ตั้งค่าการเข้าถึง RDP ที่ปลอดภัยไปยังเดสก์ท็อป Pardus Xfce

หากคุณต้องการใช้คอมพิวเตอร์ Pardus จากห้องอื่นหรือเครือข่ายอื่น การตั้งค่าที่เหมาะสมจะขึ้นอยู่กับว่าคุณต้องการเห็นเดสก์ท็อปที่เปิดอยู่แล้วหรือต้องการเริ่มการเข้าสู่ระบบแบบกราฟิกแยกต่างหาก สำหรับ Pardus 25 รุ่น Xfce วิธีการใช้งาน RDP ที่ได้ผลคือxrdpการใช้แบ็กเอนด์ Xorg ติดตั้งเฉพาะในกรณีที่ที่เก็บแพ็กเกจของ Pardus ที่กำหนดค่าไว้ในเครื่องของคุณมีแพ็กเกจเหล่านั้น และรักษาการเข้าถึงไว้ภายใน LAN หรือ VPN ที่เชื่อถือได้ RDP (Remote Desktop Protocol) ช่วยให้ไคลเอ็นต์ RDP สามารถแสดงและควบคุมเซสชันกราฟิกจากระยะไกลได้

คู่มือนี้ใช้ Pardus 25 เป็นจุดอ้างอิง Pardus 25 สามารถใช้งานได้กับ Xfce 4.20.2 เป็นเดสก์ท็อปเริ่มต้น และมี GNOME 48.4 เป็นเวอร์ชันแยกต่างหาก ตามบันทึกการเผยแพร่ของ Pardus 25เวอร์ชัน Pardus ก่อนหน้าอาจมีเวอร์ชันแพ็กเกจหรือพฤติกรรมเดสก์ท็อปที่แตกต่างกัน ดังนั้นโปรดตรวจสอบเวอร์ชันของคุณก่อนทำตามขั้นตอนเฉพาะแพ็กเกจ

1. ตัดสินใจว่าคุณต้องการประสบการณ์การใช้งานเดสก์ท็อปแบบใด

การเข้าถึงเดสก์ท็อประยะไกลอาจหมายถึงสองสิ่งการแชร์เดสก์ท็อปจะแสดงและควบคุมเซสชันกราฟิกที่เปิดอยู่แล้วบนคอมพิวเตอร์ Pardus ส่วนการเข้าสู่ระบบระยะไกลจะสร้างเซสชันการเข้าสู่ระบบแบบกราฟิกสำหรับผู้ใช้ที่เชื่อมต่อ โหมดทั้งสองนี้ไม่สามารถใช้แทนกันได้ การแชร์มีประโยชน์เมื่อต้องการช่วยเหลือผู้อื่นที่คอนโซล ในขณะที่การเข้าสู่ระบบระยะไกลมักจะเหมาะสมกว่าสำหรับการเข้าถึงเวิร์กสเตชันโดยไม่มีผู้ดูแล

ขั้นตอนด้านล่างนี้เป็นการกำหนดค่าเซสชัน Xfce แยกต่างหากผ่านทางxrdpซึ่งจะช่วยหลีกเลี่ยงการสันนิษฐานว่าบุคคลที่อยู่หน้าคอมพิวเตอร์เครื่องนั้นได้ล็อกอินอยู่แล้ว หากการติดตั้ง Pardus ของคุณใช้ GNOME และคุณต้องการแชร์หรือล็อกอินเข้าสู่ GNOME จากระยะไกลโดยเฉพาะ ให้ตรวจสอบที่ การตั้งค่า > ระบบ > เดสก์ท็อประยะไกล แทน เอกสาร GNOME ปัจจุบันอธิบายถึงการควบคุมการแชร์เดสก์ท็อปและการล็อกอินระยะไกลแยกต่างหาก แต่ตัวเลือกที่แน่นอนจะขึ้นอยู่กับส่วนประกอบและเวอร์ชันของ GNOME ที่ติดตั้งไว้ อย่าสันนิษฐานว่าตัวเลือกเหล่านั้นมีอยู่ใน Xfce

เพื่อเป็นตัวอย่างที่เป็นรูปธรรม ลองนึกภาพนักเรียนสมมติคนหนึ่งที่ต้องการเปิดเวิร์กสเตชัน Pardus 25 Xfce จากแล็ปท็อป Windows ในขณะที่อุปกรณ์ทั้งสองอยู่ในเครือข่ายบ้านเดียวกัน พวกเขาต้องการเซสชันกราฟิกของตนเอง ดังนั้นวิธีการใช้ Xfce ร่วมกับ xrdp จึงเหมาะสม ตัวอย่างนี้เป็นเพียงตัวอย่างประกอบเท่านั้น ไม่ใช่รายงานการตั้งค่าที่ผ่านการทดสอบแล้ว

