Sécurisation de vino-server

Support Debian
#1

Bonjour à tous.

Ayant activé vino sous gnome, je souhaite restreindre l’accès au bureau distant à certaines adresse ip et/ou interface( ex 127.0.0.1 en connexion ssh depuis l’extérieur et/ou écoute que sur interface lan et pas la wan). J’ai remarqué aussi que vino crée une instance http sur le port 5800 ( Scan nmap sur les différentes interface de la machine).

Ma question :

Ou se trouve le fichier de configuration de vino? En effet le guy de vino est extrêmement restreint et ne permet pas de faire ce type de configuration.

Ma config :

  • Debian SID (Linux serveur 3.2.0-3-amd64 #1 SMP Mon Jul 23 02:45:17 UTC 2012 x86_64 GNU/Linux
  • 2 cartes réseaux et une carte wifi ( en point d’accès )
  • Utilisation de cette machine en tant que passerelle avec :
    script iptables
    squid/danguardian/clamav
    dhcp-server
    dnsmasq
    hostapd

En résumé je souhaite autorisé les connexion uniquement sur la carte LAN et l’interface lo ainsi que désactivé le port d’écoute http sur toute les interfaces.

Pour info, au cour de mes recherches j’ai vu qu’on pouvait configurer certaines choses avec gconf-editor, mais (parcequ’il y a toujours un mais) chez moi le répertoire “remote_access” se trouvant dans “/desktop/gnome/” n’existe pas.

Merci par avance de vos réponses.

#2

Port 5800 http server.

This allows java-enabled web browsers to act as vnc viewers.

The VNC server will look in “httpdir” for the Java class files to send

to the viewer.

#Option “httpdir” “/usr/share/vnc/classes”
#Option “httpport” “5800”

Les navigateurs web agrémentés de java peuvent ainsi voir le service vnc.

Est-ce que tu as eu le réflexe de regarder ce que ça donne sous un navigateur ?

localhost:5800

L’éditeur permettant de retoucher quelques réglages de vino est dconf-editor et non pas gconf-editor. Pour sélectionner une interface telle que “lo” ou “eth0”, tu double-cliques sur “network interface” et tu la définis explicitement.


D’après les bribes d’information que j’ai pu glaner au hasard des recherches sur vino, pour désactiver le serveur http, il faudrait se passer du paquetage debian et le compiler à sa main en passant l’option --disable-http-server.
Si tu tiens tant à la “sécurité” des connexions graphiques, oublier vino et préférer ssh -X.

Pas de Guy ou de Graphical User Interface qui tienne, Vino se prénomme Aleksandr et la médaille qu’il porte à son cou est d’or.

fr.wikipedia.org/wiki/Alexandre_Vinokourov

#3

Merci beaucoup pour ta réponse.

J’ai effectivement eu le réflexe de taper l’adresse localhost:5800. J’ai pour réponse un bon “File Not Found”. J’ai quand même ajouter à iptables un drop des paquets sur ce port.
Ce qui m’étonne c’est que malgré cela si je fait un

il trouve le port ouvert: 5800/tcp open vnc-http

Pour dconf-editor, c’est bon j’ai bloqué sur l’interface lo.

[quote=“etxeberrizahar”]

Pas de Guy ou de Graphical User Interface qui tienne, Vino se prénomme Aleksandr et la médaille qu’il porte à son cou est d’or.

fr.wikipedia.org/wiki/Alexandre_Vinokourov

[quote]
Alexandre Nikolaïevitch Vinokourov - en russe : Александр Николаевич Винокуров - (né le 16 septembre 1973 à Petropavlovsk en République socialiste soviétique du Kazakhstan) est un coureur cycliste d’ethnie russe et de citoyenneté kazakh (kazakhstanais1). Il est surnommé « Vino » par le public.
[/quote][/quote]

Exellent !!! :laughing: :laughing: :laughing: :005 :005 :005