеженні поверхні. Якщо більше сервісів, більше може піти не так, і більше може зламатись. Зрозуміло, ви сказали це, але це залишається правдою. Також особисто я ненавиджу VNC. А як щодо переадресації X11 через SSH?

— Майкл Бейлі

1

То чому для цього потрібно використовувати ці інструменти на сервері? Використання веб-переглядача без графічного інтерфейсу у більшості випадків буде марним - але ви б не розглядали запуск свого браузера на сервері. Що б ви не використовували, просто встановіть його на клієнті та отримайте доступ до будь-яких даних, необхідних на сервері, бажано через ssh. Можливо, загляньте в sshfs

— Бен

7

Я не хочу розміщувати це як відповідь, оскільки це не відповідає на запитання "Які недоліки VNC", але детально пояснювати коментар @MichaelBailey: Вам не потрібні X або VNC на сервері . SSH на сервер з переадресацією X дозволяє графічним програмам фактично запускатися на сервері, відображаючи вікна на сервері X11, що працює на вашій локальній машині. Вам потрібні лише деякі спільні бібліотеки X11 на сервері, які не будуть витрачати ресурси, поки ви не запустите програму, яка їх використовує. ІМО хороший компроміс.

— Джеральд Шнайдер

42

Причин дуже багато:

Поверхня атаки: більше програм, особливо мережевих, означає більше можливостей, щоб хтось знайшов помилку та потрапив у неї.
Дефектна поверхня: як вище, але замініть "когось" на " Мерфі ", а "ввійдіть" на "зіпсуйте день". Власне, "зіпсуй свій день", ймовірно, стосується і попереднього пункту.
Ефективність системи: X11 та середовище GUI, яке люди, як правило, працюють на них, споживають пристойну кількість оперативної пам’яті, особливо на обмеженій системі ресурсів, як NUC. Якщо їх не запустити, це означає більше ресурсів для корисної роботи.
Ефективність оператора: графічні інтерфейси не піддаються сценаріям та іншим формам автоматизації. Клацання на речі відчуває продуктивність, але насправді йдеться про найгірший спосіб зробити щось глибоко технічне. Ви також знайдете ваші майбутні можливості працевлаштування сильно обмежені, якщо не зможете скласти сценарій та автоматизувати роботу - галузь відходить від інструментів адміністратора GUI. Чорт, навіть сервер Windows може бути встановлений без GUI в ці дні, і якщо це не змушує задуматися про відносні достоїнства лише того, щоб знати, як натиснути на речі, я дійсно не знаю, що тобі сказати.

— жіночий
джерело

1

Почув це по-жіночому .. ти знову на 20 секунд побив мене на удар. :) Чудова відповідь.

— Тім Брігхем,

3

Багато часу, проведеного з Mavis Beacon в моїй молодості, повинно мати певні переваги ... <grin>

— Жіночий

6

@ChrisCirefice, то я пропоную вам попросити когось зробити все правильно, а не порушувати безпеку виробничих серверів для невеликого простоти використання.

— Андре Борі

8

Це дотик суворо, Андре. Мені хотілося б подумати, що Кріс трохи краще розуміє наслідки своїх уподобань, для цього не потрібно вибивати начинку з нього.

— жіноча

4

@ChrisCirefice будьте дуже обережні, думаючи про такі речі, як "відсутність надцінної інформації" та "за брандмауерами". Значення даних знаходиться в очах спостерігача, і роль систем може нескінченно змінюватися з часом, так що більш цінні (для зловмисників) дані повільно накопичуються в системі, яку всі вважають, що не варто захищати .. і тоді ви опиняєтесь на першій сторінці кожного веб-сайту новин, тому що щось неприємно просочилося.

— живіт

15

Проблема не в VNC - не зрозумійте мене неправильно, VNC - жахливий протокол і має багато недоліків (найбільший - відсутність підтримки шифрування, тому все проходить по простому тексту), але це не головне тому його використання не рекомендується використовувати на серверах.

Ви збираєтесь встановити VNC для доступу до чого, чорний екран? Ні, ви хотіли отримати доступ до цілого середовища робочого столу, і це справжня проблема.

Встановивши все це програмне забезпечення Gnome (або подібне) для настільних програм, ви вже можете вважати, що ваш сервер поставлений під загрозу, оскільки в цій жахливій величезній колекції додатків залишилося так багато помилок (окрім того, що він не розроблений для підвищення продуктивності і використовує тонну ресурсів). Однією з інших причин, чому я не рекомендую це програмне забезпечення та більшість середовищ робочого столу Linux, є те, що вони переймають усю систему майже як руткіт і реалізують власні версії всього (автентифікація? Немає більше надійних користувачів та груп , давайте запустимо цю нісенітницю Policykit як корінь, який надає дозволи на основі нечитаних, незрозумілих XML-файлів ... конфігурації? Кому потрібні файли конфігурації, прочитані людиною?