2. เตรียม Pardus และตรวจสอบความพร้อมของแพ็คเกจ

ก่อนติดตั้งอะไรก็ตาม โปรดอัปเดต Pardus ผ่านแหล่งเก็บซอฟต์แวร์ตามปกติ และตรวจสอบให้แน่ใจว่าคุณมีบัญชีผู้ดูแลระบบ การเชื่อมต่อเครือข่ายที่ใช้งานได้ และวิธีการเข้าถึงคอมพิวเตอร์เครื่องนั้นโดยตรงหากการเข้าถึงระยะไกลไม่สามารถใช้งานได้ บนเครื่อง Pardus ให้ตรวจสอบเวอร์ชันและเดสก์ท็อป:

cat /etc/os-release
echo "$XDG_CURRENT_DESKTOP"

จากนั้นตรวจสอบว่าที่เก็บซอฟต์แวร์ที่กำหนดค่าไว้ในการติดตั้งนี้มีทั้งแพ็กเกจเซิร์ฟเวอร์ RDP และไดรเวอร์ Xorg หรือไม่:

sudo apt update
apt-cache policy xrdp xorgxrdp

ติดตั้งเฉพาะเมื่อทั้งสองแสดงตัวเลือกที่เก็บแพ็กเกจที่เหมาะสม โครงการ xrdp อธิบายว่า xrdp เป็นเซิร์ฟเวอร์ล็อกอินแบบกราฟิก RDP และแนะนำxorgxrdpโมดูลนี้สำหรับเดสก์ท็อป Xorg พอร์ตการฟังปกติคือ TCP 3389 ความพร้อมใช้งานของแพ็กเกจอาจแตกต่างกันไปตามรุ่นของ Pardus และการกำหนดค่าที่เก็บแพ็กเกจ หากไม่มีตัวเลือกแพ็กเกจใดแพ็กเกจหนึ่ง อย่าเพิ่มที่เก็บแพ็กเกจของบุคคลที่สามที่ไม่เกี่ยวข้องเพียงเพื่อทำตามคำแนะนำนี้ โปรดตรวจสอบแหล่งที่มาของแพ็กเกจ Pardus สำหรับรุ่นของคุณ

sudo apt install xrdp xorgxrdp

3. เลือก Xfce สำหรับเซสชันระยะไกลและเริ่มบริการ

เซสชันคือสภาพแวดล้อมเดสก์ท็อปที่ผู้ใช้ระยะไกลเห็นหลังจากล็อกอิน หากเครื่องนั้นใช้งาน Pardus Xfce อยู่แล้ว ให้บอกตัวเรียกใช้งานเซสชัน X ให้เริ่ม Xfce สำหรับบัญชีของคุณ:

printf '%s\n' xfce4-session > ~/.xsession

คำสั่งนี้จะเขียนคำสั่งเซสชันหนึ่งคำสั่งลงในไฟล์ของผู้ใช้ปัจจุบัน~/.xsessionเรียกใช้คำสั่งนี้โดยใช้บัญชีที่จะเชื่อมต่อ ไม่ใช่ในฐานะ root หากคุณใช้เดสก์ท็อปอื่นหรือมีการตั้งค่าเดสก์ท็อปแบบกำหนดเองอยู่แล้ว.xsessionอย่าเขียนทับโดยไม่ตรวจสอบ ให้บันทึกสำเนาไว้ก่อน แล้วใช้คำสั่งเซสชันที่ถูกต้องสำหรับเดสก์ท็อปนั้น

เปิดใช้งานบริการ xrdp เมื่อเริ่มต้นระบบ และเริ่มใช้งานตอนนี้:

sudo systemctl enable --now xrdp
systemctl is-active xrdp

คำสั่งที่สองควรแสดงผลactiveว่า systemd รายงานว่าบริการกำลังทำงานอยู่หรือไม่ หากบริการหายไปหรือเริ่มต้นไม่สำเร็จ ให้ตรวจสอบสถานะก่อนเปิดพอร์ตเครือข่ายใดๆ

sudo systemctl status xrdp --no-pager

4. จำกัดการเข้าถึงเครือข่ายก่อนเชื่อมต่อ

อย่าเปิดพอร์ต TCP 3389 สู่สาธารณะโดยตรง RDP เป็นบริการล็อกอินแบบโต้ตอบ ดังนั้นพอร์ตที่เข้าถึงได้จะดึงดูดการพยายามเดารหัสผ่าน สำหรับการใช้งานที่บ้านหรือที่ทำงาน ให้เชื่อมต่อจากเครือข่ายที่เชื่อถือได้เดียวกัน หรือเชื่อมต่อกับ VPN ขององค์กรก่อน หากเปิดใช้งานไฟร์วอลล์ ให้สร้างกฎที่อนุญาตเฉพาะพอร์ต TCP 3389 จากช่วงที่อยู่ LAN หรือ VPN ที่เชื่อถือได้เท่านั้น คำสั่งไฟร์วอลล์จะแตกต่างกันไปขึ้นอยู่กับว่าคอมพิวเตอร์ใช้ UFW, nftables หรือตัวจัดการอื่น ตรวจสอบไฟร์วอลล์ที่ใช้งานอยู่และกฎที่มีอยู่ก่อนที่จะเปลี่ยนแปลง

