Mémento 6.1 - Accès RDP, VNC, SSH
Il peut être utile de pouvoir contrôler à distance les VM et les conteneurs LXC du réseau, notamment depuis un PC situé sur le même LAN que le PC hôte de VirtualBox. Des protocoles tels RDP, VNC ou SSH permettent cela.
Etant sur le même LAN, les connexions distantes seront validées simplement par login et MDP.
1 - Accès distant RDP via le serveur de VirtualBox
Par défaut, le serveur Remote Desktop Protocol fourni par VirtualBox utilise le port TCP 3389.
1.1 - Configuration pour un accès sur srvlan
Panneau gauche de VirtualBox, sélectionnez la VM :
- - Menu de VirtualBox > Machine > Configuration...
-> Affichage > Bureau à distance
-> Cochez Activer le serveur
-> Port serveur > Affectez un numéro de port, Ex : 7002
-> OK
1.2 - Test de connexion
- - Depuis un PC distant sous Windows
Créez, sur celui-ci, les 3 routes statiques permanentes qui permettront de joindre les VM :
route add -p 192.168.2.0 mask 255.255.255.0 192.168.x.w route add -p 192.168.3.0 mask 255.255.255.0 192.168.x.w route add -p 192.168.4.0 mask 255.255.255.0 192.168.x.w
192.168.x.w est l'IP de la carte réseau RED d'IPFire.
Le paramètre -p rend la route statique permanente.
Utilisez la Cde route print pour afficher la table de routage de Windows.
Menu Windows :
-> Accessoires Windows ou Outils Windows
-> Connexion Bureau à distance
Activez la connexion RDP comme montré ci-dessous :
- - Depuis un PC distant sous Linux
Créez les mêmes routes statiques comme ceci :
sudo ip route add 192.168.2.0/24 via 192.168.x.w proto static metric 100 sudo ip route add 192.168.3.0/24 via 192.168.x.w proto static metric 100 sudo ip route add 192.168.4.0/24 via 192.168.x.w proto static metric 100
Pour rendre celles-ci permanentes, vous devez tenir compte du gestionnaire de réseau actif.
Si NetworkManager est utilisé, générez les routes statiques depuis son interface graphique et relancez le service réseau :
sudo systemctl restart NetworkManager
Si c'est le fichier réseau /etc/network/interfaces qui est utilisé, ajoutez les lignes suivantes en fin de fichier et relancez le service réseau :
up ip route add 192.168.2.0/24 via 192.168.x.w dev enp0s3
up ip route add 192.168.3.0/24 via 192.168.x.w dev enp0s3
up ip route add 192.168.4.0/24 via 192.168.x.w dev enp0s3sudo systemctl restart networking
Adaptez en conséquence le nom de l'interface réseau.
Pour finir, vérifiez la prise en compte des routes :
ip route
Puis installez le client réseau Remmina disponible sur bien des distributions et lancez celui-ci.
Sélectionnez le RDP et entrez 192.168.x.y:7002 dans le champ de connexion rapide.
192.168.x.y = IP du PC hôte des VM (Voir la maquette).
7002 est le numéro de port RDP dédié à la VM srvlan.
Appuyez sur la touche Entrée pour lancer la connexion :
1.3 - Remarques
Vous devez, pour vous connecter sur les autres VM du réseau, affecter à chacune un numéro de port RDP différent, Ex : port 6017 pour la VM srvdmz.
Le serveur RDP de VirtualBox autorise des connexions directes sur les VM, pas besoin par exemple de traverser le pare-feu IPFire pour joindre srvlan.
Ceci permet notamment d'éviter un refus de connexion lié à des problèmes de configuration de table de routage ou de règle de pare-feu sur le réseau virtuel. Cela peut aider à dépanner.
2 - Accès distant RDP sur srvlan via IPFire
Cela ne concerne pas les VM non graphiques telles IPFire, OpenvSwitch et les conteneurs LXC.
2.1 - Installation d'un serveur RDP sur srvlan
Installez le serveur RDP de nom xrdp :
[srvlan@srvlan:~$] sudo apt install xrdp [srvlan@srvlan:~$] sudo adduser xrdp ssl-cert
Le serveur est lancé de suite et configuré pour démarrer automatiquement au boot de la VM.
Complément pour les curieux : Suivre les astuces facilitant l'exploitation du service xrdp.
2.2 - Ajout d'une règle de pare-feu pour le RDP
L'accès distant ne fonctionnera cette fois que si vous ajoutez une règle de pare-feu dans IPFire autorisant les demandes de connexion sur le port 3389.
Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Pare-feu > Règles de pare-feu > Nouvelle règle
- Zone Source
-> Cochez Réseaux standards > Sélectionnez Tout
- Zone Destination
-> Cochez Réseaux standards > Sélectionnez Tout
- Zone Protocole
-> Sélectionnez TCP > Port de destination
-> Remplissez le champ vide avec le n° de port 3389
-> Cochez ACCEPTER
- Zone Paramètres additionnels
-> Remarque
-> Entrez Connexions RDP entrantes autorisées
-> Ajouter > Appliquer les changements
Important : Fermez ensuite votre session utilisateur srvlan, le serveur xrdp refusant par défaut d'afficher le bureau d'un utilisateur ayant une session déjà ouverte.
2.3 - Test de connexion
- - Depuis un PC distant sous Windows
Menu Windows :
-> Accessoires Windows ou Outils Windows
-> Connexion Bureau à distance
Entrez l'IP de srvlan 192.168.2.2 dans le champ Ordinateur et cliquez sur le bouton Connexion.
Une alerte Impossible de vérifier l'identité ... > Oui
Connexion établie, la fenêtre suivante s'affiche :
-> Session : Sélectionnez Xorg
-> username : Entrez srvlan
-> password : Entrez le MDP de srvlan > OK
- - Depuis un PC distant sous Linux
Utilisez de nouveau le logiciel Remmina :
-> Entrez l'IP de srvlan soit 192.168.2.2
-> Touche Entrée pour lancer la connexion
3 - Accès distant VNC sur srvlan via IPFire
Cela ne concerne pas les VM non graphiques telles IPFire, OpenvSwitch et les conteneurs LXC.
Par défaut, un serveur VNC (Virtual Network Computing) écoute sur le port TCP 5900+N° Ecran.
3.1 - Installation d'un serveur VNC sur srvlan
Installez le serveur tigervnc-standalone-server :
[srvlan@srvlan:~$] sudo apt install tigervnc-standalone-server [srvlan@srvlan:~$] sudo apt install dbus-x11
Créez son MDP :
[srvlan@srvlan:~$] vncpasswd
Retour :
Password > Votre MDP VNC (Ex : vncMDPsrvlan)
Verify > Entrez de nouveau le MDP
Would you like to enter a view-only ... (y/n) ? > n
A view-only password is not usedCréez ensuite son fichier de configuration tigervnc.conf :
[srvlan@srvlan:~$] cd /home/srvlan [srvlan@srvlan:~$] nano .vnc/tigervnc.conf
et entrez le contenu suivant :
# Configuration du serveur tigervncserver
$localhost="no"; # Connexion distante autorisée
$geometry="1360x768"; # Taille de l'écran
$depth="24"; # Profondeur des couleurs
$AlwaysShared = "yes"; # Connexions simultanées OKCréez un fichier xstartup pour le démarrage sous Xfce4 :
[srvlan@srvlan:~$] nano .vnc/xstartup
et entrez le contenu suivant :
#!/bin/sh
unset SESSION_MANAGER
unset DBUS_SESSION_BUS_ADDRESS
exec /bin/sh /etc/xdg/xfce4/xinitrcDéclarez le fichier comme étant exécutable :
[srvlan@srvlan:~$] chmod +x .vnc/xstartup
Pour terminer, modifiez le fichier vncserver.users :
[srvlan@srvlan:~$] sudo nano /etc/tigervnc/vncserver.users
en ajoutant les lignes suivantes à la fin de celui-ci :
# Utilisateur srvlan désigné pour l'écran 1
:1=srvlan3.2 - Lancement automatique du serveur VNC
Pour cela, créez le service tigervncserver@.service :
[srvlan@srvlan:~$] cd /lib/systemd/system [srvlan@srvlan:~$] sudo cp tigervncserver@.service \ /etc/systemd/system
Le caractère \ indique d'écrire la Cde sur une seule ligne.
Configurez son démarrage automatique pour l'écran 1 :
[srvlan@srvlan:~$] sudo systemctl start tigervncserver@:1 [srvlan@srvlan:~$] sudo systemctl enable tigervncserver@:1
Pour finir, redémarrez srvlan :
[srvlan@srvlan:~$] sudo reboot
et vérifiez le lancement automatique du serveur VNC :
[srvlan@srvlan:~$] vncserver -list
Pour info, le serveur peut être arrêté comme suit :
[srvlan@srvlan:~$] vncserver -kill :1
3.3 - Ajout d'une règle de pare-feu pour le VNC
Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Pare-feu > Règles de pare-feu > Nouvelle règle
- Zone Source
-> Cochez Réseaux standards > Sélectionnez Tout
- Zone Destination
-> Cochez Réseaux standards > Sélectionnez Tout
- Zone Protocole
-> Sélectionnez TCP > Port de destination
-> Remplissez le champ vide avec le n° de port 5901
-> Cochez ACCEPTER
- Zone Paramètres additionnels
-> Remarque
-> Entrez Connexions VNC entrantes autorisées
-> Ajouter > Appliquer les changements
3.4 - Test de connexion
- - Depuis un PC distant sous Windows
Téléchargez le client VNC Viewer de RealVNC.
