在CentOS上为VNC连接加上一把“安全锁”

将VNC服务直接暴露在公网环境中，存在极大的数据泄露与未授权访问风险。为VNC流量启用SSL/TLS加密，是构建安全远程管理体系的必要措施。本指南将详细讲解如何在CentOS系统上，为VNC服务器配置端到端的加密连接，有效保障远程操作的安全性与私密性。

1. 安装VNC服务器

首先，需要在CentOS系统上安装功能完善的VNC服务器软件。TigerVNC因其出色的稳定性、丰富的功能以及对CentOS/RHEL生态的良好支持，成为广泛推荐的选择。执行以下命令完成安装：

sudo yum install tigervnc-server tigervnc-common

2. 配置VNC服务器

安装完成后，需要创建Systemd服务单元文件，以便以系统服务的方式管理和控制VNC服务器。通常，我们为第一个VNC显示会话（:1）创建配置文件：

sudo vi /etc/systemd/system/vncserver@:1.service

将以下标准配置模板复制到文件中。请务必注意，需要将示例中的和替换为您实际用于登录和运行服务的系统用户名及其主用户组：

[Unit]
Description=Start TigerVNC server at startup
After=syslog.target network.target

[Service]
Type=forking
User=
Group=
WorkingDirectory=/home/
PIDFile=/home//.vnc/%H:%i.pid
ExecStartPre=-/usr/bin/vncserver -kill :%i > /dev/null 2>&1
ExecStart=/usr/bin/vncserver -depth 24 -geometry 1280x800 :%i
ExecStop=/usr/bin/vncserver -kill :%i

[Install]
WantedBy=multi-user.target

3. 启动VNC服务器

配置文件创建完毕后，需要重新加载Systemd配置，然后启动VNC服务并将其设置为开机自动启动：

sudo systemctl daemon-reload
sudo systemctl start vncserver@:1.service
sudo systemctl enable vncserver@:1.service

4. 配置防火墙

为确保VNC服务能够被远程访问，必须在系统防火墙中开放对应的端口。VNC服务默认从5900端口开始，显示编号:1对应的实际端口是5901。使用firewalld防火墙执行以下命令：

sudo firewall-cmd --permanent --add-port=5901/tcp
sudo firewall-cmd --reload

5. 生成SSL/TLS加密证书

这是实现VNC加密连接的核心步骤。首先，我们需要为VNC服务器生成SSL/TLS证书和密钥。以下命令演示如何生成一个自签名证书（适用于测试或内部环境，生产环境强烈建议使用由权威CA签发的可信证书）：

sudo mkdir /etc/vnc/ssl
cd /etc/vnc/ssl
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout server.key -out server.crt

执行命令后，根据提示依次输入国家、省份、城市、组织名称、通用名（域名或IP）等信息即可完成证书创建。

6. 配置VNC服务器使用SSL/TLS

证书准备就绪后，需要修改VNC服务器的启动脚本，使其加载并使用我们生成的SSL证书进行加密通信。编辑VNC服务器的主启动脚本：

sudo vi /usr/bin/vncserver

在脚本文件中，定位到实际启动Xvnc进程的核心命令行，通常其格式如下：

exec Xvnc "$@" -geometry $GEOMETRY -depth $DEPTH -localhost no -rfbauth /etc/vnc/passwd -rfbport $PORT -forever

在该行命令的末尾，添加指定SSL证书和密钥路径的参数，修改后的完整行应类似：

exec Xvnc "$@" -geometry $GEOMETRY -depth $DEPTH -localhost no -rfbauth /etc/vnc/passwd -rfbport $PORT -forever -ssl -sslCert /etc/vnc/ssl/server.crt -sslKey /etc/vnc/ssl/server.key

7. 重启VNC服务器

所有加密配置修改完成后，必须重启VNC服务以使新的SSL/TLS设置生效：

sudo systemctl restart vncserver@:1.service

8. 使用VNC客户端进行加密连接

最后，使用支持SSL/TLS的VNC客户端（例如TigerVNC Viewer、RealVNC等）进行连接。连接地址的格式为：

vnc://:5901

由于使用的是自签名证书，客户端在首次连接时会弹出安全警告，提示证书不受信任。在确认连接目标无误后，选择接受或信任此证书。此后，您的整个VNC远程桌面会话都将通过加密隧道传输，有效防止窃听和中间人攻击。

遵循以上八个步骤，您已成功将CentOS上的VNC服务从明文传输升级为安全的加密通信。这显著提升了远程管理操作的安全性，是服务器运维中不可或缺的安全加固措施。