ค้นหาที่อยู่เครื่อง Pardus ด้วยคำสั่ง:

hostname -I

ใช้ที่อยู่ IP ที่สามารถเข้าถึงได้จากเครือข่ายของไคลเอ็นต์ ไม่ใช่ที่อยู่ loopback หรืออินเทอร์เฟซ VPN ที่ไม่เกี่ยวข้อง รักษาความปลอดภัยบัญชีผู้ใช้ Pardus ด้วยรหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน และหลีกเลี่ยงการแชร์ข้อมูลประจำตัวผู้ดูแลระบบสำหรับการเข้าถึงเดสก์ท็อปเป็นประจำ เอกสาร xrdp ต้นฉบับระบุว่าการเข้ารหัส TLS สำหรับการรับส่งข้อมูล RDP เป็นค่าเริ่มต้น แต่ควรตรวจสอบพฤติกรรมของใบรับรองในการใช้งานของคุณ และอัปเดตเซิร์ฟเวอร์และไคลเอ็นต์อยู่เสมอ

5. เชื่อมต่อจากฝั่งไคลเอ็นต์และตรวจสอบการเชื่อมต่อ

บนระบบ Windows ให้เปิดการเชื่อมต่อเดสก์ท็อประยะไกลโดยการเรียกใช้mstscคำสั่ง ป้อนที่อยู่ IP ที่สามารถเข้าถึงได้ของคอมพิวเตอร์ Pardus เลือก เชื่อมต่อ และลงชื่อเข้าใช้ด้วยบัญชี Pardus ที่เป็นเจ้าของ.xsessionไฟล์ จากคอมพิวเตอร์ Linux เครื่องอื่น Remmina สามารถทำหน้าที่เป็นไคลเอ็นต์ RDP ได้ โดยภาพรวมซอฟต์แวร์ของชุมชน Pardus ระบุว่า Remmina เป็นไคลเอ็นต์ที่รองรับ RDP และโปรโตคอลการเข้าถึงระยะไกลอื่นๆ อีกหลายโปรโตคอล

การเชื่อมต่อที่สำเร็จควรนำไปสู่เซสชันเดสก์ท็อป Xfce ตรวจสอบว่าคุณสามารถเปิดแอปพลิเคชันที่ไม่เป็นอันตราย โต้ตอบกับเดสก์ท็อป และตัดการเชื่อมต่อได้ตามปกติ จากนั้นเชื่อมต่อใหม่อีกครั้งเพื่อให้แน่ใจว่าการเข้าถึงใช้งานได้หลังจากการเข้าสู่ระบบครั้งแรก หากการเข้าสู่ระบบสำเร็จ แต่หน้าต่างว่างเปล่าหรือปิดลงทันที ให้ตรวจสอบว่าคำสั่งเซสชันของผู้ใช้ถูกต้องและติดตั้ง Xfce แล้ว หากไคลเอ็นต์ไม่สามารถเชื่อมต่อกับโฮสต์ได้เลย ให้ตรวจสอบที่อยู่ เส้นทาง VPN/LAN สถานะบริการ และกฎไฟร์วอลล์ที่กำหนดขอบเขตไว้ก่อนที่จะเปลี่ยนการตั้งค่าความปลอดภัยของ xrdp

สำหรับบันทึกข้อมูลจากการบูตครั้งปัจจุบัน ให้ใช้คำสั่ง:

sudo journalctl -u xrdp -b --no-pager

ตรวจสอบหาข้อผิดพลาดในการเชื่อมต่อหรือเซสชันในช่วงเวลาที่การพยายามเข้าถึงล้มเหลว การที่บริการทำงานได้เพียงอย่างเดียวไม่ได้พิสูจน์ว่าการเข้าถึงระยะไกลใช้งานได้ การตรวจสอบขั้นสุดท้ายคือการเข้าสู่ระบบของไคลเอ็นต์ที่สร้างเซสชัน Xfce ที่ต้องการ ในขณะที่กฎเครือข่ายยังคงจำกัดเฉพาะแหล่งที่มาที่เชื่อถือได้

แหล่งอ้างอิง: บันทึกการเผยแพร่ Pardus 25 , เอกสารโครงการ xrdpต้นทาง, ข้อมูลแพ็กเกจ xrdp ของ Debian และ เอกสาร GNOME Remote Login