Effectuez son installation et démarrez le logiciel.
Configurez ensuite une connexion pour joindre srvlan :
- Menu Fichier
-> Nouvelle connexion...
- Une fenêtre Propriétés s'ouvre.
-> Onglet Général
Paramétrez VNC Viewer comme ci-dessous :
-> Onglet Options
Paramétrez VNC Viewer comme ci-dessous :
Résultat, VNC Viewer montre la nouvelle connexion :
Test de connexion :
-> Double-cliquez sur l'icône srvlan
Une fenêtre Chiffrement s'ouvre :
-> Cochez Ne plus afficher cet avertissement
-> Continuer
Une fenêtre Authentification s'ouvre :
-> Entrez votre MDP VNC pour srvlan > OK
Connexion établie, la fenêtre suivante s'affiche :
- - Depuis un PC distant sous Linux
a) Téléchargez le client VNC Viewer de votre version Linux.
Effectuez son installation et démarrez le logiciel.
Procédez ensuite comme sous Windows.
b) Remmina peut également exploiter le protocole VNC.
Cliquez sur l'icône + (profil) située en haut à gauche.
Une fenêtre Profil de connexion à distance s'ouvre.
Configurez la connexion VNC comme ci-dessous :
Le MDP de l'utilisateur = Votre MDP VNC (§ 3.1)
4 - Accès distant SSH sur srvsec (IPFire)
Par défaut, un serveur SSH (Secure SHell) écoute sur le port TCP 22.
4.1 - Activation du serveur SSH (port 222)
Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Système > Accès SSH
Une fenêtre Accès distant s'ouvre :
-> Cochez Accès SSH
-> Décochez Définir le port SSH à 22
-> Bouton Sauvegarder
4.2 - Ajout d'une règle de pare-feu pour le SSH
Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Pare-feu > Règles de pare-feu > Nouvelle règle
- Zone Source
-> Cochez Réseaux standards > Sélectionnez Tout
- Zone Destination
-> Cochez Réseaux standards > Sélectionnez Tout
- Zone Protocole
-> Sélectionnez TCP > Port de destination
-> Remplissez le champ vide avec le n° de port 222
-> Cochez ACCEPTER
- Zone Paramètres additionnels
-> Remarque
-> Entrez Connexions SSH entrantes autorisées
-> Ajouter > Appliquer les changements
4.3 - Test de connexion
- - Depuis un PC distant sous Windows
Téléchargez le client SSH Putty et installez celui-ci.
Ensuite, démarrez et configurez Putty comme suit :
La VM srvsec étant de confiance, acceptez l'alerte de sécurité et lancez une seconde connexion.
Résultat :
Il n'y aura pas d'alerte de sécurité lors des connexions suivantes, utilisez la Cde exit pour quitter.
- - Depuis un PC distant sous Linux
a) Installez le paquet putty fourni par votre distribution.
Procédez ensuite comme sous Windows.
b) Remmina peut également exploiter le protocole SSH.
Cliquez sur l'icône + (profil) située en haut à gauche.
Une fenêtre Profil de connexion à distance s'ouvre.
Configurez la connexion SSH comme ci-dessous :
5 - Accès distant SSH sur ovs (OpenvSwitch)
5.1 - Installation d'un serveur SSH sur ovs
Installez le serveur OpenSSH :
[switch@ovs:~$] sudo apt install openssh-server
et contrôlez l'activation du démon SSH :
[switch@ovs:~$] sudo systemctl status sshd
Le résultat de la Cde doit montrer active (running).
Editez ensuite le fichier de configuration sshd_config :
[switch@ovs:~$] sudo nano /etc/ssh/sshd_config
et remplacez la ligne #Port 22 par Port 222.