При спробі встановити середовище робочого столу Gnome на моєму сервері Archlinux мені сказано "Загальний встановлений розмір: 1370,86 МіБ". Це величезно, уявіть собі додаткову поверхню атаки, яку матиме колишній сервер після його встановлення. Інші робочі середовища не набагато кращі.

— Андре Борі
джерело

"VNC - жахливий протокол і має безліч недоліків (найбільший - відсутність шифрування ...)" У ситуаціях, коли потрібен VNC, а не середовище сервера, вашу проблему запобігають тунелюванню сеансів VNC через ssh.

— Кіт Рейнольдс

@KeithReynolds так, але він повинен бути вбудованим, особливо коли ви порівнюєте його з його супутниками, як більш "сучасний" RDP, який зашифрований відразу (безпечний, якщо ви довіряєте сертифікату сервера).

— Андре Борі

7

Одна філософія дизайну полягає у створенні всіх можливих рішень (як правило, типових для розробників MS), а інша полягає у з’єднанні того, що вам потрібно (як правило, типово для розробників Linux). Щодо VNC: Коли потрібна безпека через недовірену мережу ssh, потрібен обліковий запис та забезпечення шифрування. Коли безпека не викликає занепокоєння, для спільного використання робочого столу не потрібен системний обліковий запис або накладні витрати шифрування.

— Кіт Рейнольдс

2

@KeithReynolds Інша проблема VNC полягає в тому, що він надсилає чисті растрові карти замість команд малювання, які намальовані на стороні клієнта, як RDP. Це робить VNC жахливим для використання в будь-якому, крім локальної мережі, в той час як RDP залишається чудовим навіть у шалених мобільних мережах.

— Андре Борі

9

Очевидно, ви відкриваєте інший порт для зловмисника; спростування: ми стоїмо за двома університетськими брандмауерами (основний брандмауер університетської мережі, а також спеціальний брандмауер нашої підмережі). VNC зможе здійснити лише всередині нашої підмережі, тож я втрачаю ...

Ніколи не припускайте, що оскільки ваша система знаходиться за брандмауером у приватній мережі, вам не потрібно турбуватися про безпеку. Багато, якщо не більшість успішних вторгнень здійснюються інсайдерами (працівниками, студентами тощо), які мають доступ до зазначених мереж.

— Гена
джерело

-8

Спробуйте це, щоб технічний директор був щасливим:

Встановіть VNC і будь-який робочий стіл
НЕ встановлюйте заставки будь-якого типу. Чому? У вас немає екрану, а робочий стіл, який просто сидить там, не витрачає багато ресурсів.
НЕ пересилайте порт VNC. Якщо вам потрібно скористатися ним, тунелюйте порт VNC (5900) через SSH (порт 22) і підключіть до нього таким чином.

Цей процес отримує вам шифрування та всю безпеку SSH, яка вже відкрита. Ви не додаєте жодних проблем із безпекою, яких у вас раніше не було.

Я вже роблю це на власному сервері, немає помітної додаткової затримки в процесі VNC порівняно з прямим з'єднанням.

— paul
джерело

9

" Ви не додаєте жодних проблем із безпекою, яких у вас раніше не було ", навіть не близькі до істинного. Встановлення додаткового коду - а Андре Б вище дає вам уявлення про те, скільки додаткового коду ми говоримо - дає більше можливостей для ескалації привілеїв місцевими користувачами (ssh'ed-in).

— MadHatter підтримує Моніку

4

Я погоджуюся, що безпека є рівноважним актом, але стверджувати, що акти (встановлення додаткового програмного забезпечення), що є частиною компромісу, не мають недоліків, є сумлінними. Сказати, що мало ssh'ed у користувачів, однаково вводить в оману: автор запитання каже, що він зараз прямо так, і ми не можемо знати, скільки інших людей це роблять.

— MadHatter підтримує Моніку

4

" OP визначила, що SSH досить безпечний ". Безпека не є власністю, яку ви маєте чи не маєте; це ступінь підготовленості до заданої моделі загрози. Якщо модель загрози - це " несанкціонований доступ віддаленим користувачем ", то так, sshце хороший захист. Якщо модель загрози - " ескалація привілеїв авторизованим місцевим користувачем" , sshце не захист, а встановлення тонн додаткового коду на сервері значно збільшує поверхню атаки. Womble - це досвідчений сисадмін з вашою репутацією на цьому сайті приблизно в сімдесят тисяч разів, тож ви можете захотіти легко образитися.

— MadHatter підтримує Моніку

1

@paul Ні, моя головна стурбованість полягала не у відсутності шифрування VNC (це можна пом'якшити за допомогою тунелювання SSH), головне питання - величезна поверхня атаки будь-якого середовища робочого столу.

— Андре Борі

3

@paul: ти правий, у мене абсолютно немає почуття рівноваги. Я не Fox News: мені не потрібно бути "справедливим і врівноваженим". Я сисадмін: мені потрібно мати рацію .

— живіт