Redémarrez le serveur pour traiter la modification :
[switch@ovs:~$] sudo systemctl restart sshd
5.2 - Test de connexion
Effectuez une connexion à l'aide de Putty :
Résultat :
6 - Accès distant SSH sur les conteneurs LXC
6.1 - Paramétrage de ctn1 et test de connexion
Installez depuis l'hôte ovs un serveur SSH sur ctn1 :
[switch@ovs:~$] sudo podman exec -it ctn1 bash [root@..:~#] apt update && apt upgrade [root@..:~#] apt install openssh-server
Editez ensuite son fichier de configuration sshd_config :
[root@..:~#] apt install nano [root@..:~#] nano /etc/ssh/sshd_config
et modifiez les 2 lignes suivantes comme ci-dessous :
#Port 22 > Port 222
#PermitRootLogin prohib...word > PermitRootLogin yes
Redémarrez le serveur SSH pour traiter la configuration :
[root@..:~#] /etc/init.d/ssh start [root@..:~#] /etc/init.d/ssh status # normal = sshd is running
Attribuez un MDP à l'utilisateur root du conteneur :
[root@..:~#] passwd
Editez le fichier .bashrc de l'utilisateur root :
[root@..:~#] nano /root/.bashrc
et entrez le contenu suivant en fin de fichier :
# Lancement automatique du serveur ssh
/etc/init.d/ssh startEnsuite, déconnectez-vous du conteneur :
[root@...:~#] exit [switch@ovs:~$]
et listez les images Podman utilisées en mode rootfull :
[switch@ovs:~$] sudo podman images
Retour :
switch@ovs:~$ sudo podman images
REPOSITORY TAG
localhost/uptime-kuma 2 ...
localhost/debian 1 ...
docker.io/louislam/uptime-kuma 1 ...
docker.io/library/debian latest ...
switch@ovs:~$Créez une nouvelle image de ctn1 incluant le SSH :
sudo podman commit ctn1 debian:2 # Création image tag 2
et recréez ctn1 depuis celle-ci :
sudo systemctl stop container-ctn1 # Suppression de ctn1 sudo podman ps # Vérification de la suppression sudo podman run -dit --net ns:/var/run/netns/nsctn1 -h ctn1 --name ctn1 debian:2 # Création depuis image tag 2 cd /etc/systemd/system sudo podman generate systemd --new --files --name ctn1 cat container-ctn1.service # Lecture par curiosité sudo systemctl daemon-reload sudo systemctl start container-ctn1 sudo systemctl status container-ctn1
Redémarrez la VM ovs :
sudo reboot
et connectez-vous depuis Putty en procédant comme pour la VM ovs mais avec l'IP 192.168.3.6.
6.2 - Accès sur les conteneurs ctn2 et ctn3
Les 2 conteneurs basés sur Debian supportent l'outil de surveillance réseau Uptime Kuma dont la configuration s'effectue directement depuis son interface Web.
Pour interagir avec Debian, utilisez l'accès SSH de la VM ovs et exploitez les 2 Cdes suivantes :
[switch@ovs:~$] sudo podman exec -it ctn2 bash [switch@ovs:~$] podman exec -it ctn3 bash
7 - Accès distant VNC au travers d'un tunnel SSH
De base, une connexion VNC n'est pas sécurisée mais il est possible de faire transiter celle-ci à l'intérieur d'un tunnel SSH pour régler ce problème.
Ceci implique de configurer le serveur SSH d'IPFire afin qu'il accepte le transfert de ports TCP.
Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Système > Accès SSH
Une fenêtre Accès distant s'ouvre :
-> Cochez Autoriser le transfert TCP
-> Bouton Sauvegarder
7.1 - Accès VNC/SSH sur srvlan depuis Windows
Configurez un tunnel SSH avec Putty en respectant la chronologie des 2 captures suivantes :
Puis lancez, depuis le client VNC Viewer de RealVNC, une connexion VNC locale (127.0.0.1) :
La demande locale d'accès au port TCP 5901 utilisé par le protocole VNC sera automatiquement envoyée à l'intérieur du tunnel SSH vers le serveur SSH d'IPFire qui transfèrera celle-ci vers le serveur VNC de srvlan.
Pensez à fermer, une fois votre communication VNC terminée, la connexion SSH de Putty.
7.2 - Accès VNC/SSH sur srvlan depuis Linux
Le plus simple est d'utiliser de nouveau Remmina.
Cliquez sur l'icône + (profil) située en haut à gauche.
Une fenêtre Profil de connexion à distance s'ouvre.
Configurez la connexion VNC comme ci-dessous :
La connexion SSH sera cette fois fermée automatiquement en fin de communication VNC.
8 - Bilan
Les VM et conteneurs LXC sont joignables à distance.
La sécurité des accès reste néanmoins perfectible :
- En ne travaillant pas avec des n° de port par défaut.
- En réglant plus finement les sources dans IPFire.
- En utilisant les clés publiques et privées de SSH.
- Etc...
Terminé pour l'instant !
Le mémento 7.1 vous attend
pour l'installation d'un serveur
DNS statique sur srvlan.